एक निजी मेश के लिए कंट्रोल प्लेन।

समझें कि क्या समन्वित किया जा रहा है

कंट्रोल प्लेन नोड पंजीकरण का प्रबंधन करता है और नेटवर्क जानकारी वितरित करता है। कनेक्टिविटी के आधार पर डेटा ट्रैफ़िक सीधे पीयर कनेक्शन या रिले का उपयोग कर सकता है। समन्वयक चलाने का अर्थ यह नहीं कि हर पैकेट उससे होकर गुज़रता है।

नामांकन को जानबूझकर करें

प्रशासनिक API की सुरक्षा करें और अल्पकालिक या उपयुक्त रूप से सीमित पंजीकरण विधियों का उपयोग करें। खोए या सेवानिवृत्त उपकरणों को हटा दें। मेश में शामिल होने की क्षमता का अर्थ हर सेवा तक पहुँच नहीं होना चाहिए।

ACL और रूट की समीक्षा करें

उपयोगकर्ताओं और नोड्स के बीच न्यूनतम-विशेषाधिकार नियम लागू करें। विज्ञापित सबनेट रूट और एग्ज़िट नोड्स पहुँच योग्य नेटवर्क का विस्तार करते हैं और स्पष्ट अनुमोदन की आवश्यकता रखते हैं। अस्वीकृत ट्रैफ़िक का परीक्षण अनुमत ट्रैफ़िक की तरह ही सावधानी से करें।

रिकवरी सामग्री सुरक्षित रखें

समर्थित संस्करण की प्रक्रिया के अनुसार कॉन्फ़िगरेशन, स्थिति और कुंजियों का बैकअप लें। यदि मेश विफल हो जाए तो VPS को प्रशासित करने का एक तरीका रखें। नियंत्रण तल बदलने से पहले क्लाइंट संगतता और अपग्रेड नोट्स सत्यापित करें।

पंजीकरण, रूटिंग और नीति अलग-अलग जाँचें हैं

Headscale संगत Tailscale क्लाइंट का समन्वय करता है; प्रत्यक्ष कनेक्शन और DERP रिले पथों का नेटवर्क व्यवहार भिन्न होता है। एक सबनेट राउटर एक श्रेणी का विज्ञापन करता है, नियंत्रण सर्वर उसे स्वीकृत करता है, और क्लाइंट को मार्ग स्वीकार करना होता है। राउटिंग नोड पर फ़ॉरवर्डिंग सक्षम करें और विज्ञापित श्रेणियाँ संकीर्ण रखें। स्वीकृत मार्ग को अभी भी एक पहुँच नीति की आवश्यकता होती है जो सीमित करे कि कौन किस गंतव्य और पोर्ट का उपयोग कर सकता है।

• कंट्रोल सर्वर की रूट सूची जाँचें
• अनुमत डिवाइस से परीक्षण करें
• उसी परीक्षण को ऐसे डिवाइस से दोहराएँ जिसे अस्वीकृत होना चाहिए

headscale nodes list-routes

आधिकारिक दस्तावेज़: Headscale रूट

एकमात्र रिकवरी पथ को मेश के अंदर न रखें

सर्वर कंसोल या कड़ाई से प्रतिबंधित प्रशासक मार्ग तक पहुँचने का दूसरा तरीका रखें। परीक्षण करें कि समन्वयक, रिले या क्लाइंट अनुपलब्ध होने पर क्या होता है। इंस्टॉल किए गए संस्करण के अनुसार कंट्रोल-प्लेन स्थिति और कुंजियाँ सुरक्षित रखें। एक निजी मेश पहुँच को सरल बना सकता है, लेकिन उसे ऐसी अप्रलेखित निर्भरता नहीं बनना चाहिए जो उसकी अपनी मरम्मत को रोके।

कंट्रोल-प्लेन पहचान और रिकवरी मार्ग ठीक करें

एक स्थिर HTTPS नाम, समर्थित Headscale रिलीज़ और संगत Tailscale क्लाइंट चुनें। उसी सटीक रिलीज़ के साथ भेजा गया कॉन्फ़िगरेशन उदाहरण पढ़ें; किसी भिन्न रिलीज़ से कॉपी किया गया कॉन्फ़िगरेशन सत्यापन में विफल हो सकता है या चुपचाप भिन्न नीति का वर्णन कर सकता है। कंट्रोल-प्लेन डेटाबेस और आवश्यक कुंजियाँ स्थायी रूप से सहेजें। प्रशासनिक API को निजी रखें और एक अलग कंसोल या प्रतिबंधित SSH मार्ग बनाए रखें, ताकि मेश खोने पर उसके समन्वयक की मरम्मत असंभव न हो जाए।

• सार्वजनिक कंट्रोल-प्लेन नाम के लिए मान्य प्रमाणपत्र का उपयोग करें।
• नामांकन कुंजियों को अल्पकालिक और उपयुक्त रूप से सीमित रखें।
• रिले डिज़ाइन और DNS नेमस्पेस को स्पष्ट विकल्पों के रूप में मानें।

आधिकारिक दस्तावेज़: हेडस्केल कंटेनर परिनियोजन

नेटवर्क का प्रचार करने से पहले एक डिवाइस नामांकित करें

अपस्ट्रीम निर्देशों का उपयोग करके सर्वर शुरू करें और दस्तावेज़ित नामांकन विधि के माध्यम से एक परीक्षण उपयोगकर्ता/डिवाइस पंजीकृत करें। पुष्टि करें कि डिवाइस अपेक्षित नियंत्रण URL तक पहुँचता है और इच्छित पहचान के अंतर्गत दिखाई देता है। क्लाइंट स्थिति का निरीक्षण करें और निकास-नोड या सबनेट रूट जोड़ने से पहले एक निजी सेवा का परीक्षण करें। DERP पथ वहाँ कनेक्टिविटी बनाए रख सकता है जहाँ सीधा पथ उपलब्ध न हो; यह नहीं दर्शाता कि समन्वयक हर पैकेट अग्रेषित कर रहा है।

• ऐसे डिवाइस और सेवा से शुरू करें जिसे आप सुरक्षित रूप से हटा सकें।
• जाँचें कि पीयर ट्रैफ़िक सीधा है या रिले किया गया है।
• चयनित परिनियोजन के अनुसार रिले और नियंत्रण एंडपॉइंट की सुरक्षा करें।

आधिकारिक दस्तावेज़: Headscale परिनियोजन संदर्भ

रूटिंग और प्राधिकरण को स्वतंत्र रूप से स्वीकृत करें

सबनेट पहुँच के लिए, राउटिंग नोड पर फ़ॉरवर्डिंग सक्षम करें, एक संकीर्ण श्रेणी का विज्ञापन करें, नियंत्रण सर्वर पर उसे स्वीकृत करें और सुनिश्चित करें कि गंतव्य क्लाइंट इसे स्वीकार करता है। ऐसे अतिव्यापी नेटवर्क से बचें जो वापसी मार्ग को अस्पष्ट बनाते हैं। स्वीकृत मार्ग एक पहुँच नीति नहीं है: परिभाषित करें कि कौन किस गंतव्य और पोर्ट से कनेक्ट कर सकता है, जिसमें अतिथि डिवाइस भी शामिल हैं। मेश का विस्तार करने से पहले एक अनुमत कनेक्शन और एक समान अस्वीकृत कनेक्शन का परीक्षण करें।

# Run on the control server; syntax follows the installed release:
headscale nodes list-routes
# Client-side inspection:
tailscale status

आधिकारिक दस्तावेज़: Headscale सबनेट और एग्ज़िट रूट

नीति बदलने से पहले टूटी परत खोजें

यदि नामांकन विफल हो, तो DNS, HTTPS और सर्वर URL की जाँच करें। यदि डिवाइस जुड़ता है लेकिन कोई सबनेट अगम्य है, तो विज्ञापन, अनुमोदन, क्लाइंट रूट स्वीकृति, फ़ॉरवर्डिंग और रिटर्न पथ की जाँच करें। यदि केवल एक सेवा विफल हो, तो उसका बाइंड पता, होस्ट फ़ायरवॉल और मेश नीति की जाँच करें। एक सुसंगत डेटाबेस/कॉन्फ़िगरेशन बैकअप बनाए रखें और एकमात्र कंट्रोल प्लेन बदलने से पहले एक डिस्पोज़ेबल क्लाइंट के साथ संस्करण अपग्रेड का परीक्षण करें।