headscale 私有 VPN 组网(部署于 maizihehuo)

自建 Tailscale 兼容组网控制服务器(headscale):全集群 25 个节点的 VPN 中枢,域名 vpn.bianquezhiyin.cn,是跨机房/内网管理的命脉。

访问方式

• 控制面:https://vpn.bianquezhiyin.cn/(nginx → 127.0.0.1:8082 容器)
• 管理 CLI:docker exec headscale headscale <命令>(user list / node list / routes list)
• 本机 tailscale IP:100.64.0.21;SSH 经 1208 端口

技术架构

• Docker:headscale/headscale:latest,挂载 /opt/headscale/config → /etc/headscale、/opt/headscale/data → /var/lib/headscale
• 配置:config.yaml(server_url=https://vpn.bianquezhiyin.cn,listen 0.0.0.0:8080 容器内);derp-private.yaml 私有 DERP;policy.json 访问策略
• 用户:yunmaivpn;节点:约 25 个(含各服务器、PVE、旁路由、内网工作站)
• 配套:本机 tailscaled(100.64.0.21)、各节点 tailscaled、pve-tunnel(SSH 隧道叠加)、kaku2025 wb-hk-tunnel(-R 19225 反向隧道挂在本机)

数据

• SQLite:/opt/headscale/data(节点/用户/预授权密钥)
• 配置备份:config.yaml.bak-exitnode-、bak-policy-、safe-* 多份历史版本

使用方法

• 加节点:控制台生成 preauthkey:docker exec headscale headscale preauthkeys create -u yunmaivpn,节点 tailscale up --login-server https://vpn.bianquezhiyin.cn --authkey <key>
• 查节点:docker exec headscale headscale node list
• DERP/策略:改 derp-private.yaml / policy.json 后重启容器生效

维护方式

• 启停:docker restart headscale
• 日志:docker logs -f headscale
• 升级:注意 latest 镜像版本兼容性,先备份 /opt/headscale 整目录

现状与风险

• Up 2 weeks,功能正常
• 是全集群单点:本机故障 = 全 VPN 失联(各节点已建立的点对点连接不受影响,但新连接/密钥失效)
• DERP 私有化配置存在,但未验证冗余

优化建议

1. 【备份】每日备份:tar czf /opt/backups/headscale_$(date +%F).tgz /opt/headscale/data /opt/headscale/config 入 cron(数据小,成本忽略)
2. 【可维护性】导出节点清单存档:docker exec headscale headscale node list > /opt/backups/headscale_nodes_$(date +%F).txt
3. 【安全】policy.json 收紧:仅允许需要互通的节点互访(默认全互通有横向移动风险)
4. 【容灾】在第二台机器(如 kaku 切换后的 maizi 或飞牛)准备 headscale 配置冷备,记录恢复步骤(导入 data 目录即可恢复控制面)
5. 【安全】headscale 管理端口 8082 仅本机(现状正确),不要映射公网