لوحة تحكم لشبكة خاصة.

افهم ما يتم تنسيقه

تدير لوحة التحكم تسجيل العقد وتوزع معلومات الشبكة. قد تستخدم حركة البيانات اتصالات مباشرة بين الأقران أو مرحّلًا حسب الاتصال. تشغيل المنسّق لا يعني أن كل حزمة تمر عبره.

اجعل التسجيل قرارًا واعيًا

احمي API الإداري واستخدم طرق تسجيل قصيرة الأجل أو محددة النطاق بشكل مناسب. شيل الأجهزة المفقودة أو المتقاعدة. القدرة على الانضمام للشبكة ما تعنيش الوصول لكل خدمة.

راجع قوائم التحكم في الوصول والمسارات

طبّق قواعد أقل صلاحية بين المستخدمين والعقد. مسارات الشبكة الفرعية المعلنة وعقد الخروج بتوسع الشبكة القابلة للوصول ومحتاجة موافقة صريحة. اختبر الترافيك المرفوض بنفس عناية الترافيك المسموح.

احتفظ بمواد الاسترداد

اعمل نسخ احتياطي للإعداد والحالة والمفاتيح حسب إجراء الإصدار المدعوم. خلّي طريقة لإدارة VPS لو الشبكة المتداخلة فشلت. تحقق من توافق العميل وملاحظات الترقية قبل ما تغيّر لوحة التحكم.

التسجيل والتوجيه والسياسة فحوصات منفصلة

Headscale بينسّق عملاء Tailscale المتوافقين؛ الاتصالات المباشرة ومسارات ترحيل DERP ليها سلوك شبكة مختلف. راوتر الشبكة الفرعية بيعلن نطاق، وسيرفر التحكم بيوافق عليه، والعميل لازم يقبل المسار. فعّل التمرير على عقدة التوجيه وخلّي النطاقات المعلنة ضيقة. المسار الموافق عليه لسه محتاج سياسة وصول تحدد مين يقدر يستخدم أي وجهة وأي منفذ.

• تحقق من قائمة المسارات في خادم التحكم
• اختبر من جهاز مسموح به
• كرر نفس الاختبار من جهاز المفروض إنه مرفوض

headscale nodes list-routes

الوثائق الرسمية: مسارات Headscale

متحطش مسار الاسترداد الوحيد جوه الـ mesh

سيب طريقة تانية للوصول لكونسول السيرفر أو مسار مسؤول مقيّد بشدة. اختبر اللي بيحصل لما المنسّق أو الـ relay أو العميل يكون مش متاح. حافظ على حالة مستوى التحكم والمفاتيح حسب الإصدار المثبّت. الشبكة الخاصة ممكن تسهّل الوصول، بس مايصحّش تبقى اعتمادية غير موثّقة تمنع إصلاح نفسها.

ثبّت هوية مستوى التحكم ومسار الاسترداد

اختر اسم HTTPS مستقرًا وإصدار Headscale مدعومًا وعملاء Tailscale متوافقين. اقرأ مثال الإعدادات المرفق مع ذلك الإصدار بالضبط؛ فالإعدادات المنسوخة من إصدار مختلف قد تفشل في التحقق أو تصف سياسة مختلفة بصمت. احتفظ بقاعدة بيانات مستوى التحكم والمفاتيح المطلوبة. أبقِ API الإداري خاصًا واحتفظ بمسار وحدة تحكم منفصل أو مسار SSH مقيّد، حتى لا يصبح منسّق الشبكة غير قابل للإصلاح عند فقدان الشبكة المتداخلة.

• استخدم شهادة صالحة لاسم مستوى التحكم العام.
• خلي مفاتيح التسجيل قصيرة العمر وبالنطاق المناسب.
• اعتبر تصميم الـ relay ومساحة الأسماء DNS خيارات صريحة.

الوثائق الرسمية: نشر حاوية Headscale

سجّل جهازًا واحدًا قبل الإعلان عن شبكة

شغّل السيرفر باستخدام تعليمات المصدر وسجّل مستخدم/جهاز اختبار واحد من خلال طريقة التسجيل الموثقة. أكّد إن الجهاز بيوصل لـ control URL المتوقع وبيظهر تحت الهوية المقصودة. افحص حالة العميل واختبر خدمة خاصة واحدة قبل ما تضيف مسارات exit-node أو الشبكة الفرعية. مسار DERP ممكن يحافظ على الاتصال لما المسار المباشر مش متاح؛ ده مش معناه إن المنسّق بيمرّر كل حزمة.

• ابدأ بجهاز وخدمة تقدر تشيلهم بأمان.
• تحقق مما إذا كانت حركة النظير مباشرة أم عبر ريلاي.
• احمي الريلاي ونقاط التحكم حسب النشر المختار.

الوثائق الرسمية: مرجع نشر Headscale

اعتمد التوجيه والتفويض بشكل مستقل

للوصول للشبكة الفرعية، فعّل التمرير على عقدة التوجيه، وأعلن نطاق ضيق، ووافق عليه على سيرفر التحكم، وتأكد إن عميل الوجهة بيقبله. تجنب الشبكات المتداخلة اللي بتخلي مسار الرجوع غامض. المسار الموافق عليه مش سياسة وصول: حدد مين يقدر يتصل بأي وجهة وأي منفذ، بما في ذلك أجهزة الضيوف. اختبر اتصال مسموح واتصال مرفوض مطابق قبل ما توسّع الشبكة المتداخلة.

# Run on the control server; syntax follows the installed release:
headscale nodes list-routes
# Client-side inspection:
tailscale status

الوثائق الرسمية: مسارات الشبكة الفرعية والخروج في Headscale

حدّد الطبقة المعطوبة قبل تغيير السياسة

إذا فشل التسجيل، افحص DNS وHTTPS وخادم URL. إذا انضم الجهاز لكن الشبكة الفرعية غير قابلة للوصول، افحص الإعلان والموافقة وقبول مسار العميل وإعادة التوجيه ومسار العودة. إذا فشلت خدمة واحدة فقط، افحص عنوان الربط والجدار الناري للمضيف وسياسة الشبكة. احتفظ بنسخة احتياطية متسقة لقاعدة البيانات/الإعدادات واختبر ترقية إصدار بعميل مؤقت قبل تغيير لوحة التحكم الوحيدة.