史上最简单的wireguard系列教程-headscale基础介绍

文章列表

tailscale （以下部分简称ts） 是基于wireguard协议开发，实现隧道加密点对点连接的上层应用，wireguard本身提供了两种实现，分别为用户态和内核态实现，ts是基于用户态的实现，还有一些项目比如netmaker是基于内核态的实现。虽然用户态的性能要比内核态的性能稍差一些，但是ts本身对UDP组网进行了深度优化，目前支持10G/s的吞吐量，性能要比原生内核态实现更上一层，ts是如何优化udp组网的技术细节之后可以单独出一篇文档讲解。实际上这两种方案我都用过，不管是个人还是企业（企业自建headscale）我更建议tailscale，netmaker的稳定性和部署的便捷性落后ts不止一点，而且netmaker经常出现丢包情况，这点我在实际的使用中深有体会。
tailscale的优势：
- 开箱即用：使用贼简单
- 功能齐全：ACL访问控制、节点动态更新、P2P连接、derpNAT穿透等等
tailscale支持两种组网模式
- p2p打洞：网络直连
- derp中继协议（转发）：双方网络都处于严格管理的NAT之后时，通过derp服务器进行流量转发，加解密依然在端和端之间完成，derp只负责三层转发

ts小结：ts是一款更好用的，功能更完善的，适用于个人环境的wireguard

以上我这边介绍了ts，但是由于tailscale的协调服务器不开源，无法实现私有化部署，这种在一些严格的企业环境中无法容忍，或者你要做二次开发也基本没法实现，并且终端设备限制为20台。基于这些情况，出现开源版本的tailscale协调服务器项目headscale
headscale是tailscale的协调服务器开源版本，不限制设备数量，支持私有化部署，流量全部由自己控制
协调服务器的作用为：
- wireguard节点的公钥交换：
  - publicKey(NodeA) - > <- headscale server -> < -publicKey(NodeB)
- Node客户端的虚拟ip分配工作
- Node客户端之间的访问控制
- 公开节点的广播路由，实现内网访问通过公开节点转发
headscale目前的核心功能为：
- 节点注册：预共享秘钥接入headscale网络
- 文件共享
- 访问控制管理ACL
- 支持ip段管理
- 支持双栈 v4和v6
- 路由广播：内网网关广播和网络出口节点广播
- 授权临时节点
- 自托管derp服务器

hs小结：headscale是一开源的ts控制服务器，功能和ts基本一致，更适用于企业环境需要自托管网络的场景，比如sase的开发，异地办公组网等等（提一嘴-开发者能力真强。。貌似是欧洲航天局的技术人员）

虽然headscale把tailscale闭源的协调控制器给重新实现了一遍，但并不影响ts对它的赞赏，官方的说法为：
Headscale为Tailscale提供了一个有价值的补充：它可以帮助个人用户更好地了解Tailscale的工作原理以及如何在家中运行协调服务器。因此，在对可能影响headscale协调服务器工作的tailscale客户端进行更改时，Tailscale 会与 Headscale 维护人员合作，以确保持续的兼容性

相关问题