Headscale على VPS: استبدال خادم تنسيق Tailscale

لماذا تستبدل خادم تنسيق Tailscale السحابي؟

• ‏خصوصية البيانات الوصفية: لا تعبر أي قائمة بأجهزتك أو عناوين IP الداخلية أو أسماء العقد عبر خادم طرف ثالث. مستوى التحكم يبقى في بنيتك التحتية.
• ‏بلا حد مفروض على العقد: Headscale لا يفرض سقفاً على عدد الأجهزة المسجّلة — حدودك هي موارد خادمك الافتراضي، لا شبكة أسعار.
• ‏بلا حد على المستخدمين: الخطة المجانية من Tailscale مقيّدة بـ 3 مستخدمين؛ Headscale يدير عدداً من المستخدمين بقدر ما تنشئ.
• ‏BYOD بلا حساب Tailscale: يتصل متعاونوك عبر مفتاح المصادقة المسبق الذي تولّده، دون الحاجة إلى إنشاء حساب على tailscale.com.
• ‏تكامل OIDC اختياري: يدعم Headscale تفويض المصادقة لمزوّد OIDC (مثل Keycloak أو Authelia أو Google Workspace) للفرق التي لديها SSO بالفعل.
• ‏خوادم DERP قابلة للتخصيص: يمكنك تكوين مرحّلات DERP خاصة بك على خوادمك الافتراضية لتقليل زمن الاستجابة.
• ‏الديمومة: شبكتك المتشابكة لا تعتمد على قرارات تجارية لمزوّد خارجي، ولا على احتمالات توقف بنيته التحتية.

المتطلبات قبل البدء

• ‏خادم افتراضي يعمل بنظام Debian 11/12 أو Ubuntu 22.04/24.04، بذاكرة وصول عشوائي لا تقل عن 1 غيغابايت وصلاحيات الجذر — Headscale يستهلك أقل من 50 ميغابايت في التشغيل الاعتيادي.
• ‏المنفذ UDP 41641 متاح من الإنترنت على الخادم الافتراضي: هذا هو منفذ الإشارة WireGuard الذي يستخدمه عملاء Tailscale للاتصال بالمنسّق.
• ‏المنفذ TCP 443 أو 8080 مفتوح لـ API HTTP/HTTPS الخاص بـ Headscale.
• ‏عميل Tailscale مثبَّت على كل عقدة تريد ربطها — تطبيق Tailscale الرسمي يعمل كما هو مع Headscale.
• ‏اختياري: اسم نطاق يشير إلى خادمك الافتراضي إذا أردت تفعيل HTTPS بشهادة Let's Encrypt و MagicDNS على لاحقة مخصصة.

تثبيت Headscale على خادم Debian/Ubuntu الافتراضي

1. 01

   تنزيل الملف الثنائي وتثبيته

   ‏يوزّع Headscale حزم ‏.deb‏ لمعماريتَي ‏amd64‏ و ‏arm64‏. احضر الإصدار الأخير من ‏GitHub‏ وثبّته بـ ‏dpkg‏:

   HEADSCALE_VERSION=$(curl -s https://api.github.com/repos/juanfont/headscale/releases/latest | grep tag_name | cut -d '"' -f4 | tr -d 'v')
   curl -Lo /tmp/headscale.deb \
     https://github.com/juanfont/headscale/releases/latest/download/headscale_${HEADSCALE_VERSION}_linux_amd64.deb
   dpkg -i /tmp/headscale.deb

   على ‏ARM64‏، استبدل ‏linux_amd64‏ بـ ‏linux_arm64‏. تحقق من التثبيت: ‏headscale version‏ يجب أن يُرجع رقم الإصدار المثبَّت.

2. 02

   إنشاء ملف التكوين YAML

   ‏تنشئ الحزمة تلقائياً مستخدم النظام ‏headscale‏ ومجلد ‏/etc/headscale/‏. حرّر ملف التكوين الرئيسي:

   nano /etc/headscale/config.yaml

   تكوين أدنى صالح للعمل:

   server_url: https://votre-domaine.com
   listen_addr: 0.0.0.0:8080
   
   private_key_path: /var/lib/headscale/private.key
   noise:
     private_key_path: /var/lib/headscale/noise_private.key
   
   ip_prefixes:
     - 100.64.0.0/10
   
   derp:
     urls:
       - https://controlplane.tailscale.com/derpmap/default
     auto_update_enabled: true
   
   db_type: sqlite3
   db_path: /var/lib/headscale/db.sqlite
   
   dns_config:
     magic_dns: true
     base_domain: votre-domaine.com

   ‏استبدل ‏votre-domaine.com‏ بنطاقك الفعلي.

3. 03

   إنشاء مجلدات البيانات وتوليد المفاتيح

   ‏أنشئ مجلد البيانات وخصّص له الصلاحيات الصحيحة:

   mkdir -p /var/lib/headscale
   chown headscale:headscale /var/lib/headscale

   شغّل ‏Headscale‏ مرة واحدة لتوليد المفاتيح الخاصة تلقائياً:

   headscale generate private-key

   ‏لا تشارك هذه الملفات أبداً واحتفظ بنسخة احتياطية منها — فهي تُوقّع هوية خادم التنسيق.

4. 04

   تفعيل الخدمة وتشغيلها عبر systemd

   ‏تُثبّت الحزمة وحدة ‏systemd‏ تلقائياً. فعّلها عند الإقلاع وشغّل الخدمة:

   systemctl enable --now headscale
   systemctl status headscale

   ‏يجب أن تظهر ‏Active: active (running)‏. راجع السجلات إذا فشل التشغيل:

   journalctl -u headscale -f

5. 05

   كشف Headscale عبر وكيل عكسي HTTPS (موصى به)

   ‏لتتصل العملاء عبر ‏HTTPS‏، ضع ‏Headscale‏ خلف ‏nginx‏ مع شهادة ‏Let's Encrypt‏:

   apt install -y nginx certbot python3-certbot-nginx
   certbot --nginx -d votre-domaine.com

   ‏تكوين ‏nginx‏ لـ ‏Headscale‏:

   server {
       listen 443 ssl;
       server_name votre-domaine.com;
       location / {
           proxy_pass http://localhost:8080;
           proxy_http_version 1.1;
           proxy_set_header Upgrade $http_upgrade;
           proxy_set_header Connection "upgrade";
           proxy_set_header Host $host;
       }
   }

توصيل عقد العملاء بخادم Headscale الخاص

1. 06

   إنشاء مستخدم في Headscale

   ‏ينظّم ‏Headscale‏ العقد حسب المستخدمين. أنشئ أول مستخدم من الخادم الافتراضي:

   headscale users create my-team
   headscale users list

2. 07

   توليد مفتاح مصادقة مسبق (preauthkey)

   ‏يتيح ‏preauthkey‏ تسجيل عقدة دون تدخل يدوي. ولّد مفتاحاً لمستخدمك:

   headscale preauthkeys create --user my-team --expiration 24h

   ‏الخيار ‏--reusable‏ ينشئ مفتاحاً قابلاً للاستخدام المتعدد. انسخ القيمة المُرجَعة.

3. 08

   توصيل عقدة عميل بخيار --login-server

   على كل جهاز عميل (Linux أو macOS أو Windows أو iOS أو Android)، يُستخدم عميل Tailscale الرسمي. عند الاتصال الأول، حدّد رابط خادم Headscale بعلامة ‫--login-server‬:

   على Linux:

   tailscale up --login-server https://votre-domaine.com --authkey VOTRE_PREAUTHKEY

   على macOS، شغّل من الطرفية:

   tailscale up --login-server https://votre-domaine.com --authkey VOTRE_PREAUTHKEY

   على Windows، أنشئ مفتاح تسجيل جديداً بـ --authkey وشغّل العميل من نافذة PowerShell بصلاحيات المسؤول. بعد التسجيل الأول بـ‫preauthkey‬، لا يلزم تكرار الأمر — العقدة تتصل تلقائياً عند الإعادة.

4. 09

   التحقق من تسجيل العقدة

   من الخادم الافتراضي، أدرج العقد المسجّلة:

   headscale nodes list

   تعرض كل عقدة مسجّلة: اسمها، وعنوان IP الشبكة المتشابكة (في نطاق 100.64.x.x)، والمستخدم المرتبط بها، وحالتها. الحالة online تؤكد أن العقدة نشطة وتواصلت مع المنسّق. الحالة offline أو disconnected تعني أن العقدة لم تتصل بعد أو أن الخدمة متوقفة عليها.

التحقق: هل ترى العقد بعضها؟

1. 10

   فحص حالة الشبكة من عقدة عميل

   ‏من أي عقدة عميل مسجّلة، شغّل:

   tailscale status

   ‏تُدرج الأمر جميع الأقران القابلين للوصول مع عناوين ‏IP‏ الشبكة المتشابكة وحالة الاتصال.

2. 11

   اختبار الاتصال بـ ping

   ‏تعرّف على ‏IP‏ الشبكة المتشابكة للعقدة الهدف من ‏tailscale status‏ (صيغة ‏100.64.x.x‏) ثم اختبر:

   ping 100.64.0.2

   ‏ping‏ يستجيب يؤكد أن نفق ‏WireGuard‏ يعمل.

3. 12

   اختبار دقة MagicDNS

   إذا فعّلت magic_dns: true في إعداد Headscale وحدّدت base_domain، يمكن الوصول لكل عقدة باسمها القصير:

   ping nom-du-noeud
   # أو بالاسم الكامل FQDN
   ping nom-du-noeud.votre-domaine.com

   تعمل دقة DNS عبر الشبكة الفرعية المتشابكة — لا يلزم أي سجل DNS عام للأسماء الداخلية. إذا فشلت الدقة، تحقق من أن dns_config.base_domain مضبوط في config.yaml وأن nameservers يتضمن عناوين DNS صالحة. لاحظ أن هذه الميزة تعمل فقط على العقد التي تشغّل tailscaled بالإعداد الكامل.

Tailscale المجاني مقابل Headscale: مقارنة واقعية

مرّر الجدول أفقيًا

حالة استخدام: وصول SSH بين VPS التطوير والإنتاج دون كشف المنفذ 22

1. 13

   تحديد واجهات الشبكة المتشابكة وعناوينها

   ‏على كل خادم افتراضي، واجهة ‏WireGuard‏ التي ينشئها ‏Tailscale‏ تُسمّى ‏tailscale0‏:

   tailscale ip -4

   ‏سجّل ‏IP‏ الشبكة المتشابكة لخادم الإنتاج (مثال ‏100.64.0.3‏) وخادم التطوير (مثال ‏100.64.0.2‏).

2. 14

   تكوين UFW لتقييد SSH على شبكة mesh

   ‏على خادم الإنتاج، عدّل قواعد ‏UFW‏:

   ufw allow in on tailscale0 to any port 22 proto tcp
   ufw deny 22
   ufw enable

   ‏المنفذ 22 لم يعد متاحاً من الإنترنت، لكنه يبقى قابلاً للوصول من أي عقدة في شبكة ‏mesh‏.

3. 15

   الاتصال بـ SSH عبر شبكة mesh

   ‏من خادم التطوير أو محطة العمل المسجّلة:

   ssh [email protected]
   # أو عبر MagicDNS إذا كان مفعّلاً
   ssh [email protected]

   ‏الاتصال يمرّ كاملاً عبر نفق ‏WireGuard‏ المشفّر. لا منفذ مفتوح على الإنترنت لخادم الإنتاج.

استكشاف الأخطاء: الأخطاء الأكثر شيوعاً

Headscale: استعادة التحكم في شبكتك المتشابكة