הגדרת Tailscale Mesh VPN לתשתית שרתים

{
  "groups": {
    "group:devs": ["user:[email protected]", "user:[email protected]"],
    "group:ops": ["user:[email protected]"],
    "group:servers-prod": ["tag:prod"],
    "group:servers-staging": ["tag:staging"]
  },
  "tagOwners": {
    "tag:prod": ["group:ops"],
    "tag:staging": ["group:devs", "group:ops"],
    "tag:monitoring": ["group:ops"]
  },
  "acls": [
    {
      "action": "accept",
      "src": ["group:ops"],
      "dst": ["tag:prod:*", "tag:staging:*"]
    },
    {
      "action": "accept",
      "src": ["group:devs"],
      "dst": ["tag:staging:22", "tag:staging:443"]
    },
    {
      "action": "accept",
      "src": ["tag:monitoring"],
      "dst": ["tag:prod:9100", "tag:staging:9100"]
    }
  ],
  "ssh": [
    {
      "action": "accept",
      "src": ["group:ops"],
      "dst": ["tag:prod"],
      "users": ["root", "ubuntu"]
    }
  ]
}

תגיות מוקצות במהלך רישום הצומת ואינן ניתנות לשינוי על ידי המכשיר עצמו—זהו מרכיב מפתח במודל ה-Zero-Trust. השרת אינו יכול להסלים את ההרשאות שלו.

Subnet Routers ו-Exit Nodes

שני תרחישים שבהם Tailscale שימושי במיוחד: גישה למשאבים ב-VPC ללא התקנת הסוכן על כל מכונה (Subnet Router) וניתוב תעבורה דרך כתובת IP ארגונית (Exit Node). הגדרת Subnet Router:

# На сервере-роутере
tailscale up --advertise-routes=10.0.0.0/16 --accept-dns=false
# В консоли Tailscale — подтверждаем маршруты
# Или через API:
curl -X POST "https://api.tailscale.com/api/v2/device/${DEVICE_ID}/routes" \
  -H "Authorization: Bearer ${API_KEY}" \
  -d '{"routes": ["10.0.0.0/16"]}'

לאחר מכן, כל לקוחות ה-Tailnet רואים משאבים ב-10.0.0.0/16 דרך צומת זה. Exit Node מוגדר באופן דומה עם { "groups": { "group:devs": ["user:[email protected]", "user:[email protected]"], "group:ops": ["user:[email protected]"], "group:servers-prod": ["tag:prod"], "group:servers-staging": ["tag:staging"] }, "tagOwners": { "tag:prod": ["group:ops"], "tag:staging": ["group:devs", "group:ops"], "tag:monitoring": ["group:ops"] }, "acls": [ { "action": "accept", "src": ["group:ops"], "dst": ["tag:prod:*", "tag:staging:*"] }, { "action": "accept", "src": ["group:devs"], "dst": ["tag:staging:22", "tag:staging:443"] }, { "action": "accept", "src": ["tag:monitoring"], "dst": ["tag:prod:9100", "tag:staging:9100"] } ], "ssh": [ { "action": "accept", "src": ["group:ops"], "dst": ["tag:prod"], "users": ["root", "ubuntu"] } ] } .

שלב אחר שלב: כיצד להגדיר Tailscale לייצור

1. התקינו את Tailscale על כל הצמתים באמצעות הסקריפט הרשמי או מנהל החבילות.
2. אמתו כל צומת ל-Tailnet שלכם באמצעות # На сервере-роутере tailscale up --advertise-routes=10.0.0.0/16 --accept-dns=false # В консоли Tailscale — подтверждаем маршруты # Или через API: curl -X POST "https://api.tailscale.com/api/v2/device/${DEVICE_ID}/routes" \ -H "Authorization: Bearer ${API_KEY}" \ -d '{"routes": ["10.0.0.0/16"]}' .
3. תייגו התקנים באמצעות --advertise-exit-node (דורש ACL של tagOwners).
4. כתבו מדיניות ACL ב-HuJSON המגדירה קבוצות, תגיות וכללי גישה.
5. הפעילו ניתוב Subnet עם # headscale config.yaml (основные параметры) server_url: https://headscale.internal.company.com listen_addr: 0.0.0.0:8080 metrics_listen_addr: 0.0.0.0:9090 database: type: postgres postgres: host: 127.0.0.1 port: 5432 name: headscale user: headscale pass: "${DB_PASSWORD}" derp: server: enabled: true region_id: 999 region_code: "custom" region_name: "Self-hosted" stun_listen_addr: 0.0.0.0:3478 ip_prefixes: - 100.64.0.0/10 על הנתבים הייעודיים, ואשרו את המסלולים.
6. שלבו עם Terraform (ראו להלן) לניהול תשתית כקוד.

מה זה Headscale ומתי יש צורך בו?

אם מדיניות אבטחה אוסרת שימוש במישור בקרה חיצוני או אם נדרשת בידוד רשת מלא, אנו משתמשים ב-Headscale — יישום קוד פתוח של שרת התיאום של Tailscale. אירוח עצמי של Headscale מעניק לכם שליטה מלאה אך דורש ניהול שרת (עלות: ~$20 לחודש עבור VPS קטן).

---
# headscale config.yaml (основные параметры)
server_url: https://headscale.internal.company.com
listen_addr: 0.0.0.0:8080
metrics_listen_addr: 0.0.0.0:9090
database:
  type: postgres
  postgres:
    host: 127.0.0.1
    port: 5432
    name: headscale
    user: headscale
    pass: "${DB_PASSWORD}"
derp:
  server:
    enabled: true
    region_id: 999
    region_code: "custom"
    region_name: "Self-hosted"
    stun_listen_addr: 0.0.0.0:3478
ip_prefixes:
  - 100.64.0.0/10

לקוחות מתחברים על ידי ציון שרת הכניסה:

tailscale up --login-server=https://headscale.internal.company.com 

אוטומציה של ניהול Tailscale עם Terraform

בתשתית המנוהלת על ידי Terraform, משאבי Tailnet מתוארים באמצעות ספק tailscale up --login-server=https://headscale.internal.company.com :

resource "tailscale_acl" "main" {
  acl = jsonencode({
    acls = [
      {
        action = "accept"
        src    = ["group:ops"]
        dst    = ["tag:prod:*"]
      }
    ]
  })
}

resource "tailscale_device_tags" "web_server" {
  device_id = data.tailscale_device.web.id
  tags      = ["tag:prod", "tag:web"]
}

אחסון מדיניות גישה ב-Git ויישום דרך CI/CD מבטל לחיצות ידניות בקונסולת האינטרנט.

השוואה בין Tailscale ו-Headscale

לוחות זמנים ותוצרים

תוצרים הכלולים בשירות שלנו:

• אודיט של תשתית הרשת הנוכחית ודרישות האבטחה.
• עיצוב Tailnet: חלוקה לתגיות, קבוצות ו-ACLs.
• התקנה והגדרה של Tailscale על כל הצמתים.
• הגדרת Subnet Router ו/או Exit Node לפי הצורך.
• פריסת Headscale (אם נדרש אירוח עצמי).
• מודולי Terraform ושילוב CI/CD.
• תיעוד מפורט של מדיניות הגישה.
• הדרכת צוות בניהול Tailnet.
• תמיכה של 30 יום לאחר הפריסה.

מדדי אמון החברה: 5+ שנות ניסיון ב-DevOps, 100+ הגדרות Tailscale מוצלחות, מהנדסים מוסמכים ורקורד מוכח מסטארטאפים ועד ארגונים גדולים. אנו מציעים אחריות של 30 יום על כל הפריסות.

קבלו ייעוץ על פריסת Tailscale—צרו קשר. אנו נעריך את התשתית שלכם ונציע את ההגדרה האופטימלית.