Özel bir mesh için kontrol düzlemi.

Neyin koordine edildiğini anlayın

Kontrol düzlemi düğüm kaydını yönetir ve ağ bilgilerini dağıtır. Veri trafiği bağlantı durumuna göre doğrudan eş bağlantıları veya bir aktarıcı kullanabilir. Koordinatörü çalıştırmak her paketin ondan geçtiği anlamına gelmez.

Kaydı bilinçli yapın

Yönetici API koruyun ve kısa ömürlü veya uygun kapsamda kayıt yöntemleri kullanın. Kaybolan veya kullanımdan kaldırılan cihazları kaldırın. Mesh'e katılabilme yeteneği, her hizmete erişim anlamına gelmemelidir.

ACL'leri ve rotaları gözden geçirin

Kullanıcılar ve düğümler arasında en az ayrıcalık kuralları uygulayın. Duyurulan alt ağ rotaları ve çıkış düğümleri erişilebilir ağı genişletir ve açık onay gerektirir. Reddedilen trafiği izin verilen trafik kadar dikkatli test edin.

Kurtarma materyalini saklayın

Yapılandırmayı, durumu ve anahtarları desteklenen sürümün prosedürüne göre yedekleyin. Mesh başarısız olursa VPS yönetmenin bir yolunu elinizde tutun. Kontrol düzlemini değiştirmeden önce istemci uyumluluğunu ve yükseltme notlarını doğrulayın.

Kayıt, yönlendirme ve politika ayrı kontrollerdir

Headscale, uyumlu Tailscale istemcilerini koordine eder; doğrudan bağlantılar ve DERP aktarma yolları farklı ağ davranışlarına sahiptir. Bir alt ağ yönlendiricisi bir aralık duyurur, kontrol sunucusu bunu onaylar ve istemci rotayı kabul etmelidir. Yönlendirme düğümünde iletmeyi etkinleştirin ve duyurulan aralıkları dar tutun. Onaylanmış bir rota yine de kimin hangi hedefe ve bağlantı noktasına erişebileceğini sınırlayan bir erişim ilkesi gerektirir.

• Kontrol sunucusunun rota listesini kontrol edin
• İzin verilen bir cihazdan test edin
• Aynı testi reddedilmesi gereken bir cihazdan tekrarlayın

headscale nodes list-routes

Resmi belgeler: Headscale rotaları

Tek kurtarma yolunu mesh'in içine koymayın

Sunucu konsoluna veya sıkı şekilde kısıtlanmış bir yönetici yoluna ikinci bir erişim yolu bulundurun. Koordinatör, aktarıcı veya istemci kullanılamadığında ne olduğunu test edin. Kontrol düzlemi durumunu ve anahtarlarını kurulu sürüme göre koruyun. Özel bir ağ erişimi basitleştirebilir, ancak kendi onarımını engelleyen belgelenmemiş bir bağımlılığa dönüşmemelidir.

Kontrol düzlemi kimliğini ve kurtarma yolunu sabitleyin

Kararlı bir HTTPS adı, desteklenen bir Headscale sürümü ve uyumlu Tailscale istemcileri seçin. Tam o sürümle birlikte gelen yapılandırma örneğini okuyun; farklı bir sürümden kopyalanan yapılandırma doğrulamada başarısız olabilir veya sessizce farklı bir politikayı tanımlayabilir. Kontrol düzlemi veritabanını ve gerekli anahtarları kalıcı hale getirin. Yönetim API öğesini özel tutun ve ayrı bir konsol veya kısıtlı SSH rotası bulundurun; böylece mesh'in kaybedilmesi koordinatörünün onarılmasını imkânsız hale getirmez.

• Genel kontrol düzlemi adı için geçerli bir sertifika kullanın.
• Kayıt anahtarlarını kısa ömürlü ve uygun kapsamda tutun.
• Aktarma tasarımını ve DNS ad alanını açık tercihler olarak ele alın.

Resmi belgeler: Headscale konteyner dağıtımı

Bir ağı duyurmadan önce bir cihaz kaydedin

Sunucuyu üst kaynak talimatlarını kullanarak başlatın ve belgelenen kayıt yöntemiyle bir test kullanıcısı/aygıtı kaydedin. Aygıtın beklenen kontrol URL ulaştığını ve amaçlanan kimlik altında göründüğünü doğrulayın. İstemci durumunu inceleyin ve çıkış düğümü veya alt ağ rotaları eklemeden önce bir özel hizmeti test edin. Doğrudan yolun kullanılamadığı durumlarda bir DERP yolu bağlantıyı koruyabilir; bu, koordinatörün her paketi ilettiği anlamına gelmez.

• Güvenle kaldırabileceğiniz bir cihaz ve hizmetle başlayın.
• Eş trafiğinin doğrudan mı yoksa aktarılarak mı geldiğini kontrol edin.
• Aktarma ve kontrol uç noktalarını seçilen dağıtıma göre koruyun.

Resmi belgeler: Headscale dağıtım referansı

Yönlendirmeyi ve yetkilendirmeyi bağımsız olarak onaylayın

Alt ağ erişimi için yönlendirme düğümünde iletmeyi etkinleştirin, dar bir aralık duyurun, kontrol sunucusunda onaylayın ve hedef istemcinin bunu kabul ettiğinden emin olun. Dönüş rotasını belirsizleştiren çakışan ağlardan kaçının. Onaylanmış bir rota bir erişim ilkesi değildir: konuk cihazlar dahil kimin hangi hedefe ve bağlantı noktasına bağlanabileceğini tanımlayın. Mesh'i genişletmeden önce izin verilen bir bağlantıyı ve aynı şekilde reddedilen bir bağlantıyı test edin.

# Run on the control server; syntax follows the installed release:
headscale nodes list-routes
# Client-side inspection:
tailscale status

Resmi belgeler: Headscale alt ağı ve çıkış rotaları

Politikayı değiştirmeden önce bozuk katmanı bulun

Kayıt başarısız olursa DNS, HTTPS ve sunucu URL öğelerini inceleyin. Cihaz katılıyor ancak bir alt ağa ulaşılamıyorsa duyuru, onay, istemci rota kabulü, yönlendirme ve dönüş yolunu inceleyin. Yalnızca bir hizmet başarısız oluyorsa bağlama adresini, ana makine güvenlik duvarını ve mesh politikasını inceleyin. Tutarlı bir veritabanı/yapılandırma yedeği saklayın ve tek kontrol düzlemini değiştirmeden önce tek kullanımlık bir istemciyle sürüm yükseltmesini test edin.