Hiểu điều gì được điều phối
Mặt phẳng điều khiển quản lý đăng ký nút và phân phối thông tin mạng. Lưu lượng dữ liệu có thể dùng kết nối ngang hàng trực tiếp hoặc qua relay tùy theo kết nối. Việc chạy trình điều phối không có nghĩa là mọi gói tin đều đi qua nó.
Thực hiện đăng ký có chủ đích
Bảo vệ API quản trị và sử dụng các phương thức đăng ký ngắn hạn hoặc có phạm vi phù hợp. Xóa các thiết bị bị mất hoặc đã ngừng sử dụng. Khả năng tham gia mạng lưới không đồng nghĩa với quyền truy cập mọi dịch vụ.
Xem lại ACL và tuyến
Áp dụng quy tắc đặc quyền tối thiểu giữa người dùng và các nút. Các tuyến mạng con được quảng bá và nút thoát mở rộng mạng có thể tiếp cận và cần được phê duyệt rõ ràng. Kiểm thử lưu lượng bị từ chối cẩn thận như lưu lượng được cho phép.
Giữ lại tài liệu khôi phục
Sao lưu cấu hình, trạng thái và khóa theo quy trình của phiên bản được hỗ trợ. Duy trì một cách để quản trị VPS nếu mesh gặp lỗi. Xác minh khả năng tương thích của máy khách và ghi chú nâng cấp trước khi thay đổi mặt phẳng điều khiển.
Đăng ký, định tuyến và chính sách là các bước kiểm tra riêng biệt
Headscale điều phối các máy khách Tailscale tương thích; kết nối trực tiếp và đường chuyển tiếp DERP có hành vi mạng khác nhau. Bộ định tuyến mạng con quảng bá một dải, máy chủ điều khiển phê duyệt nó và máy khách phải chấp nhận tuyến. Bật chuyển tiếp trên nút định tuyến và giữ dải quảng bá hẹp. Một tuyến đã được phê duyệt vẫn cần chính sách truy cập giới hạn ai được dùng đích và cổng nào.
- Kiểm tra danh sách tuyến của máy chủ điều khiển
- Kiểm tra từ một thiết bị được phép
- Lặp lại cùng bài kiểm thử từ một thiết bị lẽ ra phải bị từ chối
headscale nodes list-routesTài liệu chính thức: Tuyến Headscale
Không đặt đường khôi phục duy nhất bên trong mạng lưới
Giữ một cách thứ hai để truy cập bảng điều khiển máy chủ hoặc một tuyến quản trị viên được hạn chế chặt chẽ. Kiểm tra điều gì xảy ra khi bộ điều phối, relay hoặc máy khách không khả dụng. Bảo toàn trạng thái mặt phẳng điều khiển và khóa theo phiên bản đã cài đặt. Một mạng lưới riêng có thể đơn giản hóa việc truy cập, nhưng không nên trở thành phụ thuộc không được ghi lại khiến chính nó không thể sửa chữa.
Sửa danh tính mặt phẳng điều khiển và tuyến khôi phục
Chọn một tên HTTPS ổn định, một bản phát hành Headscale được hỗ trợ và các máy khách Tailscale tương thích. Đọc ví dụ cấu hình đi kèm với đúng bản phát hành đó; một cấu hình sao chép từ bản phát hành khác có thể không vượt qua kiểm tra hoặc âm thầm mô tả một chính sách khác. Duy trì cơ sở dữ liệu mặt phẳng điều khiển và các khóa cần thiết. Giữ API quản trị ở chế độ riêng tư và duy trì một bảng điều khiển riêng hoặc tuyến SSH hạn chế, để việc mất mạng lưới không khiến bộ điều phối của nó không thể sửa chữa.
- Sử dụng chứng chỉ hợp lệ cho tên control-plane công khai.
- Giữ khóa đăng ký trong thời gian ngắn và phạm vi phù hợp.
- Coi thiết kế relay và không gian tên DNS là những lựa chọn rõ ràng.
Tài liệu chính thức: Triển khai container Headscale
Đăng ký một thiết bị trước khi quảng bá mạng
Khởi động máy chủ bằng hướng dẫn từ nguồn gốc và đăng ký một người dùng/thiết bị kiểm thử thông qua phương thức ghi danh được ghi chép. Xác nhận thiết bị đến được URL điều khiển mong đợi và xuất hiện dưới danh tính dự định. Kiểm tra trạng thái máy khách và kiểm thử một dịch vụ riêng tư trước khi thêm tuyến nút thoát hoặc mạng con. Một đường DERP có thể duy trì kết nối khi không có đường trực tiếp; nó không cho thấy bộ điều phối đang chuyển tiếp mọi gói tin.
- Bắt đầu với một thiết bị và dịch vụ mà bạn có thể gỡ bỏ an toàn.
- Kiểm tra xem lưu lượng ngang hàng là trực tiếp hay qua trung gian.
- Bảo vệ relay và các điểm cuối điều khiển theo triển khai đã chọn.
Tài liệu chính thức: Tài liệu tham chiếu triển khai Headscale
Phê duyệt định tuyến và ủy quyền một cách độc lập
Để truy cập mạng con, bật chuyển tiếp trên nút định tuyến, quảng bá một dải hẹp, phê duyệt nó trên máy chủ điều khiển và đảm bảo máy khách đích chấp nhận nó. Tránh các mạng chồng lấn khiến tuyến trả về không rõ ràng. Một tuyến đã được phê duyệt không phải là chính sách truy cập: hãy xác định ai có thể kết nối tới đích và cổng nào, kể cả thiết bị khách. Kiểm thử một kết nối được phép và một kết nối bị từ chối giống hệt trước khi mở rộng mesh.
# Run on the control server; syntax follows the installed release:
headscale nodes list-routes
# Client-side inspection:
tailscale statusTài liệu chính thức: Tuyến subnet và exit của Headscale
Tìm lớp bị hỏng trước khi thay đổi chính sách
Nếu đăng ký thất bại, hãy kiểm tra DNS, HTTPS và URL của máy chủ. Nếu thiết bị tham gia nhưng một mạng con không thể truy cập, hãy kiểm tra quảng bá, phê duyệt, chấp nhận tuyến của máy khách, chuyển tiếp và đường trả về. Nếu chỉ một dịch vụ bị lỗi, hãy kiểm tra địa chỉ liên kết, tường lửa máy chủ và chính sách mesh của nó. Duy trì bản sao lưu cơ sở dữ liệu/cấu hình nhất quán và kiểm tra nâng cấp phiên bản bằng một máy khách dùng một lần trước khi thay đổi mặt phẳng điều khiển duy nhất.