Yksityisen mesh-verkon ohjaustaso.

Ymmärrä, mitä koordinoidaan

Ohjaustaso hallinnoi solmujen rekisteröintiä ja jakaa verkkotietoja. Dataliikenne voi käyttää suoria vertaisyhteyksiä tai välityspalvelinta yhteyksien mukaan. Koordinaattorin ylläpito ei tarkoita, että jokainen paketti kulkee sen kautta.

Tee ilmoittautumisesta tarkoituksellista

Suojaa hallinnollinen API ja käytä lyhytikäisiä tai asianmukaisesti rajattuja rekisteröintimenetelmiä. Poista kadonneet tai käytöstä poistetut laitteet. Verkkoon liittymisen mahdollisuus ei saa tarkoittaa pääsyä kaikkiin palveluihin.

Tarkista ACL:t ja reitit

Käytä vähimmän oikeuden sääntöjä käyttäjien ja solmujen välillä. Mainostetut aliverkkoreitit ja poistumissolmut laajentavat saavutettavaa verkkoa ja vaativat nimenomaisen hyväksynnän. Testaa estetty liikenne yhtä huolellisesti kuin sallittu liikenne.

Säilytä palautusmateriaali

Varmuuskopioi kokoonpano, tila ja avaimet tuetun version menettelyn mukaisesti. Pidä tapa hallinnoida VPS, jos mesh epäonnistuu. Varmista asiakasyhteensopivuus ja päivitysohjeet ennen ohjaustason muuttamista.

Rekisteröinti, reititys ja käytännöt ovat erillisiä tarkistuksia

Headscale koordinoi yhteensopivia Tailscale-asiakkaita; suorilla yhteyksillä ja DERP-välityspoluilla on erilainen verkkokäyttäytyminen. Aliverkkoreititin mainostaa aluetta, ohjauspalvelin hyväksyy sen, ja asiakkaan on hyväksyttävä reitti. Ota edelleenlähetys käyttöön reitityssolmussa ja pidä mainostetut alueet kapeina. Hyväksytty reitti tarvitsee silti käyttöoikeuskäytännön, joka rajoittaa, kuka saa käyttää mitä kohdetta ja porttia.

• Tarkista ohjauspalvelimen reittiluettelo
• Testaa sallitusta laitteesta
• Toista sama testi laitteelta, jolta pääsy pitäisi evätä

headscale nodes list-routes

Virallinen dokumentaatio: Headscale-reitit

Älä sijoita ainoaa palautuspolkua verkon sisään

Pidä toinen tapa päästä palvelinkonsoliin tai tiukasti rajoitettu ylläpitäjän reitti. Testaa, mitä tapahtuu, kun koordinaattori, välityspalvelin tai asiakasohjelma ei ole käytettävissä. Säilytä ohjaustason tila ja avaimet asennetun version mukaisesti. Yksityinen mesh voi yksinkertaistaa pääsyä, mutta siitä ei saa tulla dokumentoimatonta riippuvuutta, joka estää oman korjauksensa.

Vahvista ohjaustason identiteetti ja palautusreitti

Valitse vakaa HTTPS-nimi, tuettu Headscale-julkaisu ja yhteensopivat Tailscale-asiakkaat. Lue kyseisen julkaisun mukana toimitettu kokoonpanoesimerkki; eri julkaisusta kopioitu kokoonpano voi epäonnistua validoinnissa tai kuvata hiljaisesti eri käytäntöä. Säilytä ohjaustason tietokanta ja tarvittavat avaimet. Pidä hallinnollinen API yksityisenä ja säilytä erillinen konsoli tai rajoitettu SSH-reitti, jotta verkon menettäminen ei tee sen koordinaattorin korjaamisesta mahdotonta.

• Käytä julkisen ohjaustason nimeen kelpaavaa varmennetta.
• Pidä rekisteröintiavaimet lyhytikäisinä ja asianmukaisesti rajattuina.
• Käsittele välityspalvelimen rakennetta ja DNS-nimiavaruutta tietoisina valintoina.

Virallinen dokumentaatio: Headscale-kontin käyttöönotto

Rekisteröi yksi laite ennen verkon mainostamista

Käynnistä palvelin ylävirran ohjeiden mukaisesti ja rekisteröi yksi testikäyttäjä/-laite dokumentoidulla liittymismenetelmällä. Vahvista, että laite saavuttaa odotetun ohjaus URL ja näkyy aiotulla identiteetillä. Tarkista asiakkaan tila ja testaa yksi yksityinen palvelu ennen poistumissolmun tai aliverkon reittien lisäämistä. DERP-polku voi säilyttää yhteyden, kun suoraa polkua ei ole saatavilla; se ei tarkoita, että koordinaattori välittää jokaisen paketin.

• Aloita laitteesta ja palvelusta, jonka voit poistaa turvallisesti.
• Tarkista, onko vertaisliikenne suoraa vai välitettyä.
• Suojaa rele- ja ohjauspäätepisteet valitun käyttöönoton mukaisesti.

Virallinen dokumentaatio: Headscale-käyttöönoton viite

Hyväksy reititys ja valtuutus erikseen

Aliverkkopääsyä varten ota edelleenlähetys käyttöön reitityssolmussa, mainosta kapeaa aluetta, hyväksy se ohjauspalvelimella ja varmista, että kohdeasiakas hyväksyy sen. Vältä päällekkäisiä verkkoja, jotka tekevät paluureitistä epäselvän. Hyväksytty reitti ei ole käyttöoikeuskäytäntö: määritä, kuka voi yhdistää mihin kohteeseen ja porttiin, mukaan lukien vieraslaitteet. Testaa sallittu yhteys ja identtinen estetty yhteys ennen meshin laajentamista.

# Run on the control server; syntax follows the installed release:
headscale nodes list-routes
# Client-side inspection:
tailscale status

Virallinen dokumentaatio: Headscalen aliverkko ja poistumisreitit

Etsi rikkoutunut kerros ennen käytännön muuttamista

Jos liittyminen epäonnistuu, tarkista DNS, HTTPS ja palvelin URL. Jos laite liittyy, mutta aliverkkoon ei saada yhteyttä, tarkista mainostus, hyväksyntä, asiakkaan reitin hyväksyntä, edelleenohjaus ja paluupolku. Jos vain yksi palvelu epäonnistuu, tarkista sen sidontaosoite, isäntäpalomuuri ja mesh-käytäntö. Säilytä johdonmukainen tietokannan/kokoonpanon varmuuskopio ja testaa versiopäivitys kertakäyttöisellä asiakkaalla ennen kuin muutat ainoaa ohjaustasoa.