Tailscale: mesh VPN для домашней сети
Ну что, давай сразу к делу. Если у тебя больше одного сервера, рано или поздно встаёт вопрос: как их соединить, чтобы они видели друг друга и при этом не торчали наружу? Пробовал WireGuard вручную — каждый пир прописывать, ключи гонять, порты открывать. Работает, да. Но когда серверов становится три-четыре, плюс ноутбук и телефон, начинается ад.
Вот сидишь и думаешь: может, openVPN поднять? Ну его, там конфиги страшные. Или ZeroTier? Тоже вариант, но мне Tailscale зашёл больше. Почему — расскажу.
Tailscale решил эту проблему за пять минут. Установил на все машины, залогинился — и они уже в одной сети. Без открытых портов, без статических IP, без танцев с бубном. Магия? Нет, WireGuard под капотом, но с автоматической координацией через DERP-релеи.
Я ставил его на всё подряд: Proxmox хосты, LXC контейнеры, OpenWRT на VM200. Везде работает из коробки. Даже на телефоне поставил — теперь захожу в админку Proxmox из метро. Представляешь? Сижу в вагоне, смотрю нагрузку на сервере через Tailscale SSH. Пару лет назад я бы за такое убил.
Главное, что я понял: Tailscale — это не про безопасность (хотя шифрование там на уровне WireGuard, то есть аггрейд). Это про удобство. Когда перестаёшь думать о сети и просто работаешь — это победа. Не надо помнить, какой порт открыт на каком сервере, не надо настраивать форвардинг. Всё само.
Что конкретно сделал: установил tailscale на хосте Proxmox, потом на VM 101 (Ubuntu), потом на OpenWRT. На каждом устройстве — одна команда `tailscale up`, потом логин через браузер, и готово. DNS имена подтянулись автоматом — теперь вместо IP пишу `proxmox.tailscale-name.ts.net`.
Настройка заняла от силы полчаса вместе с установкой на три машины и телефон. Из того, что чуть не подвело: на OpenWRT пришлось ставить пакет вручную, в репе его нет. Но скачал ipk с GitHub, залип на одну ошибку с зависимостями — решил через `opkg install tailscale` после добавления репы.
Ещё одна вещь: магистратура. Если серверы в разных сетях или за NAT, Tailscale сам выбирает, как им соединяться — напрямую (через NAT hole-punching) или через DERP-релей. У меня на прямых соединениях пинг между VM101 и хостом вообще 0.3 мс, а через DERP — 30-40 мс, но это если связь рвётся.
Из минусов: бесплатный план ограничен 100 устройствами и одним пользователем. Для дома — хватит с головой у кого угодно. У меня 5 устройств всего. Но если хочешь шарить доступ коллегам — придётся платить. Я пока на бесплатном и не жалуюсь.
Ещё момент: Tailscale даёт доступ ко всем устройствам в сети, но я настоятельно рекомендую включить ACL. Можно через веб-панель настроить, кто к кому имеет доступ. Я, например, запретил доступ с телефона к определенным LXC-контейнерам — мало ли.
В общем, теперь моя домашняя сеть — это mesh. Точка. WireGuard я оставил только для пары external-сервисов, которые должны смотреть на мир. Всё внутреннее — через Tailscale. Удобно до скрежета зубов.
Сейчас я захожу на любой свой сервер одной командой, без ввода паролей, без VPN-клиентов. Просто `ssh mysurik@v101.tailscale-name.ts.net` — и я внутри.