Tailscale是一款构建在Wireguard之上的现代VPN，Tailscale中的大部分内容都是开源的，但是客户端以及控制服务器不开源，Headscale是Tailscale控制服务器的开源替代方案。
DERP中继服务器是后备方案，当NAT打洞无法成功的时候转而使用DERP服务器进行中继连接。虽然Tailscale提供了很多官方的DERP中继服务器，但往往延迟都非常高体验不好，所以就有了自建的必要。
系统我使用的是Debian12，可在Headscale项目页面直接下载deb包进行安装：
apt -y update apt -y install wget wget https://github.com/juanfont/headscale/releases/download/v0.22.3/headscale_0.22.3_linux_amd64.deb dpkg -i headscale_0.22.3_linux_amd64.deb systemctl enable headscale
由于我的这台机器还跑着其他的服务，所以我将配置Headscale在反向代理后面运行，这样可以重用443端口不会影响到机器上其他的服务。安装NGINX/CertBot：
apt -y install nginx python3-certbot-nginx
编辑Headscale的配置文件：
nano /etc/headscale/config.yaml
需要修改的配置如下，其他的内容暂时不用管：
server_url: https://headscale.example.com # 修改为你的域名 listen_addr: 0.0.0.0:8080 metrics_listen_addr: 0.0.0.0:9090
启动Headscale并检查运行状态：
systemctl start headscale systemctl status headscale
新建NGINX站点配置文件：
nano /etc/nginx/sites-available/headscale
写入如下配置：
map $http_upgrade $connection_upgrade {
default keep-alive;
'websocket' upgrade;
'' close;
}
server {
listen 80;
server_name headscale.example.com; # 修改为你的域名
location / {
proxy_pass http://127.0.0.1:8080;
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection $connection_upgrade;
proxy_set_header Host $server_name;
proxy_redirect http:// https://;
proxy_buffering off;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $http_x_forwarded_proto;
add_header Strict-Transport-Security "max-age=15552000; includeSubDomains" always;
}
error_log /var/log/nginx/headscale-proxy-error.log;
access_log /var/log/nginx/headscale-proxy-access.log;
}
启用站点：
ln -s /etc/nginx/sites-available/headscale /etc/nginx/sites-enabled/headscale
签发SSL证书：
certbot --nginx
使用Headscale
首先需要在Headscale控制服务器创建一个用户：
headscale users create imlala
然后在要接入Headscale网络的机器上安装Tailscale客户端，这里我用一台Windows10和iPhone演示。
Windows客户端下载：https://pkgs.tailscale.com/stable/tailscale-setup-latest.exe
其他平台的客户端下载：https://tailscale.com/download/
安装好客户端后用管理员权限打开PowerShell，执行如下命令登录到我们自建的Headscale：
tailscale login --login-server https://headscale.example.com
接下来在Headscale控制服务器上注册我这台Windows10的机器：
headscale nodes register --user imlala --key nodekey:xxxxx
这样我就将一台Windows10机器加入到了网络内，使用如下命令可检查：
headscale nodes list
在iPhone上安装好Tailscale客户端后，打开设置-找到Tailscale，在ALTERNATE COORDINATION SERVER URL这里填写上你自建的Headscale控制服务器网址：
之后的步骤就和在Windows上的一致了，打开APP登录会回显给你一个注册命令，在Headscale控制服务器上执行给出的命令即可完成注册。
部署DERP中继服务器我使用的系统是Debian12，机器是一台甲骨文ARM。
首先要在这台机器上安装Tailscale客户端，添加Tailscale官方的存储库安装即可，此举是为了后续能启用DERP服务的鉴权功能，防止被其他人滥用：
wget https://pkgs.tailscale.com/stable/debian/bookworm.noarmor.gpg -O /usr/share/keyrings/tailscale-archive-keyring.gpg wget https://pkgs.tailscale.com/stable/debian/bookworm.tailscale-keyring.list -O /etc/apt/sources.list.d/tailscale.list apt -y update apt -y install tailscale
确保tailscaled服务正常运行：
systemctl status tailscaled.service
登录到我们自建的Headscale控制服务器：
tailscale up --login-server https://headscale.example.com
在Headscale控制服务器上注册我这台甲骨文ARM的机器：
headscale nodes register --user imlala --key nodekey:xxxxx
安装Golang：
curl -L https://go.dev/dl/go1.21.1.linux-arm64.tar.gz -o go1.21.1.linux-arm64.tar.gz tar -C /usr/local -xzf go1.21.1.linux-arm64.tar.gz echo 'export PATH=$PATH:/usr/local/go/bin' > /etc/profile.d/golang.sh source /etc/profile.d/golang.sh
新建一个derp用户登录到这个用户：
useradd -r -m -d /opt/derp -s /bin/bash derp su - derp
安装DERP，完成之后退出当前用户：
go install tailscale.com/cmd/derper@main exit
[可选]让DERP服务可以绑定低位端口，例如80、443，由于后续我将使用反向代理所以这个步骤可以省略：
setcap 'cap_net_bind_service=+ep' /opt/derp/go/bin/derper
[可选]做一个软链接方便使用：
ln -s /opt/derp/go/bin/derper /usr/local/bin/derper
新建systemd服务：
nano /etc/systemd/system/derper.service
写入如下配置，你只需要将derp.example.com修改成你自己的域名即可：
[Unit] Description=DERP Server After=network.target [Service] User=derp Group=derp AmbientCapabilities=CAP_NET_BIND_SERVICE WorkingDirectory=/opt/derp ExecStart=/opt/derp/go/bin/derper -hostname=derp.example.com -c /opt/derp/derper.conf -a 0.0.0.0:9981 -http-port -1 --verify-clients Restart=on-failure LimitNOFILE=65536 [Install] WantedBy=multi-user.target
[重要]–verify-clients参数务必要保留，鉴权需要，否则任何人都能连接上你的DERP服务。
启动DERP服务并设置开机自启：
systemctl enable --now derper.service
检查运行状态确保正常运行：
systemctl status derper.service
安装NGINX/CertBot用于反向代理：
apt -y install nginx python3-certbot-nginx
新建NGINX站点配置文件：
nano /etc/nginx/sites-available/derper
写入如下配置：
server {
listen 80;
server_name derp.example.com;
location / {
proxy_pass http://127.0.0.1:9981;
proxy_redirect off;
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
}
error_log /var/log/nginx/derp-proxy-error.log;
access_log /var/log/nginx/derp-proxy-access.log;
}
启用站点：
ln -s /etc/nginx/sites-available/derper /etc/nginx/sites-enabled/derper
签发SSL证书：
certbot --nginx
访问DERP服务的域名，如果能看到下图的内容说明DERP服务正常运行：
回到Headscale控制服务器，新建一个DERP服务配置文件：
nano /etc/headscale/derp.yaml
写入如下内容，注意derp.example.com修改为你自己的域名：
regions:
900:
regionid: 900
regioncode: kr
regionname: oraclekr
nodes:
- name: 900a
regionid: 900
hostname: derp.example.com
stunport: 3478
stunonly: false
derpport: 443
编辑Headscale控制服务器的配置文件：
nano /etc/headscale/config.yaml
注释掉如下URL以禁用Tailscale官方的DERP服务器，指定刚才新建的DERP服务配置文件：
derp:
server:
enabled: false
...
urls: []
# - https://controlplane.tailscale.com/derpmap/default
...
paths:
- /etc/headscale/derp.yaml
...
重启Headscale：
systemctl restart headscale
测试DERP中继服务
在Windows客户端执行如下命令查看当前的网络状态：
tailscale netcheck
可以看到DERP服务器列表里面只有我们自建的服务器：
如果两台设备之间通过DERP服务器中继连接，那么也可以执行下面的命令查看连接状态：
tailscale status
或者直接使用内置的PING命令：
tailscale ping iphone
这样最直观：
你可以将接入到Headscale网络内的任意节点（设备）设置为Exit Nodes（出口节点）。
这有什么用呢？打个最简单的比方，假设你的Headscale网络内接入了一台境外的VPS，你把这台境外的VPS设置为Exit Nodes，之后你所有接入到Headscale网络内的节点（设备）都可以直接翻墙。
也就是说如果我把自己的这台甲骨文ARM设置为Exit Nodes，那么我之前接入的Windows10、iPhone等设备就可以通过这台甲骨文ARM来翻墙了。下面简单演示一下。
设置Exit Nodes的机器要开启IP转发：
echo 'net.ipv4.ip_forward = 1' | tee -a /etc/sysctl.d/99-tailscale.conf echo 'net.ipv6.conf.all.forwarding = 1' | tee -a /etc/sysctl.d/99-tailscale.conf sysctl -p /etc/sysctl.d/99-tailscale.conf
宣告自己想成为Exit Nodes：
tailscale set --advertise-exit-node
回到Headscale控制服务器，执行如下命令：
headscale routes list
可以看到有两条路由但还没有启用：
ID | Machine | Prefix | Advertised | Enabled | Primary 1 | moonbridge | ::/0 | true | false | - 2 | moonbridge | 0.0.0.0/0 | true | false | -
再通过执行如下命令来启用这两条路由：
headscale routes enable -r 1 headscale routes enable -r 2
再次查看路由就是启用的状态了：
ID | Machine | Prefix | Advertised | Enabled | Primary 1 | moonbridge | ::/0 | true | true | - 2 | moonbridge | 0.0.0.0/0 | true | true | -
现在我们就可以配置客户端来使用这个出口节点了，在Windows的Tailscale客户端，找到Exit Node选项：
在这里就可以选择使用出口节点了：
iPhone的客户端更简单：
最新评论
5211314
能不能教我 一点不会