Tailscale on 断念梦的站点

Tailscale

Mon, 01 Jan 0001 00:00:00 +0000

WireGuard 相比于传统 VPN 的核心优势是没有 VPN 网关，所有节点之间都可以 P2P(点对点) 连接，也就是 full mesh(全互联模式)，效率更高，速度更快，成本更低。

WireGuard 目前最大的痛点就是上层应用的功能不够健全，因为 WireGuard 推崇的是 Unix 的哲学，WireGuard 本身只是一个内核级别的模块，只是一个数据平面，至于上层的更高级的功能（比如秘钥交换机制，UDP 打洞，ACL 等），需要通过用户空间的应用来实现。

所以为了基于 WireGuard 实现更完美的 VPN 工具，现在已经涌现出了很多项目在互相厮杀。Netmaker 通过可视化界面来配置 WireGuard 的全互联模式，它支持 UDP 打洞、多租户等各种高端功能，几乎适配所有平台，非常强大。然而现实世界是复杂的，无法保证所有的 NAT 都能打洞成功，且 Netmaker 目前还没有 fallback 机制，如果打洞失败，无法 fallback 改成走中继节点。Tailscale 在这一点上比 Netmaker 高明许多，它支持 fallback 机制，可以尽最大努力实现全互联模式，部分节点即使打洞不成功，也能通过中继节点在这个虚拟网络中畅通无阻。

概述

参考：

GitHub 项目，tailscale/tailscale

第一次 Commit: 2020-02-01

官网

公众号 - 云原声实验室，Tailscal 开源版本让你的 WireGuard 直接起飞

Tailscale 的开源方案

Tailscale 是一种基于 WireGuard 的虚拟组网工具，和 Netmaker 类似，最大的区别在于 Tailscale 是在用户态实现了 WireGuard 协议，而 Netmaker 直接使用了内核态的 WireGuard。所以 Tailscale 相比于内核态 WireGuard 性能会有所损失，但与 OpenVPN 之流相比还是能甩好几十条街的，Tailscale 虽然在性能上做了些许取舍，但在功能和易用性上绝对是完爆其他工具：

Tailscale ACL

Mon, 01 Jan 0001 00:00:00 +0000

概述

参考：

官方文档，使用 ACL 管理权限

官方文档，参考 - Tailnet 策略文件语法

Tailscale 博客，RBAC 的初衷

ACL 的配置示例

groups

https://tailscale.com/kb/1337/policy-syntax#groups

hosts

https://tailscale.com/kb/1337/policy-syntax#hosts

acls

https://tailscale.com/kb/1337/policy-syntax#acls

dst

dst 字段设置一个访问目标的列表，该列表是一组适用于某 acl 规则的访问目标。

列表中的每个元素格式为 HOST:PORTS。i.e. 1 个 host，1 个或多个 ports。

HOST 可以是一以下任意类型

Type	Example	Description
Any	`*`	Includes any destination (no restrictions).
User	`shreya@example.com`	Includes any device currently signed in as the provided user.
Group	`group:<group-name>`	Includes all users in the provided group.
Tailscale IP address	`100.101.102.103`	Includes only the device that owns the provided Tailscale IP address.
Hosts	`example-host-name`	Includes the Tailscale IP address in the `hosts` section.
Subnet CIDR Range	`192.168.1.0/24`	Includes any IP address within the given subnet.
Tags	`tag:<tag-name>`	Includes any device with the provided tag.
Internet access through an exit node	`autogroup:internet`	Includes devices with access to the internet through exit nodes.
Own devices	`autogroup:self`	Includes devices where the same user is authenticated on both the `src` and the `dst`. This does not include devices for which the user has tags.
Tailnet devices	`autogroup:member`	Includes devices in the tailnet where the user is a direct member (not a shared user) of the tailnet.
Admin devices	`autogroup:admin`	Includes devices where the user is an Admin.
Network admin devices	`autogroup:network-admin`	Includes devices where the user is a Network admin.
IT admin devices	`autogroup:it-admin`	Includes to devices where the user is an IT admin.
Billing admin devices	`autogroup:billing-admin`	Includes devices where the user is a Billing admin.
Auditor devices	`autogroup:auditor`	Includes devices where the user is an Auditor.
Owner devices	`autogroup:owner`	Includes devices where the user is the tailnet Owner.
IP sets	`ipset:<ip-set-name>`	Includes all targets in the IP set.

PORTS 可以是以下任意类型

tailscale CLI

Mon, 01 Jan 0001 00:00:00 +0000

概述

参考：

官方文档，参考 - CLI

Syntax(语法)

tailscale COMMAND

netcheck # 打印本地网络状况分析。主要是显示当前可用的 DERP 以及本机到各个 DERP 的连接延迟等信息。
ping <HOST> # 通过 Tailscale ping 指定主机，看看本机是如何路由到目标的（是直通还是经过了 DERP）
set # 改变指定的配置。

login/logout

logout 从Tailscale 协调服务器登出，并使节点的密钥过期

up/down

连接/断开与 Tailscaled 的链接。断开后，Tailscale 协调服务器（e.g. Headscale）将不会连接到该节点。

set

–accept-dns # 是否接收管理控制台（e.g. Headscale, etc.）的 DNS 信息。默认值: true

该配置会覆盖 /etc/resolv.conf 文件

–accept-routes # 是否接受其他节点公开的路由信息。默认值: false

Tips: 对应 /var/lib/tailscale/tailscaled.state 文件中 .profile-XXX 字段中的 .RouteAll 字段

–advertise-routes # 向整个 Tailscale 网络公开本机的路由。也就是说告诉其他节点访问哪些 IP 要经过本机。默认值: 空，值是以 , 分割的 CIDR 格式的子网

Tailscale DERP

Mon, 01 Jan 0001 00:00:00 +0000

概述

参考：

公众号，自建 DERP 中继服务器，从此 Tailscale 畅通无阻

官方文档，自定义 DERP 服务器

上篇文章介绍了如何使用 Headscale 替代 Tailscale 官方的控制服务器，并接入各个平台的客户端。本文将会介绍如何让 Tailscale 使用自定义的 DERP Servers。可能很多人都不知道 DERP 是个啥玩意儿，没关系，我先从 中继服务器 开始讲起。

STUN 是什么

Tailscale 的终极目标是让两台处于网络上的任何位置的机器建立点对点连接（直连），但现实世界是复杂的，大部份情况下机器都位于 NAT 和防火墙后面，这时候就需要通过打洞来实现直连，也就是 NAT 穿透。

NAT 按照 NAT 映射行为和有状态防火墙行为可以分为多种类型，但对于 NAT 穿透来说根本不需要关心这么多类型，只需要看 NAT 或者有状态防火墙是否会严格检查目标 Endpoint，根据这个因素，可以将 NAT 分为 Easy NAT 和 Hard NAT。

Easy NAT 及其变种称为 “Endpoint-Independent Mapping” (EIM，终点无关的映射) 这里的 Endpoint 指的是目标 Endpoint，也就是说，有状态防火墙只要看到有客户端自己发起的出向包，就会允许相应的入向包进入，不管这个入向包是谁发进来的都可以。
hard NAT 以及变种称为 “Endpoint-Dependent Mapping”（EDM，终点相关的映射）这种 NAT 会针对每个目标 Endpoint 来生成一条相应的映射关系。在这样的设备上，如果客户端向某个目标 Endpoint 发起了出向包，假设客户端的公网 IP 是 2.2.2.2，那么有状态防火墙就会打开一个端口，假设是 4242。那么只有来自该目标 Endpoint 的入向包才允许通过 2.2.2.2:4242，其他客户端一律不允许。这种 NAT 更加严格，所以叫 Hard NAT。

对于 Easy NAT，我们只需要提供一个第三方的服务，它能够告诉客户端“它看到的客户端的公网 ip:port 是什么”，然后将这个信息以某种方式告诉通信对端（peer），后者就知道该和哪个地址建连了！这种服务就叫 STUN (Session Traversal Utilities for NAT，NAT 会话穿越应用程序)。它的工作流程如下图所示：

Headscale

Mon, 01 Jan 0001 00:00:00 +0000

概述

参考：

GitHub 项目，juanfont/headscale

第一次 Commit: 2020-06-21

公众号 - 云原声实验室，Tailscal 开源版本让你的 WireGuard 直接起飞

馆长博客，headscale 搭建和应用场景

Tailscale 的控制服务器是不开源的，而且对免费用户有诸多限制，这是人家的摇钱树，可以理解。好在目前有一款开源的实现叫 Headscale，这也是唯一的一款，希望能发展壮大。

Headscale 由欧洲航天局的 Juan Font 使用 Go 语言开发，在 BSD 许可下发布，实现了 Tailscale 控制服务器的所有主要功能，可以部署在企业内部，没有任何设备数量的限制，且所有的网络流量都由自己控制。

目前 Headscale 还没有可视化界面，期待后续更新吧。

Headscale 部署

理论上来说只要你的 Headscale 服务可以暴露到公网出口就行，但最好不要有 NAT，所以推荐将 Headscale 部署在有公网 IP 的云主机上。

安装程序与应用配置

准备一些环境变量

export HeadscaleVersion="0.22.3"
export HeadscaleArch="amd64"
# 各个 Tailscale 节点与 Headscale 通信的 IP
export HeadscaleAddr="https://X.X.X.X:YYY"

准备 Headscale 相关文件及目录。从 GitHub 仓库的 Release 页面下载最新版的二进制文件。

wget --output-document=/usr/local/bin/headscale \
 https://github.com/juanfont/headscale/releases/download/v${HeadscaleVersion}/headscale_${HeadscaleVersion}_linux_${HeadscaleArch}

chmod +x /usr/local/bin/headscale

创建相关目录及文件

Headscale MGMT

Mon, 01 Jan 0001 00:00:00 +0000

概述

参考：

最佳实践

tailscale 默认网段与阿里云 DNS 网段冲突

https://nyan.im/p/troubleshoot-tailscale

本质：tailscale 使用 100.64.0.0/10 网段，阿里云 DNS 100.100.2.138。阿里云的 DNS 地址刚好被规则丢了。

解决方式：

治标
- 删除 ts-input 链中 -A ts-input -s 100.64.0.0/10 ! -i tailscale0 -j DROP 这条规则
治本
- 暂无

修改节点 IP

提示

https://github.com/juanfont/headscale/issues/3133 未合并。现阶段只能通过修改 Sqlite 实现。

查看各节点 IP

sqlite3 -header -column /var/lib/headscale/db.sqlite "SELECT id, hostname, given_name, ipv4, ipv6 FROM nodes;"

id hostname ipv4 ipv6
-- ---------------- ---------- -----------------
1 LAPTOP-5113MLDP 100.64.0.1 fd7a:115c:a1e0::1
2 aliyun-ubuntu-01 100.64.0.2 fd7a:115c:a1e0::2

更新 1 和 2 节点的 ipv4

Tailscale: How it works

Sat, 21 Mar 2020 00:00:00 +0000

Blog 博客 | 三月 20, 2020

How Tailscale works Tailscale 工作原理

People often ask us for an overview of how Tailscale works. We’ve been putting off answering that, because we kept changing it! But now things have started to settle down. 人们经常要求我们概述 Tailscale 的工作原理。我们一直推迟回答这个问题，因为我们的架构在不断演进！但现在系统已逐渐趋于稳定。

Let’s go through the entire Tailscale system from bottom to top, the same way we built it (but skipping some zigzags we took along the way). With this information, you should be able to build your own Tailscale replacement… except you don’t have to, since our node software is open source and we have a flexible free plan. 让我们从底层到顶层完整梳理 Tailscale 系统架构，这与我们的构建思路一致（但会略过期间走过的弯路）。了解这些信息后，您完全可以构建自己的 Tailscale 替代方案…不过其实无需重复造轮子，因为我们的节点软件是开源的，并且提供灵活的免费方案。