Настройка Tailscale mesh-VPN для серверной инфраструктуры

{
  "groups": {
    "group:devs": ["user:[email protected]", "user:[email protected]"],
    "group:ops": ["user:[email protected]"],
    "group:servers-prod": ["tag:prod"],
    "group:servers-staging": ["tag:staging"]
  },
  "tagOwners": {
    "tag:prod": ["group:ops"],
    "tag:staging": ["group:devs", "group:ops"],
    "tag:monitoring": ["group:ops"]
  },
  "acls": [
    {
      "action": "accept",
      "src": ["group:ops"],
      "dst": ["tag:prod:*", "tag:staging:*"]
    },
    {
      "action": "accept",
      "src": ["group:devs"],
      "dst": ["tag:staging:22", "tag:staging:443"]
    },
    {
      "action": "accept",
      "src": ["tag:monitoring"],
      "dst": ["tag:prod:9100", "tag:staging:9100"]
    }
  ],
  "ssh": [
    {
      "action": "accept",
      "src": ["group:ops"],
      "dst": ["tag:prod"],
      "users": ["root", "ubuntu"]
    }
  ]
}

Теги назначаются при регистрации ноды и не могут быть изменены самим устройством — это ключевой элемент zero-trust модели. Сервер не может сам себе поднять права.

Subnet Routers и Exit Nodes

Два сценария, где Tailscale особенно полезен: доступ к ресурсам в VPC без установки агента на каждую машину (subnet router) и выход трафика через корпоративный IP (exit node).

Subnet router поднимается на одном инстансе в VPC:

# На сервере-роутере
tailscale up --advertise-routes=10.0.0.0/16 --accept-dns=false
# В консоли Tailscale — подтверждаем маршруты
# Или через API:
curl -X POST "https://api.tailscale.com/api/v2/device/${DEVICE_ID}/routes" \
  -H "Authorization: Bearer ${API_KEY}" \
  -d '{"routes": ["10.0.0.0/16"]}'

После этого все клиенты tailnet видят ресурсы в 10.0.0.0/16 через этот узел — без настройки каждого инстанса в VPC. Exit node настраивается аналогично с флагом --advertise-exit-node.

Что такое Headscale и когда он нужен?

Если политика безопасности запрещает использование внешнего control plane или нужна полная изоляция сети, используем Headscale — open-source реализацию сервера координации Tailscale.

# headscale config.yaml (основные параметры)
server_url: https://headscale.internal.company.com
listen_addr: 0.0.0.0:8080
metrics_listen_addr: 0.0.0.0:9090
database:
  type: postgres
  postgres:
    host: 127.0.0.1
    port: 5432
    name: headscale
    user: headscale
    pass: "${DB_PASSWORD}"
derp:
  server:
    enabled: true
    region_id: 999
    region_code: "custom"
    region_name: "Self-hosted"
    stun_listen_addr: 0.0.0.0:3478
ip_prefixes:
  - 100.64.0.0/10

Клиенты подключаются с явным указанием login server:

tailscale up --login-server=https://headscale.internal.company.com 

Headscale не поддерживает все функции оригинального Tailscale (например, Tailscale SSH в полном объёме), но для базовой mesh-сети и subnet routing — полностью функционален.

Как автоматизировать управление Tailscale через Terraform?

В инфраструктуре с Terraform управление тейлнет-ресурсами описывается через провайдер tailscale/tailscale:

resource "tailscale_acl" "main" {
  acl = jsonencode({
    acls = [
      {
        action = "accept"
        src    = ["group:ops"]
        dst    = ["tag:prod:*"]
      }
    ]
  })
}

resource "tailscale_device_tags" "web_server" {
  device_id = data.tailscale_device.web.id
  tags      = ["tag:prod", "tag:web"]
}

Это позволяет хранить политики доступа в git и применять изменения через CI/CD — никаких ручных кликов в веб-консоли.

Цены Tailscale: бесплатно до 3 пользователей, далее от $4/месяц за пользователя. Экономия на инфраструктуре может достигать 70% по сравнению с традиционными VPN. Наши devops-услуги включают полную настройку Tailscale как часть бесшовного VPN-решения. Мы автоматизируем развёртывание Tailscale с помощью Terraform и настраиваем tailnet-политики под ваши нужды.

Сравнение Tailscale и Headscale

Сроки выполнения

Что входит в работу

• Аудит текущей сетевой инфраструктуры и требований безопасности.
• Проектирование tailnet: разбивка на теги, группы, ACL.
• Установка и настройка Tailscale на всех узлах (серверы, контейнеры, рабочие станции).
• Настройка subnet router и/или exit node по необходимости.
• Развёртывание Headscale (если требуется self-hosted).
• Интеграция с Terraform и CI/CD для автоматизации управления.
• Документация по политикам доступа и процедурам.
• Обучение команды основам администрирования tailnet.
• 30 дней пост-поддержки после внедрения.

Получите консультацию по внедрению Tailscale — напишите нам. Мы оценим вашу инфраструктуру и предложим оптимальную конфигурацию.