feat(tailscale): add opt-in Tailscale outbound nodes and bypass

Inject Tailscale proxies, route rules, and fake-IP filters into the
generated Clash config when enabled. Includes Tools → Features entry,
node management UI, localization, and provider/model tests.

Rebased onto upstream/dev (Adjust android process).

Author: joei4cm

arb/intl_en.arb

@@ -552,5 +552,65 @@
   "geoSkipped": "{name} is already up to date",
   "geoUpdated": "{name} updated",
   "secondsCount": "{count} seconds",
-  "entriesCount": "{count} entries"
+  "entriesCount": "{count} entries",
+  "features": "Features",
+  "hideAdvanced": "Hide advanced",
+  "showAdvanced": "Show advanced",
+  "tailscale": "Tailscale",
+  "tailscaleDesc": "Manage Tailscale outbound nodes",
+  "tailscaleEnable": "Enable Tailscale",
+  "tailscaleEnableDesc": "Inject Tailscale nodes as outbounds. Turning this off stops Tailscale from handling traffic; normal traffic is unaffected.",
+  "tailscaleEmptyTip": "No Tailscale nodes yet. Add one to route traffic through your tailnet.",
+  "addTailscaleNode": "Add Tailscale node",
+  "editTailscaleNode": "Edit Tailscale node",
+  "tailscaleAuthKey": "Auth key",
+  "tailscaleHostname": "Hostname",
+  "tailscaleControlUrl": "Control URL",
+  "tailscaleStateDir": "State directory",
+  "tailscaleEphemeral": "Ephemeral",
+  "tailscaleUdp": "UDP relay",
+  "tailscaleAcceptRoutes": "Accept routes",
+  "tailscaleExitNode": "Exit node",
+  "tailscaleExitNodeAllowLanAccess": "Allow LAN access via exit node",
+  "tailscaleNameExistsTip": "A node with this name already exists",
+  "tailscaleGuideTitle": "How Tailscale works",
+  "tailscaleAuthKeyHint": "From the Tailscale admin console → Settings → Keys. Required to authenticate the node.",
+  "tailscaleHostnameHint": "Optional. Device name shown in your tailnet.",
+  "tailscaleControlUrlHint": "Optional. Only for self-hosted control servers such as Headscale.",
+  "tailscaleStateDirHint": "Optional. Directory used to persist Tailscale state.",
+  "tailscaleExitNodeHint": "Optional. IP or name of a tailnet exit node to route all traffic through.",
+  "tailscaleBypass": "Keep Tailscale traffic direct",
+  "tailscaleRoutes": "Route destinations",
+  "tailscaleRoutesHint": "Domains or IPs sent through this node, one per line (e.g. your home PC's Tailscale IP or MagicDNS name).",
+  "tailscaleScenarioAndroidTitle": "Android client setup",
+  "tailscaleScenarioAndroidBody": "Keep FlClash as the only VPN. Do not run the Tailscale app VPN at the same time (Android allows only one). Use an embedded Tailscale node below, then add your home device to Route destinations.",
+  "tailscaleScenarioDesktopTitle": "Desktop / host setup",
+  "tailscaleScenarioDesktopBody": "You can run FlClash and the real Tailscale app together. Turn on \"Keep Tailscale traffic direct\" so FlClash does not hijack Tailscale's control plane or fake-IP DNS.",
+  "tailscaleAndroidStep1": "Get an auth key from the Tailscale admin console (Settings → Keys).",
+  "tailscaleAndroidStep2": "Add a node, paste the auth key, and put your home device IP or MagicDNS name in Route destinations.",
+  "tailscaleAndroidStep3": "Turn on Enable Tailscale. Leave \"Keep Tailscale traffic direct\" off unless the Tailscale app is also installed.",
+  "tailscaleAndroidStep4": "Start FlClash VPN, then tap the ping button on a node to verify the connection.",
+  "tailscaleDesktopStep1": "If this PC also runs the Tailscale app/service, turn on \"Keep Tailscale traffic direct\".",
+  "tailscaleDesktopStep2": "Optional: add an embedded Tailscale node with an auth key to route selected traffic through the tailnet from FlClash.",
+  "tailscaleDesktopStep3": "Put destinations (home IPs / MagicDNS) in Route destinations, then turn on Enable Tailscale.",
+  "tailscaleDesktopStep4": "Start FlClash, then tap the ping button on a node to verify the connection is solid.",
+  "tailscaleBypassRecommended": "Recommended on desktop when the Tailscale app/service is installed. Auto-manages DIRECT rules and Fake IP Filter.",
+  "tailscaleBypassAndroidHint": "Usually leave this off on Android. Turn on only if the Tailscale app is also installed on this phone.",
+  "tailscaleStatusDisabled": "Tailscale is off — nodes are not injected into the running profile.",
+  "tailscaleStatusNoNodes": "Enabled, but no nodes yet. Add a node to get started.",
+  "tailscaleStatusNeedStart": "Nodes are ready. Start FlClash VPN, then tap ping to test.",
+  "tailscaleStatusReady": "{count} node(s) active. Tap ping on a node to test connectivity.",
+  "tailscaleStatusNeedRoutes": "Nodes are added, but no route destinations yet — traffic will not match until you add routes (or pick the node manually).",
+  "tailscaleBypassNudge": "This device likely runs Tailscale already — turn on “Keep Tailscale traffic direct” to avoid fake-IP / control-plane breakage.",
+  "tailscaleShowSetupGuide": "Setup guide",
+  "tailscaleEnableBypassAction": "Enable",
+  "tailscaleNameHelper": "Outbound name used in Proxies. Renaming changes how selections and delay tests key this node.",
+  "tailscaleTestNeedEnable": "Turn on Enable Tailscale before testing.",
+  "tailscaleTestNeedStart": "Start FlClash VPN before testing the connection.",
+  "tailscaleTestNode": "Test connection",
+  "tailscaleNotTested": "Not tested",
+  "tailscaleNoRoutes": "No route destinations",
+  "tailscaleRoutesCount": "{count} route(s)",
+  "tailscaleNodesTitle": "Nodes",
+  "tailscaleTestTip": "Use the ping button next to a node to check whether the Tailscale outbound can dial out. A latency value means the connection is working; Timeout means check the auth key, Enable switch, and that FlClash VPN is started."
 }

arb/intl_ja.arb

@@ -552,5 +552,65 @@
   "geoSkipped": "{name} はすでに最新です",
   "geoUpdated": "{name} 更新済み",
   "secondsCount": "{count} 秒",
-  "entriesCount": "{count} エントリ"
+  "entriesCount": "{count} エントリ",
+  "features": "機能",
+  "hideAdvanced": "詳細設定を隠す",
+  "showAdvanced": "詳細設定を表示",
+  "tailscale": "Tailscale",
+  "tailscaleDesc": "Tailscale アウトバウンドノードを管理",
+  "tailscaleEnable": "Tailscale を有効化",
+  "tailscaleEnableDesc": "Tailscale ノードをアウトバウンドとして注入します。オフにすると Tailscale はトラフィックを処理しなくなりますが、通常のトラフィックには影響しません。",
+  "tailscaleEmptyTip": "Tailscale ノードがありません。追加すると、トラフィックを tailnet 経由で転送できます。",
+  "addTailscaleNode": "Tailscale ノードを追加",
+  "editTailscaleNode": "Tailscale ノードを編集",
+  "tailscaleAuthKey": "認証キー",
+  "tailscaleHostname": "ホスト名",
+  "tailscaleControlUrl": "コントロール URL",
+  "tailscaleStateDir": "状態ディレクトリ",
+  "tailscaleEphemeral": "エフェメラル",
+  "tailscaleUdp": "UDP リレー",
+  "tailscaleAcceptRoutes": "ルートを受け入れる",
+  "tailscaleExitNode": "出口ノード",
+  "tailscaleExitNodeAllowLanAccess": "出口ノード経由の LAN アクセスを許可",
+  "tailscaleNameExistsTip": "同じ名前のノードが既に存在します",
+  "tailscaleGuideTitle": "Tailscale の仕組み",
+  "tailscaleAuthKeyHint": "Tailscale 管理コンソール → 設定 → Keys から取得します。ノードの認証に必要です。",
+  "tailscaleHostnameHint": "任意。tailnet に表示されるデバイス名です。",
+  "tailscaleControlUrlHint": "任意。Headscale などの自己ホスト型コントロールサーバー用です。",
+  "tailscaleStateDirHint": "任意。Tailscale の状態を保存するディレクトリです。",
+  "tailscaleExitNodeHint": "任意。すべてのトラフィックを転送する tailnet 出口ノードの IP または名前です。",
+  "tailscaleBypass": "Tailscale のトラフィックを直結に保つ",
+  "tailscaleRoutes": "ルーティング先",
+  "tailscaleRoutesHint": "このノード経由で送るドメインまたは IP（1 行に 1 つ、例: 自宅 PC の Tailscale IP や MagicDNS 名）。",
+  "tailscaleScenarioAndroidTitle": "Android クライアント設定",
+  "tailscaleScenarioAndroidBody": "VPN は FlClash だけにしてください。Tailscale アプリの VPN と同時には使えません（Android は VPN を 1 つだけ許可）。下で内蔵 Tailscale ノードを追加し、自宅デバイスをルーティング先に入れてください。",
+  "tailscaleScenarioDesktopTitle": "デスクトップ / ホスト設定",
+  "tailscaleScenarioDesktopBody": "FlClash と正式な Tailscale アプリを同時に使えます。「Tailscale のトラフィックを直結に保つ」をオンにして、FlClash が制御プレーンや fake-IP DNS を横取りしないようにします。",
+  "tailscaleAndroidStep1": "Tailscale 管理コンソール（設定 → Keys）で認証キーを取得します。",
+  "tailscaleAndroidStep2": "ノードを追加し、認証キーを貼り付け、ルーティング先に自宅デバイスの IP または MagicDNS 名を入れます。",
+  "tailscaleAndroidStep3": "「Tailscale を有効化」をオンにします。Tailscale アプリも入れている場合以外は「直結に保つ」はオフのままで構いません。",
+  "tailscaleAndroidStep4": "FlClash VPN を開始し、ノード横のピンボタンで接続を確認します。",
+  "tailscaleDesktopStep1": "この PC で Tailscale アプリ/サービスも動かす場合は「Tailscale のトラフィックを直結に保つ」をオンにします。",
+  "tailscaleDesktopStep2": "任意: 認証キー付きの内蔵 Tailscale ノードを追加し、選択した通信を FlClash から tailnet 経由にします。",
+  "tailscaleDesktopStep3": "ルーティング先に宛先（自宅 IP / MagicDNS）を入れ、「Tailscale を有効化」をオンにします。",
+  "tailscaleDesktopStep4": "FlClash を開始し、ノード横のピンボタンで接続が安定しているか確認します。",
+  "tailscaleBypassRecommended": "Tailscale アプリ/サービスが入っているデスクトップでは推奨。DIRECT ルールと Fake IP Filter を自動管理します。",
+  "tailscaleBypassAndroidHint": "Android では通常オフのまま。この端末にも Tailscale アプリがある場合だけオンにしてください。",
+  "tailscaleStatusDisabled": "Tailscale はオフです — ノードは実行中の設定に注入されません。",
+  "tailscaleStatusNoNodes": "有効ですが、ノードがありません。まずノードを追加してください。",
+  "tailscaleStatusNeedStart": "ノードの準備ができました。FlClash VPN を開始してからピンでテストしてください。",
+  "tailscaleStatusReady": "{count} 個のノードが有効です。ノード横のピンで接続をテストできます。",
+  "tailscaleStatusNeedRoutes": "ノードは追加済みですがルート先がありません — ルートを追加するまで自動一致しません（または手動でノードを選択）。",
+  "tailscaleBypassNudge": "この端末では Tailscale も動いている可能性があります — 「Tailscale 通信を直通」をオンにして Fake IP / 制御面の不具合を避けてください。",
+  "tailscaleShowSetupGuide": "セットアップガイド",
+  "tailscaleEnableBypassAction": "有効にする",
+  "tailscaleNameHelper": "プロキシ一覧の出站名です。名前を変えると選択や遅延テストの対応も変わります。",
+  "tailscaleTestNeedEnable": "テストする前に「Tailscale を有効化」をオンにしてください。",
+  "tailscaleTestNeedStart": "接続をテストする前に FlClash VPN を開始してください。",
+  "tailscaleTestNode": "接続をテスト",
+  "tailscaleNotTested": "未テスト",
+  "tailscaleNoRoutes": "ルーティング先なし",
+  "tailscaleRoutesCount": "ルーティング先 {count} 件",
+  "tailscaleNodesTitle": "ノード",
+  "tailscaleTestTip": "ノード横のピンボタンで、Tailscale アウトバウンドが発信できるか確認できます。遅延が表示されれば接続は正常です。Timeout の場合は認証キー、「有効化」、FlClash VPN の起動を確認してください。"
 }

arb/intl_ru.arb

@@ -552,5 +552,65 @@
   "geoSkipped": "Для {name} уже установлена последняя версия",
   "geoUpdated": "{name} обновлено",
   "secondsCount": "{count} секунд",
-  "entriesCount": "{count} записей"
+  "entriesCount": "{count} записей",
+  "features": "Функции",
+  "hideAdvanced": "Скрыть дополнительно",
+  "showAdvanced": "Показать дополнительно",
+  "tailscale": "Tailscale",
+  "tailscaleDesc": "Управление исходящими узлами Tailscale",
+  "tailscaleEnable": "Включить Tailscale",
+  "tailscaleEnableDesc": "Добавлять узлы Tailscale как исходящие. При отключении Tailscale перестаёт обрабатывать трафик; обычный трафик не затрагивается.",
+  "tailscaleEmptyTip": "Узлов Tailscale пока нет. Добавьте узел, чтобы направлять трафик через вашу сеть tailnet.",
+  "addTailscaleNode": "Добавить узел Tailscale",
+  "editTailscaleNode": "Изменить узел Tailscale",
+  "tailscaleAuthKey": "Ключ аутентификации",
+  "tailscaleHostname": "Имя хоста",
+  "tailscaleControlUrl": "URL сервера управления",
+  "tailscaleStateDir": "Каталог состояния",
+  "tailscaleEphemeral": "Временный узел",
+  "tailscaleUdp": "Ретрансляция UDP",
+  "tailscaleAcceptRoutes": "Принимать маршруты",
+  "tailscaleExitNode": "Выходной узел",
+  "tailscaleExitNodeAllowLanAccess": "Разрешить доступ к локальной сети через выходной узел",
+  "tailscaleNameExistsTip": "Узел с таким именем уже существует",
+  "tailscaleGuideTitle": "Как работает Tailscale",
+  "tailscaleAuthKeyHint": "Из консоли администратора Tailscale → Settings → Keys. Требуется для аутентификации узла.",
+  "tailscaleHostnameHint": "Необязательно. Имя устройства, отображаемое в вашей сети tailnet.",
+  "tailscaleControlUrlHint": "Необязательно. Только для собственных серверов управления, например Headscale.",
+  "tailscaleStateDirHint": "Необязательно. Каталог для хранения состояния Tailscale.",
+  "tailscaleExitNodeHint": "Необязательно. IP-адрес или имя выходного узла tailnet для маршрутизации всего трафика.",
+  "tailscaleBypass": "Оставлять трафик Tailscale напрямую",
+  "tailscaleRoutes": "Пункты назначения маршрута",
+  "tailscaleRoutesHint": "Домены или IP, направляемые через этот узел, по одному в строке (например, Tailscale IP или имя MagicDNS вашего домашнего ПК).",
+  "tailscaleScenarioAndroidTitle": "Настройка клиента Android",
+  "tailscaleScenarioAndroidBody": "Оставьте FlClash единственным VPN. Не запускайте VPN приложения Tailscale одновременно (Android допускает только один). Добавьте встроенный узел Tailscale ниже и укажите домашнее устройство в пунктах назначения маршрута.",
+  "tailscaleScenarioDesktopTitle": "Настройка ПК / хоста",
+  "tailscaleScenarioDesktopBody": "Можно запускать FlClash и настоящее приложение Tailscale вместе. Включите «Оставлять трафик Tailscale напрямую», чтобы FlClash не перехватывал плоскость управления Tailscale и fake-IP DNS.",
+  "tailscaleAndroidStep1": "Получите ключ аутентификации в консоли администратора Tailscale (Settings → Keys).",
+  "tailscaleAndroidStep2": "Добавьте узел, вставьте ключ и укажите IP или имя MagicDNS домашнего устройства в пунктах назначения маршрута.",
+  "tailscaleAndroidStep3": "Включите Tailscale. «Оставлять трафик напрямую» обычно выключайте, если приложение Tailscale на телефоне не установлено.",
+  "tailscaleAndroidStep4": "Запустите VPN FlClash, затем нажмите кнопку ping у узла, чтобы проверить соединение.",
+  "tailscaleDesktopStep1": "Если на этом ПК также работает приложение/служба Tailscale, включите «Оставлять трафик Tailscale напрямую».",
+  "tailscaleDesktopStep2": "Необязательно: добавьте встроенный узел Tailscale с ключом, чтобы направлять выбранный трафик через tailnet из FlClash.",
+  "tailscaleDesktopStep3": "Укажите назначения (домашние IP / MagicDNS) в пунктах назначения маршрута и включите Tailscale.",
+  "tailscaleDesktopStep4": "Запустите FlClash и нажмите ping у узла, чтобы убедиться, что соединение стабильно.",
+  "tailscaleBypassRecommended": "Рекомендуется на ПК, где установлено приложение/служба Tailscale. Автоматически управляет правилами DIRECT и Fake IP Filter.",
+  "tailscaleBypassAndroidHint": "На Android обычно оставляйте выключенным. Включайте только если на телефоне также установлено приложение Tailscale.",
+  "tailscaleStatusDisabled": "Tailscale выключен — узлы не добавляются в рабочий профиль.",
+  "tailscaleStatusNoNodes": "Включено, но узлов ещё нет. Добавьте узел, чтобы начать.",
+  "tailscaleStatusNeedStart": "Узлы готовы. Запустите VPN FlClash, затем нажмите ping для проверки.",
+  "tailscaleStatusReady": "Активных узлов: {count}. Нажмите ping у узла, чтобы проверить связь.",
+  "tailscaleStatusNeedRoutes": "Узлы добавлены, но нет маршрутов — трафик не совпадёт, пока не добавите маршруты (или выберите узел вручную).",
+  "tailscaleBypassNudge": "На этом устройстве, возможно, уже запущен Tailscale — включите «Прямой трафик Tailscale», чтобы избежать проблем Fake IP / control plane.",
+  "tailscaleShowSetupGuide": "Инструкция",
+  "tailscaleEnableBypassAction": "Включить",
+  "tailscaleNameHelper": "Имя исходящего узла в Proxies. Переименование меняет привязку выбора и тестов задержки.",
+  "tailscaleTestNeedEnable": "Перед проверкой включите Tailscale.",
+  "tailscaleTestNeedStart": "Перед проверкой соединения запустите VPN FlClash.",
+  "tailscaleTestNode": "Проверить соединение",
+  "tailscaleNotTested": "Не проверено",
+  "tailscaleNoRoutes": "Нет пунктов назначения",
+  "tailscaleRoutesCount": "Маршрутов: {count}",
+  "tailscaleNodesTitle": "Узлы",
+  "tailscaleTestTip": "Кнопка ping рядом с узлом проверяет, может ли исходящий Tailscale установить соединение. Задержка означает, что связь есть; Timeout — проверьте ключ, переключатель включения и что VPN FlClash запущен."
 }