--- canonical: https://koalavps.com/sv/guides-self-host-headscale-on-a-vps/ language: sv generated: 2026-10-21T13:34:10.102Z --- [Hem](https://koalavps.com/sv/) / [Utforska](https://koalavps.com/sv/resources/) / Fältanteckningarna för KoalaVPS Fältanteckningarna för KoalaVPS # Ett kontrollplan för ett privat mesh. Headscale kan samordna ett kompatibelt privat nätverk. Håll rollerna för kontrollplan, relay och åtkomstpolicy åtskilda. [Hitta din VPS](https://koalavps.com/sv/vps/) ## I DETTA DOKUMENT [Förstå vad som samordnas](https://koalavps.com/sv/guides-self-host-headscale-on-a-vps/#section-1)[Gör registreringen avsiktlig](https://koalavps.com/sv/guides-self-host-headscale-on-a-vps/#section-2)[Granska ACL:er och rutter](https://koalavps.com/sv/guides-self-host-headscale-on-a-vps/#section-3)[Behåll återställningsmaterialet](https://koalavps.com/sv/guides-self-host-headscale-on-a-vps/#section-4)[Registrering, routning och policy är separata kontroller](https://koalavps.com/sv/guides-self-host-headscale-on-a-vps/#section-5)[Lägg inte den enda återställningsvägen inuti nätet](https://koalavps.com/sv/guides-self-host-headscale-on-a-vps/#section-6)[Fastställ kontrollplanets identitet och återställningsväg](https://koalavps.com/sv/guides-self-host-headscale-on-a-vps/#section-7)[Registrera en enhet innan du annonserar ett nätverk](https://koalavps.com/sv/guides-self-host-headscale-on-a-vps/#section-8)[Godkänn routing och auktorisering oberoende av varandra](https://koalavps.com/sv/guides-self-host-headscale-on-a-vps/#section-9)[Hitta det trasiga lagret innan du ändrar policyn](https://koalavps.com/sv/guides-self-host-headscale-on-a-vps/#section-10)[Kunskapsbas](https://koalavps.com/sv/resources/) ## Förstå vad som samordnas Kontrollplanet hanterar nodregistrering och distribuerar nätverksinformation. Datatrafik kan använda direkta peer-anslutningar eller en relay beroende på anslutningen. Att köra koordinatorn innebär inte att varje paket passerar genom den. ## Gör registreringen avsiktlig Skydda den administrativa API och använd kortlivade eller lämpligt avgränsade registreringsmetoder. Ta bort enheter som är förlorade eller avvecklade. Möjligheten att ansluta till nätet bör inte innebära åtkomst till varje tjänst. ## Granska ACL:er och rutter Tillämpa regler för minsta behörighet mellan användare och noder. Annonserade subnätvägar och utgångsnoder utökar det nåbara nätverket och kräver explicit godkännande. Testa nekad trafik lika noggrant som tillåten trafik. ## Behåll återställningsmaterialet Säkerhetskopiera konfiguration, tillstånd och nycklar enligt den version som stöds förfarande. Behåll ett sätt att administrera VPS om meshen misslyckas. Verifiera klientkompatibilitet och uppgraderingsanteckningar innan du ändrar kontrollplanet. ## Registrering, routning och policy är separata kontroller Headscale koordinerar kompatibla Tailscale-klienter; direkta anslutningar och DERP-relävägar har olika nätverksbeteende. En subnet-router annonserar ett intervall, kontrollservern godkänner det och klienten måste acceptera rutten. Aktivera vidarebefordran på routningsnoden och håll annonserade intervall smala. En godkänd rutt behöver fortfarande en åtkomstpolicy som begränsar vem som får använda vilken destination och port. - Kontrollera kontrollserverns ruttlista - Testa från en tillåten enhet - Upprepa samma test från en enhet som ska nekas ``` headscale nodes list-routes ``` Officiell dokumentation: [Headscale-rutter](https://headscale.net/stable/ref/routes/) ## Lägg inte den enda återställningsvägen inuti nätet Behåll ett andra sätt att nå serverkonsolen eller en strikt begränsad administratörsväg. Testa vad som händer när koordinatorn, reläet eller klienten är otillgänglig. Bevara kontrollplanets tillstånd och nycklar enligt den installerade versionen. Ett privat mesh kan förenkla åtkomst, men det bör inte bli ett odokumenterat beroende som hindrar sin egen reparation. ## Fastställ kontrollplanets identitet och återställningsväg Välj ett stabilt HTTPS-namn, en supportad Headscale-version och kompatibla Tailscale-klienter. Läs konfigurationsexemplet som medföljer just den versionen; en konfiguration kopierad från en annan version kan misslyckas vid validering eller tyst beskriva en annan policy. Beständiggör kontrollplansdatabasen och nödvändiga nycklar. Håll den administrativa API privat och behåll en separat konsol eller begränsad SSH-rutt, så att förlust av meshen inte gör dess koordinator omöjlig att reparera. - Använd ett certifikat som är giltigt för det offentliga kontrollplansnamnet. - Håll registreringsnycklar kortlivade och med lämplig omfattning. - Behandla relaydesignen och namnrymden DNS som uttryckliga val. Officiell dokumentation: [Headscale-containerdistribution](https://headscale.net/stable/setup/install/container/) ## Registrera en enhet innan du annonserar ett nätverk Starta servern med instruktionerna från uppströmskällan och registrera en testanvändare/enhet via den dokumenterade registreringsmetoden. Bekräfta att enheten når förväntad kontroll-URL och visas under avsedd identitet. Inspektera klientstatus och testa en privat tjänst innan du lägger till exit-nod- eller subnätvägar. En DERP-väg kan bevara anslutningen där en direkt väg saknas; det indikerar inte att koordinatorn vidarebefordrar varje paket. - Börja med en enhet och tjänst som du kan ta bort på ett säkert sätt. - Kontrollera om peertrafiken är direkt eller vidarebefordrad. - Skydda relay- och kontrollendpoints enligt den valda driftsättningen. Officiell dokumentation: [Referens för Headscale-distribution](https://headscale.net/stable/setup/install/container/) ## Godkänn routing och auktorisering oberoende av varandra För subnet-åtkomst, aktivera vidarebefordran på routningsnoden, annonsera ett smalt intervall, godkänn det på kontrollservern och se till att destinationsklienten accepterar det. Undvik överlappande nätverk som gör returrutten tvetydig. En godkänd rutt är inte en åtkomstpolicy: definiera vem som kan ansluta till vilken destination och port, inklusive gästenheter. Testa en tillåten anslutning och en identisk nekad anslutning innan du utökar meshen. ``` # Run on the control server; syntax follows the installed release: headscale nodes list-routes # Client-side inspection: tailscale status ``` Officiell dokumentation: [Headscale-subnät och exit-rutter](https://headscale.net/stable/ref/routes/) ## Hitta det trasiga lagret innan du ändrar policyn Om registreringen misslyckas, granska DNS, HTTPS och serverns URL. Om enheten ansluter men ett subnät inte går att nå, granska annonsering, godkännande, klientens routningsacceptans, vidarebefordran och returvägen. Om bara en tjänst misslyckas, granska dess bind-adress, värdens brandvägg och mesh-policy. Bevara en konsekvent säkerhetskopia av databas/konfiguration och testa en versionsuppgradering med en engångsklient innan du ändrar det enda kontrollplanet. FORTSÄTT UTFORSKA ## Fortsätt läsa. [Guider ### En privat tunnel med ett tydligt syfte. WireGuard kan ansluta dina enheter till en server eller ett privat nätverk. Fördelarna beror på korrekt routning, DNS och säkerhet…](https://koalavps.com/sv/guides-wireguard-vpn-on-a-vps/)[Användningsfall ### Ett hem för dina privata applikationer. Kör instrumentpanelerna, APIs och de interna verktyg som hjälper ditt projekt att fungera, med åtkomst utformad kring de personer …](https://koalavps.com/sv/private-apps/)[Guider ### En säkerhetskopia spelar roll när den återställer. Utforma en säkerhetskopiering kring de data du inte kan återskapa och den tid din tjänst har råd att förlora. En lyckad uppladdnin…](https://koalavps.com/sv/backups/) KONFIGURERA DIN INFRASTRUKTUR ## Ta kontroll. Distribuera på dina villkor. Inga identitetshandlingar. Full administratörsåtkomst. Kryptonativ fakturering. [Välj en konfiguration](https://koalavps.com/sv/vps/)