Tự host Headscale để thay thế cho Tailscale Cloud

Làm chủ WireGuard Mesh Network: Tự host Headscale thay thế Tailscale Control Plane#

Tailscale gần như đã trở thành tiêu chuẩn defacto khi xây dựng overlay network Zero-Trust cho hạ tầng hiện đại. Nhờ vào thuật toán đục lỗ NAT (NAT traversal) mượt mà dựa trên WireGuard, việc kết nối hàng chục cluster, server bare-metal, VPS và thiết bị edge trở nên đơn giản hơn bao giờ hết.

Tuy nhiên, mô hình của Tailscale là hybrid open-source: client mã nguồn mở, nhưng Control Plane (bộ não điều chỉnh node, phối hợp khóa public key, cấp phát MagicDNS và ACL) lại là dịch vụ SaaS đóng.

Khi hạ tầng mở rộng hoặc đối mặt với các tiêu chuẩn khắt khe về Sovereign Infrastructure (Hạ tầng tự chủ), việc phụ thuộc vào SaaS Control Plane phát sinh nhiều rào cản:

• Giới hạn số lượng node/user theo tier chi phí của Tailscale Cloud.
• Rủi ro tuân thủ (compliance) khi metadata mạng bị lưu trữ ở bên thứ ba.
• Phụ thuộc hoàn toàn vào uptime và chính sách thay đổi của nhà cung cấp SaaS.

Headscale xuất hiện như một lời giải triệt để cho bài toán này: Một open-source Control Plane tương thích 100% với Tailscale Client.

Kiến trúc: Phân tách Control Plane & Data Plane#

Để hiểu tại sao Headscale hoạt động mượt mà, cần nhìn lại bản chất mô hình của Tailscale:

+-------------------------------------------------------------+
|                      CONTROL PLANE                          |
|             (Headscale - Self-hosted Service)               |
|   - Node Registration & Auth (OIDC)                         |
|   - WireGuard Key Exchange & Routing Table Sync             |
|   - MagicDNS & Tailnet Policy (ACLs)                        |
+------------------------------+------------------------------+
                               |
                   Signaling / Control Only
                               |
+------------------------------v------------------------------+
|                        DATA PLANE                           |
|        (Direct P2P Encrypted WireGuard Tunnels)             |
|                                                             |
|   [ Node A ] <========== P2P Tunnel ==========> [ Node B ]   |
|       ^                                             ^       |
|       |                                             |       |
|       +--- (Optional Fallback) ---> [ Custom DERP ]-+       |
+-------------------------------------------------------------+

1. Data Plane (Direct WireGuard P2P): Lưu lượng truy cập thực tế giữa các server (Node A $\leftrightarrow$ Node B) diễn ra trực tiếp qua mã hóa WireGuard. Headscale không bao giờ chạm vào payload hay dữ liệu mạng của bạn.
2. Control Plane (Headscale): Chỉ đóng vai trò "trọng tài" cấp phát IP nội bộ (100.x.x.x), phối hợp việc trao đổi public key, đồng bộ cấu hình MagicDNS và đẩy bảng ánh xạ NAT giữa các node.

Hệ quả kiến trúc quan trọng: Nếu máy chủ Headscale gặp sự cố tạm thời (downtime), toàn bộ các kết nối P2P hiện hữu trong mạng mesh vẫn hoạt động hoàn toàn bình thường. Bạn chỉ không thể add thêm node mới hoặc nhận thay đổi ACL trong thời gian đó.

Những lợi ích cốt lõi khi tự host Headscale#

1. Hạ tầng tự chủ tuyệt đối (Data Sovereignty)#

Toàn bộ thông tin định tuyến, IP map, topology mạng và thông tin thiết bị nằm hoàn toàn trong database do bạn kiểm soát (PostgreSQL hoặc SQLite). Không có bất kỳ lượng telemetry nào bị lọt ra dịch vụ cloud ngoài.

2. Không giới hạn Scale & Chi phí cố định#

Bạn có thể nối hàng nghìn server, ephemeral container trong CI/CD pipeline hay thiết bị IoT vào Tailnet mà không tốn thêm một xu chi phí bản quyền SaaS. Chi phí duy nhất là tài nguyên máy chủ chạy Headscale binary (tốn chưa tới 100MB RAM).

3. Tích hợp OIDC/SSO Nội bộ#

Headscale hỗ trợ OIDC native. Bạn dễ dàng đấu nối việc xác thực đăng nhập mạng mesh trực tiếp vào hệ thống Identity Provider nội bộ như Authentik, Keycloak hoặc Vaultwarden.

4. Chủ động hạ tầng DERP Relay#

Khi hai node nằm sau hai tầng NAT khắc nghiệt (Symmetric NAT) không thể đục lỗ P2P trực tiếp, lưu lượng sẽ fallback qua DERP Relay. Thay vì dùng DERP public của Tailscale với latency cao, bạn tự dựng các điểm DERP node riêng đặt tại các Datacenter nội địa để tối ưu băng thông và độ trễ.

Lựa chọn Kiến trúc Triển khai Khuyên dùng#

Để vận hành Headscale đạt độ tin cậy cấp Production, mô hình bên dưới là chuẩn tối ưu:

[ Tailscale Clients ] 
         |
         v (HTTPS / Port 443)
[ Caddy / Nginx Reverse Proxy ] (TLS Termination with Wildcard Cert)
         |
         v
[ Headscale Process ] <---> [ PostgreSQL Database ]
         |
         v
[ Identity Provider: Authentik / Keycloak ] (OIDC Authentication)

1. Reverse Proxy & Domain#

Chạy Headscale đằng sau Caddy hoặc Nginx để tự động quản lý TLS Certificate. Headscale sử dụng gRPC và HTTP/2 cho việc sync state realtime, do đó Reverse Proxy cần hỗ trợ WebSocket và HTTP/2.

Cấu hình Caddy mẫu:

# Caddyfile configuration for Headscale
net.p10node.io {
    reverse_proxy localhost:8080 {
        header_up X-Real-IP {remote_host}
    }
}

2. File cấu hình Headscale cơ bản (config.yaml)#

# Headscale core configuration
server_url: https://net.p10node.io:443
listen_addr: 0.0.0.0:8080

metrics_listen_addr: 0.0.0.0:9090

db_type: postgres
db_host: postgres-cluster.internal
db_port: 5432
db_name: headscale
db_user: headscale
db_pass: "secure_password_here"

ip_prefixes:
  - 100.64.0.0/10
  - fd7a:115c:a1e0::/48

derp:
  server:
    enabled: false
  urls:
    - https://controlplane.tailscale.com/derp/derpers.json

dns_config:
  nameservers:
    - 1.1.1.1
  base_domain: p10.internal
  magic_dns: true

oidc:
  only_start_if_oidc_is_available: true
  issuer: "https://auth.p10node.io/application/o/headscale/"
  client_id: "headscale-client-id"
  client_secret: "headscale-client-secret"
  scope: ["openid", "profile", "email"]

3. Kết nối Client#

Trên các server hoặc máy trạm, việc kết nối tới Headscale Control Plane tự host cực kỳ đơn giản:

# Connect Linux server to self-hosted Headscale
tailscale up --login-server=https://net.p10node.io --accept-routes

Những thực tế kỹ thuật cần đánh đổi (Trade-offs)#

Tự vận hành hạ tầng đồng nghĩa với việc chấp nhận trách nhiệm kỹ thuật. Headscale không phải là bản sao 1:1 tính năng thương mại của Tailscale:

• Không có UI mặc định: Headscale thuần túy là CLI binary. Nếu cần giao diện web quản lý user/node, bạn phải tự deploy thêm các dự án community như Headscale-Admin hoặc Headplane.
• Trách nhiệm sao lưu State: Bạn phải chủ động cấu hình backup/restore định kỳ cho PostgreSQL database chứa thông tin node và private keys.
• Cấu hình ACLs thủ công: Khác với giao diện JSON/HUGR trực quan trên Tailscale Cloud, ACLs trong Headscale được định nghĩa qua file YAML trên server và reload thủ công hoặc qua CI/CD.

Lời kết#

Việc chuyển từ Tailscale Cloud sang tự host Headscale không đơn thuần là bài toán tiết kiệm chi phí. Đây là bước đi chiến lược trong tư duy thiết kế hạ tầng: Không thỏa hiệp về mặt kiểm soát (Control) và bảo mật Zero-Trust.

Bằng cách làm chủ Control Plane, bạn sở hữu một mạng mesh private hoàn toàn phẳng, kết nối tin cậy giữa các môi trường Cloud, Bare-metal và Edge mà không chịu bất kỳ rào cản hay sự phụ thuộc vào bên thứ ba nào.