هل تمرّ كل حركة المرور عبر الخادم؟

لا. يتولّى Headscale التسجيل وتبادل المفاتيح وتوزيع خريطة الشبكة وقوائم التحكّم بالوصول فقط؛ وبمجرّد أن تعرف عقدتان إحداهما الأخرى تفتحان نفق WireGuard مباشرًا وتتدفّق حركة المرور بينهما دون المرور بخادمك. والاستثناء حين يقع الطرفان خلف NAT يمنع الاتصال المباشر، فتتراجع حركة المرور إلى مُرحِّل DERP — وحتى حينها تبقى مشفَّرة من طرف إلى طرف، فالمُرحِّل ينقل نصًّا مشفَّرًا لا يستطيع قراءته.

ما حدوده مقارنةً بخدمة Tailscale نفسها؟

ينفّذ Headscale جوهر البروتوكول — اتصال الشبكة المتشابكة، وMagic DNS، وقوائم التحكّم بالوصول بصيغة سياسة HuJSON نفسها، وموجّهات الشبكات الفرعية، وعُقد الخروج — لكنه إعادة تنفيذ مجتمعية لا نسخة مطابقة ميزةً بميزة. فبعض ميزات Tailscale الأعلى مستوى والمؤسسية لا مقابل لها، كما تتولّى أنت تشغيل خادم التحكّم: أخذ نسخة احتياطية من قاعدة SQLite، وتحديث الحاوية، وكونك السبب في عمل شبكتك. وفي المقابل تحصل على مستخدمين وأجهزة بلا حدود وخريطة شبكة لا تغادر خادمك أبدًا.

تأمين الوصول وربط الفرق.

Headscale

استضِف خادم تحكّم Tailscale ذاتياً — شبكة VPN متشابكة كاملة تحت سيطرتك، دون اعتماد على السحابة.

512 ميغابايت ذاكرة عشوائية 1 vCPU المنفذ 8080 متاح

الشيفرة المصدرية

المنظومة التقنية

DockerGoSQLiteWireGuard

الحد الأدنى من RAM512 ميغابايت

الحد الأدنى من CPU1 vCPU

المنفذ الافتراضي8080

أنظمة التشغيل المتوافقةubuntu-24.04

Headscale هو تطبيق مفتوح المصدر وذاتي الاستضافة لخادم تحكّم Tailscale. فبينما تقصر الفئة المجانية من Tailscale استخدامك على 3 مستخدمين وتخزّن خريطة شبكتك في السحابة، يشغّل Headscale خادم التنسيق على خادمك الـ VPS الخاص — مفاتيحك، وقوائم التحكم بالوصول (ACLs) الخاصة بك، وسجلاتك. أما العملاء فهم تطبيقات Tailscale القياسية لكل منصة (Linux، وmacOS، وWindows، وiOS، وAndroid)، لذا لا يحتاج فريقك إلى أي برنامج جديد.

خلف الكواليس، كل اتصال هو نفق WireGuard مباشر. لا يتولى Headscale سوى تبادل المفاتيح وتوزيع قوائم التحكم بالوصول — وبمجرد أن يكتشف الأقران بعضهم بعضاً، تتدفق حركة المرور من قرين إلى قرين ببصمة WireGuard المصغّرة. ويستهلك ملف Go التنفيذي أقل من 50 ميغابايت من الذاكرة في وضع الخمول. مرخّص برخصة BSD-3-Clause، ونحو 41 ألف نجمة على GitHub.

الميزات الرئيسية

طبقة تحكّم متوافقة بالكامل مع Tailscale: استخدم عميل Tailscale الرسمي على كل منصة — دون الحاجة إلى نسخة مفرّعة (fork) مخصّصة.

مستخدمون وأجهزة بلا حدود: لا حد سحابي بثلاثة مستخدمين، ولا تكلفة لكل مقعد، وتتوسّع شبكتك مع فريقك.

أنفاق WireGuard من قرين إلى قرين: ينسّق Headscale تبادل المفاتيح فقط؛ أما حركة المرور الفعلية فهي WireGuard مباشرة، وليست عبر وكيل.

Magic DNS: حُلّ كل عقدة في شبكتك المتشابكة بالاسم المضيف (machine.yourtailnet) دون المساس بـ DNS العام الخاص بك.

تحكّم بالوصول قائم على قوائم ACL: حدّد أي المستخدمين والأجهزة يمكنهم الوصول إلى أي الخدمات باستخدام صيغة سياسة HuJSON نفسها المستخدمة في Tailscale.

دعم مُرحِّل DERP: هيّئ خوادم مُرحِّل DERP الخاصة بك أو استخدم خريطة DERP العامة لـ Tailscale كخيار احتياطي لاجتياز NAT.

إدارة عبر REST + CLI: أنشئ مساحات أسماء (namespaces)، وولّد مفاتيح مصادقة، وأدِر الأقران عبر واجهة سطر أوامر headscale أو واجهة HTTP REST.

أقل من 50 ميغابايت من الذاكرة في وضع الخمول — شغّله على أي خادم VPS إلى جانب أحمال عملك الحالية.

متى تستخدم هذا الحل؟

1

وصول عن بُعد إلى الخدمات الداخلية

ضع أسطول خوادمك ووحدة التخزين في مكتبك وكل حاسوب في الفريق على الشبكة المتشابكة الخاصة نفسها، فلا تعود لوحات التحكّم الداخلية وقواعد البيانات وواجهات الإدارة بحاجة إلى منفذ عام إطلاقًا. الخدمة المرتبطة بعنوان داخل الشبكة يصل إليها فريقك من أي مكان وتكون غير مرئية من الإنترنت — ما يزيل فئة كاملة من التعرّض دون قاعدة جدار ناري واحدة تُصان لكل خدمة.

2

روابط خاصة بين الخوادم

اربط خوادم مستضافة في أماكن مختلفة — خادم VPS من ServOrbit، وآلة عند مزوّد آخر، وخزانة في مكتب — في شبكة واحدة مسطّحة بعناوين ثابتة. عندها تنتقل حركة المرور بين التطبيق وقاعدة البيانات عبر نفق WireGuard مباشر بدل الإنترنت العام، ولا يتغيّر العنوان الذي تستخدمه خدمة للوصول إلى أخرى عند انتقال أي من الآلتين أو تغيّر عنوان IP العام لها.

3

غادر الفئة المجانية من Tailscale دون تغيير العملاء

تحدّ خطة Tailscale المجانية عدد المستخدمين وتحتفظ بخريطة شبكتك في سحابة غيرك. ويتحدّث Headscale البروتوكول نفسه، فتتصل به العملاء الرسميون على Linux وmacOS وWindows وiOS وAndroid دون تعديل — توجّههم إلى --login-server الخاص بك، فيصبح عدد المستخدمين والأجهزة شأنك أنت، بتكلفة ثابتة قدرها خادم VPS صغير واحد.

نشر Headscale على خادم VPS الخاص بك

دليل محسّن لخوادم VPS Cloud من ServOrbit.

01

اطلب خادم VPS من ServOrbit

512 ميغابايت من الذاكرة أكثر من كافية: فـ Headscale ينسّق تبادل المفاتيح ويوزّع خريطة الشبكة فقط، لذا يبقى خادم التحكّم خاملًا معظم الوقت. وهو ليس في مسار البيانات — إذ تتدفّق حركة المرور بين عُقدك من قرين إلى قرين — فحاجته إلى عرض النطاق ضئيلة ويشارك خادمًا مع خدمات أخرى بلا مشكلة.

02

وجّه نطاقًا إلى الخادم

يحتاج Headscale إلى نطاق: فقيمة server_url مكتوبة في التهيئة وكل عميل يُسجَّل مقابل عنوان HTTPS ذاك بالتحديد. أنشئ سجلّ A مثل vpn.example.com يشير إلى IP خادمك قبل النشر — وتُصدَر الشهادة وتُجدَّد تلقائيًا. وتغيير النطاق لاحقًا يعني إعادة تسجيل كل عقدة، فاختر نطاقًا ستُبقي عليه.

03

النشر بنقرة واحدة من السوق

افتح لوحة ServOrbit ← السوق ← الشبكة ← Headscale ← نشر. تكتب حاوية تهيئة أوّلية ملف الإعداد عند أول تشغيل — نطاق العناوين 100.64.0.0/10، وMagic DNS، وتخزين SQLite، وخريطة DERP العامة من Tailscale لاجتياز NAT — ثم يبدأ headscale serve ويستجيب على المنفذ 8080 خلف vhost الـ HTTPS.

04

أنشئ مستخدمًا ومفتاح مصادقة

تتم الإدارة عبر واجهة سطر الأوامر داخل الحاوية. أنشئ مستخدمًا بـ docker exec <container> headscale users create ops، ثم أصدر له مفتاحًا: docker exec <container> headscale preauthkeys create --user <id> --reusable --expiration 24h. المفاتيح القابلة لإعادة الاستخدام تتيح ضمّ عدة آلات في جلسة واحدة؛ ومدد الصلاحية القصيرة تمنع أن يكون مفتاح مسرَّب نافعًا لاحقًا.

05

اربط آلاتك

ثبّت عميل Tailscale القياسي على كل جهاز ووجّهه إلى خادمك بدل السحابة: tailscale up --login-server https://vpn.example.com --authkey <key>. وعلى الهاتف، أدخل عنوان الخادم نفسه في إعدادات الحساب داخل التطبيق. تحقّق من النتيجة بـ docker exec <container> headscale nodes list — تظهر كل آلة مسجَّلة بعنوانها في الشبكة، وتستطيع العُقد الوصول إلى بعضها فورًا.

الأسئلة الشائعة

لا — وهذا هو بيت القصيد. يعيد Headscale تنفيذ خادم تحكّم Tailscale، فتتصل به عملاء Tailscale الرسميون لـ Linux وmacOS وWindows وiOS وAndroid دون تعديل. والفارق الوحيد لمستخدميك هو الخيار --login-server (أو حقل عنوان الخادم المخصّص في تطبيق الهاتف) مشيرًا إلى نطاقك بدل سحابة Tailscale.

نعم. تُكتب قيمة server_url في تهيئة Headscale ويسجّل كل عميل مقابل عنوان HTTPS ذاك، لذا يجب أن يكون نطاقًا حقيقيًا وثابتًا بشهادة صالحة. وجّه سجلّ A مثل vpn.example.com إلى خادمك قبل النشر. وتغييره لاحقًا يُبطل التسجيلات القائمة ويُجبر كل عقدة على الانضمام من جديد.

ليس في Headscale نفسه: فالمشروع يقدّم واجهة سطر أوامر وواجهة REST/gRPC، وتتم الإدارة عبر أوامر headscale users وheadscale preauthkeys وheadscale nodes داخل الحاوية. وتوجد عدة واجهات ويب من أطراف ثالثة تتحدّث إلى الـ API، لكنها مشاريع مجتمعية منفصلة — فإن أردت واحدة، انشرها بنفسك إلى جانبه وتعامل معها كسطح تعرّض إضافي يجب تأمينه.

تتلقّى العُقد عناوين من النطاق 100.64.0.0/10 (إضافة إلى نطاق IPv6)، وهو محجوز لـ NAT على مستوى المشغّل ولذلك لا يتصادم مع الشبكات الخاصة المعتادة. ومع تفعيل Magic DNS، تصبح كل آلة قابلة للتحليل بالاسم تحت النطاق الأساسي للشبكة، فتصل إلى خادم باسم db.headnet.local بدل حفظ عنوانه — دون المساس بمنطقة DNS العامة لديك.

إضافة زر النشر

هل تدير مشروعًا يستخدم Headscale؟ يتيح هذا الزر لقرّائك نشره على خادم VPS بنقرة واحدة، دون قراءة وثائق Docker.

Markdown

[![Deploy Headscale on ServOrbit](https://servorbit.com/brand/deploy/button.svg)](https://servorbit.com/vps-cloud?template=headscale&utm_source=deploy-badge&utm_medium=referral&utm_campaign=headscale)

HTML

<a href="https://servorbit.com/vps-cloud?template=headscale&utm_source=deploy-badge&utm_medium=referral&utm_campaign=headscale"><img src="https://servorbit.com/brand/deploy/button.svg" alt="Deploy Headscale on ServOrbit" height="40"></a>

يشير الزر إلى طلب خادم ‎VPS مع تحديد القالب مسبقًا. تُقدَّم الصورة من ‎servorbit.com — لا شيء تستضيفه من جهتك.

حلول تكميلية

الشبكات وVPN

فعّل Headscale على بنيتك التحتية.

خادم VPS Cloud مخصص — عنوان IPv4 مضمّن، مركز بيانات أوروبي، والدعم مضمّن. لا تغادر بياناتك خادمك أبدًا.

الإعداد الموصى به: 512 ميغابايت RAM · 1 vCPU