Устанавливаем Mesh-сеть на основе Tailscale VPN

Добрый день. В этой статье мы установим VPN Tailscale, который основан на WireGuard и предоставляет дополнительные функции для пользователей. В отличие от WireGuard, Tailscale не является полностью бесплатным. Вы можете им пользоваться без оплаты и привязки карты, с ограничениями до 3 пользователей и 100 устройств. Что в целом достаточно для некоммерческого применения.

Tailscale

Tailscale — это сетевое решение, построенное на базе протокола WireGuard, которое упрощает создание безопасных mesh-сетей (сеть, где каждый узел может напрямую взаимодействовать с любым другим узлом). В отличие от традиционных VPN с архитектурой «звезда» (hub-and-spoke), Tailscale предлагает гибкость, легкость настройки и возможность прямого соединения между узлами.

Установка Tailscale

curl -fsSL https://pkgs.tailscale.com/stable/ubuntu/noble.noarmor.gpg | sudo tee /usr/share/keyrings/tailscale-archive-keyring.gpg >/dev/null
curl -fsSL https://pkgs.tailscale.com/stable/ubuntu/noble.tailscale-keyring.list | sudo tee /etc/apt/sources.list.d/tailscale.list

apt update && apt upgrade -y

sudo apt-get update
sudo apt-get install tailscale

sudo tailscale up

tailscale ip -4

Дополнительная настройка

При включении переадресации IP-адресов убедитесь, что брандмауэр по умолчанию запрещает переадресацию трафика. Это настройка по умолчанию для стандартных брандмауэров, таких как ufw и firewalld. Блокировка переадресации трафика по умолчанию предотвращает непреднамеренную маршрутизацию трафика.

Для использования устройства Linux в качестве маршрутизатора подсети требуется переадресация IP-адресов. Процесс включения переадресации IP-адресов зависит от дистрибутива Linux. Однако в большинстве случаев работают следующие инструкции.

Если в вашей системе Linux есть /etc/sysctl.d каталог, используйте:

echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf

В противном случае используйте:

echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.conf
sudo sysctl -p /etc/sysctl.conf

Оптимизация Linux для маршрутизаторов подсети и выходных узлов

Версия Tailscale 1.54 или более поздняя, используемая с ядром Linux 6.2 или более поздней версии, позволяет повысить пропускную способность UDP с помощью выгрузки на транспортном уровне. Если устройство Linux работает в качестве выходного узла или маршрутизатора подсети, для достижения наилучших результатов убедитесь, что настроено следующее сетевое устройство:

NETDEV=$(ip -o route get 8.8.8.8 | cut -f 5 -d " ")
sudo ethtool -K $NETDEV rx-udp-gro-forwarding on rx-gro-list off

По умолчанию изменения, внесённые с помощью ethtool, не сохраняются после перезагрузки. В дистрибутивах Linux с помощью networkd-dispatcher (что можно проверить с помощью systemctl is-enabled networkd-dispatcher) можно запустить следующие команды, чтобы создать скрипт, который настраивает эти параметры при каждой загрузке.

printf '#!/bin/sh\n\nethtool -K %s rx-udp-gro-forwarding on rx-gro-list off \n' "$(ip -o route get 8.8.8.8 | cut -f 5 -d " ")" | sudo tee /etc/networkd-dispatcher/routable.d/50-tailscale
sudo chmod 755 /etc/networkd-dispatcher/routable.d/50-tailscale

Выполните следующие команды, чтобы протестировать скрипт и убедиться, что он успешно работает на ваших устройствах:

sudo /etc/networkd-dispatcher/routable.d/50-tailscale
test $? -eq 0 || echo 'An error occurred.'

Перенаправление трафика через сервер

tailscale up --advertise-exit-node

Рекомендации по выбору размера машин

Далее идет важный этап, не пропускаем его!

Затем на сайте Tailscale, в списке машин — нажать на три точки напротив той, через которую будет идти весь трафик (подсказка, название нашего сервера), Edit Routte Settings → активировать переключатель Use as exit node.

В Windows, на иконке Tailscale правой клавишей мыши, в появшемся списке выбрать Exit node и выбрать машину через которую будет идти весь трафик (подсказка, название нашего сервера).

В Android, справа вверху нажать три точки, далее Use exit node и выбрать машину через которую будет идти весь трафик.

И напоследок парочку фичей:

Переходим в консоли Tailscale (ссылка) на вкладку DNS, выбираем DNS от Cloudflare, Google или Quad9. Или вводим свой, например от Adguard. И ниже активируем HTTPS Certificates.

Базовая защита сервера

Защитим сервер брутфорса (взлом через перебор паролей):

apt install fail2ban -y && apt install ufw -y && apt install nano -y

touch /etc/fail2ban/jail.local && nano /etc/fail2ban/jail.local

Откроется редактор, вставим в него код:

[sshd]
enabled = true
filter = sshd
action = iptables[name=SSH, port=ssh, protocol=tcp]
logpath = /var/log/auth.log
findtime = 600
maxretry = 3
bantime = 43200

Нажимаем ctlr + x, далее y + enter, чтобы сохранить.

Настраиваем фаервол и отключаем пинг

ufw allow 22/tcp && ufw limit 22/tcp && ufw allow 443/tcp && ufw default deny incoming && ufw default allow outgoing && service ufw start && ufw enable 

Подтверждаем включение фаервола, Y и Enter.

Отключим двухсторонний пинг, чтобы затруднить обнаружение туннеля

 nano /etc/ufw/before.rules

Меняем концовку следующего выражения с ACCEPT на DROP:

-A ufw-before-input -p icmp --icmp-type echo-request -j DROP

Нажимаем ctlr + x, далее y + enter, чтобы сохранить.

И напоследок:

apt update && apt upgrade -y && apt autoclean -y && apt clean -y && apt autoremove -y && reboot

Author: ingenare

IT Project Manager, организатор IT-конференций в РФ