Xây dựng Private Mesh VPN với Headscale: Tự host Tailscale cho hạ tầng Linux và Kubernetes

Table of Contents

Cơn ác mộng kết nối mạng Multi-Cloud

Việc kết nối các server phân tán giữa nhiều nhà cung cấp hosting, hạ tầng bare-metal và máy trạm từ xa thường rất nhanh biến thành mớ bòng bong. Trong một dự án trước đây, hạ tầng của chúng tôi nằm rải rác giữa hai region của AWS, ba máy chủ giá rẻ tại Hetzner và một cụm máy test on-premises. Mỗi lần cấu hình một máy mới là một lần tốn hàng giờ thao tác thủ công nhàm chán. Chúng tôi liên tục phải viết lại các quy tắc iptables, đồng bộ chứng chỉ OpenVPN dễ lỗi, khắc phục sự cố bắt tay IPsec thất bại và đục lỗ tường lửa đám mây chỉ để kết nối SSH.

Mở port 22 trực tiếp ra ngoài internet chẳng khác nào tự rước họa vào thân. Các botnet tự động liên tục tấn công IP public của chúng tôi với hàng ngàn nỗ lực đăng nhập brute-force mỗi ngày.

Các mô hình VPN hub-and-spoke truyền thống cũng không giải quyết triệt để được vấn đề. Việc ép toàn bộ lưu lượng phải đi qua một gateway trung tâm đặt tại Frankfurt đã biến một kết nối trực tiếp chỉ 40ms giữa hai node tại Mỹ thành một bước nhảy ì ạch lên tới 190ms, đồng thời bóp nghẹt tốc độ truyền tải xuống vỏn vẹn 150 Mbps trên đường truyền gigabit. Chúng tôi cần một giải pháp kết nối mạng dạng lưới (mesh) point-to-point, nơi các node có thể định tuyến trực tiếp đến nhau thông qua các đường hầm (tunnel) được mã hóa và xác thực.

Hiểu về kiến trúc của Tailscale và Headscale

Tailscale đã giúp việc kết nối mạng peer-to-peer trở nên vô cùng dễ tiếp cận bằng cách bọc WireGuard trong cơ chế tự động vượt NAT (STUN/DERP). Mọi thứ hoạt động cực kỳ mượt mà. Tuy nhiên, phiên bản Tailscale tiêu chuẩn phụ thuộc vào một coordination server độc quyền để phân phối khóa mã hóa và cấu trúc liên kết mạng. Nếu đội ngũ của bạn chịu sự ràng buộc bởi các quy định nghiêm ngặt về chủ quyền dữ liệu, xử lý dữ liệu chuẩn HIPAA, hoặc muốn tránh các hóa đơn SaaS tính phí theo đầu người tăng dần theo quy mô nhân sự, thì việc phụ thuộc vào bên thứ ba để điều phối kết nối là một rào cản lớn.

Headscale chính là lời giải cho bài toán này. Đây là phiên bản mã nguồn mở viết bằng Go, tái hiện lại hoàn chỉnh control server của Tailscale. Bạn có thể tự host control plane trên hạ tầng của chính mình trong khi vẫn sử dụng trọn vẹn các file nhị phân client Tailscale chính thức trên toàn bộ hệ thống.

Kiến trúc được phân chia thành hai tầng rõ rệt:

Control Plane (Headscale): Phân phối public key, theo dõi quá trình đăng ký máy, áp dụng các quy tắc ACL mạng và gán địa chỉ IP tĩnh từ dải CGNAT riêng (như 100.64.0.0/10). Các node chỉ kết nối tới Headscale qua HTTPS cho mục đích điều phối metadata.
Data Plane (WireGuard): Lưu lượng ứng dụng thực tế không bao giờ đi qua server Headscale. Sau khi hai node trao đổi khóa và endpoint khám phá thông qua control plane, chúng sẽ thiết lập một tunnel WireGuard trực tiếp ở cấp kernel. Thông lượng mạng đạt mức tối đa của đường truyền vật lý.

Cài đặt Control Server Headscale

Bạn sẽ cần một máy chủ Linux nhỏ có địa chỉ IPv4 public và một bản ghi DNS trỏ về nó (chẳng hạn vpn.yourdomain.com). Vì Headscale chỉ đảm nhiệm vai trò điều phối chứ không chuyển tiếp lưu lượng dữ liệu, một VPS cơ bản giá $4 đến $6/tháng (1 vCPU, 1 GB RAM) có thể dễ dàng quản lý một đội xe hơn 500 máy kết nối đồng thời.

1. Triển khai Headscale với Docker Compose

Tạo thư mục lưu trữ cấu hình và dữ liệu bền vững:

mkdir -p /opt/headscale/config /opt/headscale/data
cd /opt/headscale

Tải template cấu hình chính thức về máy:

wget -O /opt/headscale/config/config.yaml \
  https://raw.githubusercontent.com/juanfont/headscale/main/config-example.yaml

Chỉnh sửa file /opt/headscale/config/config.yaml để thiết lập tên miền, port và dải IP nội bộ:

server_url: https://vpn.yourdomain.com
listen_addr: 0.0.0.0:8080
metrics_listen_addr: 127.0.0.1:9090
grpc_listen_addr: 0.0.0.0:50443
ip_prefixes:
  - 100.64.0.0/10
  - fd7a:115c:a1e0::/48
derp:
  server:
    enabled: true
    region_id: 999
    region_code: "headscale"
    region_name: "Headscale Embedded DERP"
    stun_listen_addr: "0.0.0.0:3478"
database:
  type: sqlite
  sqlite:
    path: /var/lib/headscale/db.sqlite

Bây giờ tạo file docker-compose.yml bên trong /opt/headscale:

version: "3.8"

services:
  headscale:
    image: headscale/headscale:latest
    container_name: headscale
    restart: unless-stopped
    volumes:
      - ./config:/etc/headscale
      - ./data:/var/lib/headscale
    ports:
      - "8080:8080"
      - "3478:3478/udp"
    command: headscale serve

Khởi chạy dịch vụ:

docker compose up -d

2. Cấu hình Reverse Proxy và SSL

Headscale cần xử lý TLS termination hoàn chỉnh trên port 443. Dưới đây là cấu hình virtual host Nginx chuẩn chỉ, đã được kiểm nghiệm thực tế với hỗ trợ WebSocket và HTTP/2:

server {
    server_name vpn.yourdomain.com;
    listen 443 ssl http2;

    ssl_certificate /etc/letsencrypt/live/vpn.yourdomain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/vpn.yourdomain.com/privkey.pem;

    location / {
        proxy_pass http://127.0.0.1:8080;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_set_header Host $host;
        proxy_redirect http:// https://;
        proxy_buffering off;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

3. Tạo người dùng và Pre-Auth Key

Headscale phân nhóm các máy chủ theo từng người dùng (user). Tạo user quản trị đầu tiên bằng lệnh sau:

docker exec -it headscale headscale users create infra-team

Để tự động hóa quá trình kết nối node mới mà không cần xác nhận thủ công trên giao diện, hãy tạo một pre-authentication key có thể tái sử dụng và có hiệu lực trong 48 giờ:

docker exec -it headscale headscale preauthkeys create \
  --user infra-team \
  --reusable \
  --expiration 48h

Hãy lưu lại chuỗi token vừa tạo. Bạn sẽ cần cung cấp token này mỗi khi thêm một node mới vào mạng mesh.

Kết nối Server Linux vào mạng Mesh

Đăng nhập vào server Linux của bạn—Ubuntu, Debian, AlmaLinux hoặc Fedora—và chạy script cài đặt chính thức:

curl -fsSL https://tailscale.com/install.sh | sh

Trỏ daemon về control server tự host của bạn kèm theo pre-auth key:

sudo tailscale up \
  --login-server https://vpn.yourdomain.com \
  --authkey <YOUR_PREAUTH_KEY> \
  --accept-routes

Kiểm tra xem host đã đăng ký thành công và nhận IP ảo chưa:

tailscale ip -4
tailscale status

Lặp lại quy trình trên ở server thứ hai. Lúc này, cả hai node đã có thể liên lạc với nhau thông qua dải địa chỉ nội bộ 100.64.0.x. Các gói tin đi trực tiếp giữa hai máy qua UDP, xuyên qua cả các cấu hình NAT đối xứng (symmetric NAT) mà không cần cấu hình port forwarding thủ công.

Kết nối hạ tầng Kubernetes

Truy cập vào API riêng hoặc các endpoint dịch vụ trong cụm Kubernetes từ các máy bên ngoài thường đòi hỏi phải dựng bastion host phức tạp hoặc tốn chi phí cho Cloud LoadBalancer. Việc chạy Tailscale như một Subnet Router nội bộ ngay bên trong cluster sẽ xử lý triệt để vấn đề này. Bất kỳ node nào thuộc mạng Headscale mesh đều có thể giao tiếp với các ClusterIP (như 10.96.0.0/12) và mạng pod (như 10.244.0.0/16) tương tự như thể nó đang nằm trực tiếp trong mạng pod.

1. Triển khai Subnet Router Manifest

Tạo một namespace và lưu token xác thực vào Kubernetes Secret:

kubectl create namespace tailscale
kubectl create secret generic tailscale-auth \
  --namespace=tailscale \
  --from-literal=TS_AUTHKEY=<YOUR_PREAUTH_KEY>

Triển khai pod router. Hãy đảm bảo tham số --advertise-routes phản ánh chính xác CIDR thực tế của service và pod trong cluster của bạn:

apiVersion: apps/v1
kind: Deployment
metadata:
  name: tailscale-subnet-router
  namespace: tailscale
spec:
  replicas: 1
  selector:
    matchLabels:
      app: tailscale-subnet-router
  template:
    metadata:
      labels:
        app: tailscale-subnet-router
    spec:
      containers:
      - name: tailscale
        image: tailscale/tailscale:latest
        imagePullPolicy: IfNotPresent
        securityContext:
          capabilities:
            add:
            - NET_ADMIN
        env:
        - name: TS_AUTHKEY
          valueFrom:
            secretKeyRef:
              name: tailscale-auth
              key: TS_AUTHKEY
        - name: TS_LOGIN_SERVER
          value: "https://vpn.yourdomain.com"
        - name: TS_KUBE_SECRET
          value: "tailscale-state"
        - name: TS_USERSPACE
          value: "false"
        - name: TS_EXTRA_ARGS
          value: "--advertise-routes=10.96.0.0/12,10.244.0.0/16"
--- 
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: tailscale-subnet-router
  namespace: tailscale
rules:
- apiGroups: [""]
  resources: ["secrets"]
  verbs: ["create", "get", "update", "patch"]
--- 
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: tailscale-subnet-router
  namespace: tailscale
subjects:
- kind: ServiceAccount
  name: default
  namespace: tailscale
roleRef:
  kind: Role
  name: tailscale-subnet-router
  apiGroup: rbac.authorization.k8s.io

2. Phê duyệt Route đã quảng bá

Headscale sẽ chặn các route được quảng bá cho đến khi bạn phê duyệt chúng một cách rõ ràng. Hãy liệt kê các route đang chờ duyệt:

docker exec -it headscale headscale routes list

Tìm ID dạng số tương ứng với route của subnet Kubernetes và kích hoạt nó:

docker exec -it headscale headscale routes enable -r <ROUTE_ID>

Giờ đây, bạn có thể gọi trực tiếp tới các dịch vụ Kubernetes nội bộ từ laptop hoặc server từ xa bằng lệnh curl http://10.96.x.x:8080 mà không cần NodePort hay phải trả thêm chi phí cho cloud load balancer bên ngoài.

Đúc kết kinh nghiệm vận hành

Tự host Headscale giúp thay thế các mô hình VPN cồng kềnh, dễ gãy đổ bằng các kết nối ngang hàng trực tiếp, linh hoạt và bền bỉ. Bạn nắm toàn quyền kiểm soát bảng định tuyến riêng tư và khóa định danh máy chủ, trong khi vẫn tận dụng được toàn bộ hiệu năng nguyên bản của WireGuard—thường xuyên đạt trên 800+ Mbps trên đường truyền gigabit tiêu chuẩn với độ trễ overhead dưới 1 mili-giây.

Trước khi đưa vào vận hành trên quy mô lớn, hãy thiết lập cron job sao lưu db.sqlite hằng ngày (hoặc chuyển sang PostgreSQL quản lý tập trung nếu vượt quá 1.000 node). Bật tính năng MagicDNS trong config.yaml để sử dụng hostname dễ đọc, đồng thời thiết lập chính sách ACL nghiêm ngặt nhằm ngăn chặn các node môi trường thử nghiệm truy cập vào cơ sở dữ liệu quan trọng của môi trường production.