Po trzytygodniowych, trzy-krajowych wakacjach, które miały być relaksujące, ale w rzeczywistości wiązały się z pracą, potrzebowałem sposobu na dotarcie do dwóch komputerów w moim domowym laboratorium. Te maszyny działają 24/7, hostując wirtualne maszyny z Windows 11 Insider i inne zadania biznesowe. Przy biurku mogę korzystać z klientów pulpitu zdalnego, takich jak Microsoft Windows App, aby połączyć się bezpośrednio. Ale poza domem moja sieć jest zamknięta za routerem, a połączenia z zewnątrz są niedostępne.
Do okazjonalnego dostępu mógłbym użyć Chrome Remote Desktop lub TeamViewer, ale chciałem bezpiecznego sposobu na korzystanie z narzędzi, którym już ufam. Wchodzi Tailscale, darmowa usługa, która tworzy bezpieczną prywatną sieć między wszystkimi moimi urządzeniami - PC, Macami i telefonami - pozwalając im łączyć się przez internet tak, jakby były w tej samej sieci lokalnej, bez ruszania ustawień routera czy zapór ogniowych.
Efekt? Poza biurem kliknąłem skrót w Windows App i połączyłem się z wirtualną maszyną w domu. Działało bez wysiłku, nawet na wolnym połączeniu lotniczym lub przez tethering z telefonu w roamingu.
Wiele usług zdalnego dostępu i VPN używa modelu gwiazdy, gdzie zaszyfrowane pakiety przepływają przez centralny serwer, co jest (a) drogie i (b) wolniejsze, dodając opóźnienia. Tailscale działa jednak jako sieć mesh peer-to-peer. Moje biurowe maszyny i mój podróżny laptop uruchamiają lekki klient Tailscale, wszystkie uwierzytelniane przez bezpieczną usługę tożsamości. Testowałem to z GitHub i Microsoft Entra ID, ale Google, Apple lub passkeys przez 1Password, Bitwarden lub YubiKey również działają.
Każde urządzenie otrzymuje prywatny adres IP i komunikuje się przez bezpieczne, zaszyfrowane tunele przy użyciu szanowanego protokołu WireGuard. Tailscale działa jak bezpieczna usługa katalogowa, przedstawiając urządzenia, a następnie odsuwając się. Gdy otwieram połączenie pulpitu zdalnego, mój laptop pyta Tailscale, gdzie jest urządzenie, a Tailscale odpowiada informacjami potrzebnymi do bezpiecznego połączenia. Urządzenia nawiązują bezpośrednie, zaszyfrowane połączenie WireGuard, gdy to możliwe; jeśli nie, Tailscale przekazuje zaszyfrowany ruch bez możliwości jego odszyfrowania.
Architektura jest solidna: szyfrowanie end-to-end, klucze nigdy nie opuszczają urządzenia, a uwierzytelnianie przez zaufane źródła. Tailscale nigdy nie widzi twoich poświadczeń ani treści. W mojej sieci lokalnej ruch pulpitu zdalnego używa portu TCP 3389, ale ten port jest zablokowany na routerze dla połączeń z zewnątrz - otwarte drzwi dla atakujących. Jednak przez bezpieczny tunel połączenia działają bez martwienia się o numery portów, NAT traversal czy zapory ogniowe. Tylko maszyny, które dodałem do prywatnej sieci, mogą się łączyć.
Darmowy plan Tailscale robi wszystko, czego potrzebuję, obsługując do sześciu użytkowników na nieograniczonej liczbie urządzeń, z kilkoma ograniczeniami. Firma obiecuje, że jest 'darmowy na zawsze'. Dla domowego laboratorium lub małego biura to wystarczy. Jeśli urośniesz powyżej sześciu użytkowników, płatne plany zaczynają się od 8 USD za użytkownika miesięcznie, a możesz skonfigurować więcej niż trzy grupy Access Control List (ACL). Jeśli pracujesz z efemerycznymi zasobami, takimi jak kontenery czy Kubernetes, osiągniesz miesięczny limit 1000 minut i będziesz musiał zapłacić.
Ale większość użytkowników domowych, hobbystów, konsultantów i bardzo małych firm może korzystać z darmowego planu w nieskończoność.
Jedno odkrycie z podróży: wiele usług nie działa za granicą z powodu ograniczeń regionalnych. Serwisy informacyjne i streamingowe często blokują klientów z USA za granicą. Zwykłym obejściem jest VPN, który kieruje ruch przez serwery, aby wyglądał na pochodzący z właściwego regionu. Z Tailscale możesz wyznaczyć urządzenie jako węzeł wyjściowy, kierując cały swój ruch internetowy przez nie. Zwykle Tailscale przenosi tylko ruch do innych urządzeń w twojej sieci; z węzłem wyjściowym cały ruch przeglądarki i aplikacji przechodzi przez to urządzenie.
Mógłbym użyć domowego laptopa jako węzła wyjściowego, ale jest fajniejsza opcja: Apple TV. Zainstaluj aplikację Tailscale na nim i ustaw go jako węzeł wyjściowy. Cały ruch internetowy przechodzi wtedy przez twoje domowe połączenie, a strony internetowe widzą twój domowy adres IP zamiast hotelowego, lotniskowego, kawiarnianego Wi-Fi lub roamingu mobilnego. Apple TV są zawsze w