headscale的部署方法和使用教程

已于 2023-06-29 21:20:13 修改
阅读量8.5k 收藏
点赞数 2
分类专栏： Headscale 文章标签： 服务器 数据库 linux
于 2022-11-19 12:27:27 首次发布
原文链接：https://icloudnative.io/posts/how-to-set-up-or-migrate-headscale/
版权

headscale的部署方法和使用教程

1. headscale文件下载

# 下载地址 尽量选择新版本下载
https://github.com/juanfont/headscale/tags

在这里插入图片描述
linux机器下载上图选中文件
或者使用命令下载

 wget --output-document=/usr/local/bin/headscale \
   https://github.com/juanfont/headscale/releases/download/v<HEADSCALE VERSION>/headscale_<HEADSCALE VERSION>_linux_<ARCH>

< HEADSCALE VERSION> 为版本号
< ARCH> 为支持平台

2. 上传并赋予文件权限

上传 headscale_xxxx_linux_xxx 文件到服务器/usr/local/bin目录下并重命名为headscale
并赋予文件权限
服务器使用命令下载的无需上传

chmod +x /usr/local/bin/headscale

3. 创建以及修改相关配置文件

3.1 创建配置目录：

mkdir -p /etc/headscale

3.2 创建目录用来存储数据与证书：

mkdir -p /var/lib/headscale

3.3 创建空的 SQLite 数据库文件：

touch /var/lib/headscale/db.sqlite

3.4 创建 Headscale 配置文件：

# 下载官方的配置文件
wget https://github.com/juanfont/headscale/raw/main/config-example.yaml -O /etc/headscale/config.yaml

  • 修改配置文件，将 server_url 改为公网 IP 或域名。如果是国内服务器，域名必须要备案。我的域名无法备案，所以我就直接用公网 IP 了。

  • server_url 设置为 http://<PUBLIC_IP>:8080，将 <PUBLIC_IP> 替换为公网 IP 或者域名。

  • 若是listen_addr为127.0.0.1:8080，需要改为listen_addr: 0.0.0.0:8080，监听本地，后期url访问将会无效。

  • 如果暂时用不到 DNS 功能，可以先将 magic_dns 设为 false。

  • 可自定义私有网段，也可同时开启 IPv4 和 IPv6：

ip_prefixes:
  # - fd7a:115c:a1e0::/48
  - 10.1.0.0/16

3.5 创建 SystemD service 配置文件：

本人使用官网的的.service无法访问，就不再创建headscale用户和用户组，直接进行启动，所以跳过3.6，3.7步，也将 User，Group，NoNewPrivileges，PrivateTmp，ProtectSystem，ProtectHome，AmbientCapabilities 等参数给注释掉了；这一点自己看需要调整，下图的几个参数都是可选的，不一定需要。

在这里插入图片描述

# /etc/systemd/system/headscale.service
[Unit]
Description=headscale controller
After=syslog.target
After=network.target

[Service]
Type=simple
#User=headscale
#Group=headscale
ExecStart=/usr/local/bin/headscale serve  
Restart=always
RestartSec=5

# Optional security enhancements
#NoNewPrivileges=yes
#PrivateTmp=yes
#ProtectSystem=strict
#ProtectHome=yes
ReadWritePaths=/var/lib/headscale /var/run/headscale
#AmbientCapabilities=CAP_NET_BIND_SERVICE
RuntimeDirectory=headscale

[Install]
WantedBy=multi-user.target

3.6 创建 headscale 用户

useradd headscale -d /home/headscale -m

3.7 修改 /var/lib/headscale 目录的 owner

chown -R headscale:headscale /var/lib/headscale

3.8 修改配置文件中的 unix_socket

进入配置文件

vim /etc/headscale/config.yaml

unix_socket: /var/run/headscale/headscale.sock

4 启动及运行

4.1 Reload SystemD 以加载新的配置文件：

systemctl daemon-reload

4.2 启动 Headscale 服务并设置开机自启：

systemctl enable --now headscale

4.3 查看运行状态：

systemctl status headscale

4.4 查看占用端口：

 ss -tulnp|grep headscale

Tailscale 中有一个概念叫 tailnet，你可以理解成租户，租户与租户之间是相互隔离的，具体看参考 Tailscale 的官方文档： What is a tailnet。Headscale 也有类似的实现叫 namespace，即命名空间。我们需要先创建一个 namespace，以便后续客户端接入，例如：

 headscale namespaces create default

4.5 查看命名空间：

headscale namespaces list
ID | Name | Created
1 | default | 2022-03-09 06:12:06

4.6 查看、删除节点：

#查看
headscale nodes list
#删除
headscale nodes delete -i <节点id>

5 客户端接入

目前除了 iOS 客户端，其他平台的客户端都有办法自定义 Tailscale 的控制服务器。

OS是否支持 Headscale
LinuxYes
OpenBSDYes
FreeBSDYes
macOSYes
WindowsYes 参考 Windows 客户端文档
Android需要自己编译客户端
iOS暂不支持

官方静态编译的二进制文件

5.1 linux 接入

5.1.1下载

wget https://pkgs.tailscale.com/stable/tailscale_1.22.2_amd64.tgz

版本号可以自行更换，版本号查看

在这里插入图片描述

5.1.2 解压

tar zxvf tailscale_1.22.2_amd64.tgz

解压后目录

tailscale_1.22.2_amd64/
tailscale_1.22.2_amd64/tailscale
tailscale_1.22.2_amd64/tailscaled
tailscale_1.22.2_amd64/systemd/
tailscale_1.22.2_amd64/systemd/tailscaled.defaults
tailscale_1.22.2_amd64/systemd/tailscaled.service

5.1.3 将二进制文件复制到官方软件包默认的路径下，并赋予可以执行文件权限

cp tailscale_1.22.2_amd64/tailscaled /usr/sbin/tailscaled
cp tailscale_1.22.2_amd64/tailscale /usr/bin/tailscale

赋予执行文件权限

chmod +x /usr/sbin/tailscaled
chmod +x /usr/bin/tailscale

5.1.4 将 systemD service 配置文件复制到系统路径下

cp tailscale_1.22.2_amd64/systemd/tailscaled.service /lib/systemd/system/tailscaled.service

5.1.5 将环境变量配置文件复制到系统路径下

cp tailscale_1.22.2_amd64/systemd/tailscaled.defaults /etc/default/tailscaled

5.1.6 刷新服务启动并设置开机自启

systemctl daemon-reload

systemctl enable --now tailscaled

systemctl status tailscaled

5.1.7 Tailscale 接入 Headscale

# 将 <HEADSCALE_PUB_IP> 换成自己的 Headscale 公网 IP 或域名
tailscale up --login-server=http://<HEADSCALE_PUB_IP>:8080 --accept-routes=true --accept-dns=false

这里推荐将 DNS 功能关闭，因为它会覆盖系统的默认 DNS。如果你对 DNS 有需求，可自己研究官方文档，这里不再赘述。

执行完上面的命令后，会出现下面的信息：

To authenticate, visit:

http://xxxxxx:8080/register?key=905cf165204800247fbd33989dbc22be95c987286c45aac303393704

1150d846

在浏览器中打开该链接，就会出现如下的界面：
在这里插入图片描述
将其中的命令复制粘贴到 headscale 所在机器的终端中，并将 NAMESPACE 替换为前面所创建的 namespace。

headscale -n NAMESPACE nodes register --key 905cf165204800247fbd33989dbc22be95c987286c45aac3033937041150d846
Machine register

注册成功，查看注册的节点：

headscale nodes list

ID | Name | NodeKey | Namespace | IP addresses | Ephemeral | Last seen | Onlin

e | Expired

1 | coredns | [Ew3RB] | default | 10.1.0.1 | false | 2022-03-20 09:08:58 | onlin

e | no

回到 Tailscale 客户端所在的 Linux 主机，可以看到 Tailscale 会自动创建相关的路由表和 iptables 规则。路由表可通过以下命令查看：

ip route show table 52

查看 iptables 规则：

 iptables -S
-P INPUT DROP
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-N ts-forward
-N ts-input
-A INPUT -j ts-input
-A FORWARD -j ts-forward
-A ts-forward -i tailscale0 -j MARK --set-xmark 0x40000/0xffffffff
-A ts-forward -m mark --mark 0x40000 -j ACCEPT
-A ts-forward -s 100.64.0.0/10 -o tailscale0 -j DROP
-A ts-forward -o tailscale0 -j ACCEPT
-A ts-input -s 10.1.0.5/32 -i lo -j ACCEPT
-A ts-input -s 100.115.92.0/23 ! -i tailscale0 -j RETURN
-A ts-input -s 100.64.0.0/10 ! -i tailscale0 -j DROP

$ iptables -S -t nat
-P PREROUTING ACCEPT
-P INPUT ACCEPT
-P OUTPUT ACCEPT
-P POSTROUTING ACCEPT
-A ts-postrouting -m mark --mark 0x40000 -j MASQUERADE

5.2 macos 接入

macOS 有 3 种安装方法：

直接通过应用商店安装，地址： https://apps.apple.com/ca/app/tailscale/id1475387142。前提是你需要一个美区 ID。
下载 安装包直接安装，绕过应用商店。
安装开源的命令行工具 tailscale 和 tailscaled。相关链接： https://github.com/tailscale/tailscale/wiki/Tailscaled-on-macOS。
这三种安装包的核心数据包处理代码是相同的，唯一的区别在于在于打包方式以及与系统的交互方式。

应用商店里的应用运行在一个 应用沙箱中，与系统的其他部分隔离。在沙箱内，应用可以是一个 网络扩展，以实现 VPN 或者类 VPN 的功能。网络扩展实现的功能对应用商店之外的应用是无法生效的。

从 macOS 从 10.15 开始新增了 系统扩展，说白了就是运行在用户态的内核扩展，它相比于传统的网络扩展增强了很多功能，比如内容过滤、透明代理、DNS 代理等。Tailscale 独立于应用商店的安装包使用的就是系统扩展，通过 DMG 或者 zip 压缩包进行分发。
相关对比参考

5.2.1 下载

下载地址
解压出来后，将xxxxx.app拖入应用程序里

5.2.2 下载并修改配置文件

Headscale 已经给我们提供了详细的操作步骤，你只需要在浏览器中打开 URL：http://<HEADSCALE_PUB_IP>:8080/apple，便会出现如下的界面：
在这里插入图片描述
如下图
在这里插入图片描述
使用文本编辑器打开并修改下载的配置文件：

非应用商店版本的 macOS 客户端需要将 io.tailscale.ipn.macos 替换为 io.tailscale.ipn.macsys

安装配置文件
打开设置，搜索配置文件，进行安装headscale配置文件，安装结束后。
搜索隐私和安全性，允许tailscale运行。

5.2.3 退出重启tailscale，并login

改完成后重启 Tailscale 客户端，在 macOS 顶部状态栏中找到 Tailscale 并点击，然后再点击 Log in。

在这里插入图片描述然后立马就会跳转到浏览器并打开一个页面。
若没有跳出以下界面，可能是在设置中的隐私和安全性，没有允许tailscale运行。去设置先允许，在退出重新login。

在这里插入图片描述
接下来与之前 Linux 客户端相同，回到 Headscale 所在的机器执行浏览器中的命令即可，注册成功：
在这里插入图片描述
回到 Headscale 服务器主机，查看注册的节点：

headscale nodes list

ID | Name | NodeKey | Namespace | IP addresses | Ephemeral | Last seen | Onlin

e | Expired

1 | coredns | [Ew3RB] | default | 10.1.0.1 | false | 2022-03-20 09:08:58 | onlin

e | no
2 | carsondemacbook-pro | [k7bzX] | default   | 10.1.0.2     | false     | 2022-03-20 09:48:30 | online  | no

回到 macOS，测试是否能 ping 通对端节点：

ping -c 2 10.1.0.1
PING 10.1.0.1 (10.1.0.1): 56 data bytes
64 bytes from 10.1.0.1: icmp_seq=0 ttl=64 time=37.025 ms
64 bytes from 10.1.0.1: icmp_seq=1 ttl=64 time=38.181 ms

--- 10.1.0.1 ping statistics ---
2 packets transmitted, 2 packets received, 0.0% packet loss
round-trip min/avg/max/stddev = 37.025/37.603/38.181/0.578 ms

也可以使用 Tailscale CLI 来测试：

/Applications/Tailscale.app/Contents/MacOS/Tailscale ping 10.1.0.1
pong from coredns (10.1.0.1) via xxxx:41641 in 36ms

其他相关的接入方式可以参考点击跳转

若有机会，后期我会继续完善

aspirant-complete
关注
  • 2
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
Tailscale-搭建异地局域网开源版中文部署指南
星哲最开心
01-19 8722
Tailscale 开源版中文部署指南
Headscale Docker配置
m0_61601611的博客
02-26 1325
服务器环境 Ubuntu 22.04.3 LTS（没有服务器可以去试用一下，学生优惠普遍都很便宜）用root用户可以直接按顺序负责设备名称。
探索 HeadScale：一个轻量级、可扩展的 tailscale 管理工具
最新发布
gitblog_00036的博客
03-19 723
探索 HeadScale：一个轻量级、可扩展的 tailscale 管理工具 项目地址:https://gitcode.com/juanfont/headscale 项目简介 HeadScale 是一个开源项目，它提供了一个轻量级且高度可配置的替代方案，用于管理 Tailscale 网络。Tailscale 是一种安全的、基于 WireGuard 的网络解决方案，而 HeadScale 则是它的配...
Tailscale 基础教程：Headscale 的部署方法和使用教程
云原生实验室
01-09 2876
目前从稳定性来看，Tailscale 比其他机遇 WireGuard 的组网工具略胜一筹，基本上不会时不时出现 ping 不通的情况，这取决于 Tailscale 在用户态对 NAT 穿透所做的种种优化，他们还专门写了一篇文章介绍NAT 穿透的原理中文版翻译自国内的 eBPF 大佬赵亚楠，墙裂推荐大家阅读。
Tailscale和Headscale安装手册
ZackYoung的博客
04-07 3101
Tailscale和Headscale安装手册
比 Tailscale 更好的内网穿透方案 - Headscale
热门推荐
云原生实验室
02-15 1万+
前言headscale[1] 是一款今年 2021 年出现的一款 Tailscale 控制服务器的开源实现。也是唯一的一款。望能发展壮大。环境Ubuntu 18.04.3（理论上正常支持 ...
史上最简单的wireguard系列教程-headscale基础介绍
只有变秃,才能更强
04-14 2890
tailscale和headscale的快速入门了解，帮你快速理清这两之间的关系
Tailscale配合Headscale组网
IT
08-22 7688
headscale
WireGuard组建大内网
on the way . . .
11-08 3717
Netmaker这里就不介绍了，Tailscale呢，服务端不开源，对免费用户有诸多限制，而Headscale是一款开源实现，就是我们的主角了，这里详细记录搭建过程。：比如说我们把Linux的22端口或window的3389端口转发到公网服务器的一个端口，我们就可以实现远程登录Linux系统或window系统，但如果用到的端口较多，那一个一个配置也挺麻烦的，这种方式这里就不再赘述了。：这种方式比较古老了，性能上可能稍逊色点，但我的使用体验还行，比向日葵稳定，具体实现方式请参考【具体操作步骤可参考文章：【
如何使用 Headscale ( Tailscale 开源版 ) 快速搭建一个私有专属的 P2P 内网穿透网络...
easylife206的专栏
10-26 1万+
公众号关注「奇妙的 Linux 世界」设为「星标」，每天带你玩转 Linux ！内网穿透简述由于国内网络环境问题, 普遍家庭用户宽带都没有分配到公网 IP(我有固定公网 IP, 嘿嘿); 这时候一般我们需要从外部访问家庭网络时就需要通过一些魔法手段, 比如 VPN、远程软件(向日葵…)等; 但是这些工具都有一个普遍存在的问题: 慢+卡!1.1、传统星型拓扑究其根本因素在于, 在传统架构中如果两个...
Headscale组网教程
leiax00
03-02 537
derp.yaml与config.yaml放置在同目录下。
局域网内网穿透技术
Shawn的个人博客
05-30 4695
内网穿透工具；但是这种方法弊端也很明显中转服务器需要一定的费用进行支撑(带公网的云服务器)，如果是外网的服务器还可能存在被墙的风险中转服务器直接决定了中转的"速度"，而这个"速度"越快其对应的服务器带宽就越大，通常来说价格就越高需要一定的知识储备来搭建内网穿透的服务端，而且只能转发某个特定的端口zerotier采用VLAN(虚拟局域网)技术将不同设备连接到一个“虚拟的局域网”中，从而让这些设备随时随地都可以互相访问，相比于frp等其他内网穿透。
headscale headscale-ui 部署 docker
yushi000的博客
03-13 714
xxx/headscale/config/config.yaml 端口我改了，根据自己情况来。7、nginx 配置 可同域名，也可不同域名，但是不能默认同ip不同端口，会有跨域问题。3、docker-compose 文件 docker这些安装自行搜索。routes=xxx.xxx.xxx.xxx/xx 子网路由,按需。9.1、windows：tailscaled 官方下载。4、部署 docker-compose up -d。8、按提示在网页配置域名和apikey。5、创建 apikey。
Caddy2学习笔记——Caddy2反向代理docker版本的headscale
aplsc的专栏
03-08 2241
Caddy 反向代理 docker 版本的 headscale
Tailscale 学习资料：Headscale 的部署方法和使用教程
shelutai的博客
10-21 2079
tailscale学习资料
headscale专有网络及其ACL控制
a1058926697的博客
06-27 1190
第一部分是为了方便读者理解一些新型内网穿透的大致基本原理, 现在回到本文重点: TailscaleTailscale 就是一种利用 NAT 穿透(aka: P2P 穿透)技术的 VPN 工具. Tailscale 客户端等是开源的, 不过遗憾的是中央控制服务器目前并不开源;Tailscale 目前也提供免费的额度给用户使用, 在 NAT 穿透成功的情况下也能保证满速运行.不过一旦无法 NAT 穿透需要做中转时, Tailscale 官方的服务器由于众所周知的原因在国内访问速度很拉胯;
tailscale自建headscale和derp中继
IT
10-08 5371
有些情况下我们可以确认是当前主机的网络问题导致没法走 P2P 连接, 但是我们又想了解一下当前的网络环境;在需要搭建 DERP Server 的服务器上, 首先安装一个 Tailscale 客户端，这样做的目的是让搭建的 DERP Server 开启客户端认证, 否则你的 DERP Server 可以被任何人白嫖.Tailscale 官方的 DERP 中继服务器全部在境外，在国内的网络环境中不一定能稳定连接，所以有必要建立自己的 DERP 服务器的。客户端开启IP转发，在注册表编辑器中，打开 ，将参数。
Tailscale headscale部署
lichalicha的专栏
03-01 1112
tailscale headscale部署
Headscale 部署
05-17
Headscale 是一个用于构建自己的 WireGuard 网络的工具，它可以将多台设备连接在一起，形成一个虚拟的内部网络。以下是 Headscale 部署的大致步骤： 1. 安装 Headscale：可以通过官方文档提供的二进制文件进行安装，也可以通过源代码自行编译安装。 2. 创建 Headscale 控制节点：在一个设备上运行 Headscale 控制节点，该节点将充当 Headscale 网络的管理中心。 3. 配置节点：将需要加入 Headscale 网络的节点进行配置，包括节点所在的 IP 地址、WireGuard 密钥等信息。 4. 加入节点：将节点添加到 Headscale 网络中。 5. 配置网络：配置 Headscale 网络的路由、DNS 等信息。 6. 测试网络：测试 Headscale 网络是否正常工作，包括节点间的通信、网络访问等。 需要注意的是，Headscale 部署的步骤可能会因为你的具体环境和需求而有所不同。在实际操作中，你可能需要根据官方文档提供的指引进行相应的调整。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值