Problematiche#

Hub and Spoke funziona bene ma ha i suoi svantaggi:

• le grosse company non hanno solitamente un singolo punto da designare come VPN hub
• aziende multinazionali o dislocate in varie regioni di solito hanno un singolo accentratore VPN e poi impostano vari tunnel IPsec verso le varie sedi

IMPORTANT

Questo porta a svantaggi in termini di latenza e affidabilità dato che gli utenti remoti che vogliono collegarsi a un datacenter possono trovarsi lontano dall’accentratore VPN e lo stesso datacenter finale potrebbe trovarsi a sua volta molto lontano da quest’ultimo.

Prerequisiti#

• server con IPv4 pubblico
• Dominio con certificato https
• utente dedicato headscale
• Headscale è disponibile via HTTPS su porta 443 di default

Setup dominio con certificato#

Per semplicità usiamo duckdns.

1. Login e ci annotiamo il token e la mail
2. Creiamo un mapping hs-devstone all’ip privato della macchina su cui hostiamo Headscale
3. Nel prossimo punto configureremo un reverse proxy Caddy che richiederà ogni volta un certificato aggiornato per il dominio hs-devstone

Setup reverse proxy Caddy#

Usiamo Caddy come reverse proxy dato che è in grado di rinnovare certificati autonomamente utilizzando DNS challenge e inoltre è di facile configuraizione.

NOTE

Caddy non supporta nativamente duckdns quindi dobbiamo buildare un’immagine Caddy al volo.

1. Creiamo una cartella dockerfile-caddy che contiene il Dockerfile per la creazione dell’immagine di Caddy

FROM caddy:builder AS builder  
RUN xcaddy build --with github.com/caddy-dns/duckdns 
FROM caddy:2 
COPY --from=builder /usr/bin/caddy /usr/bin/caddy  

2. Creiamo un Caddyfile per impostare le regole di reverse proxy.

{$DOMAIN}:443 {
  log {
    level INFO
    output file {$LOG_FILE} {
      roll_size 10MB
      roll_keep 10
    }
  }

  # Use the ACME DNS-01 challenge to get a cert for the configured domain.
  tls {
    dns duckdns {$DUCKDNS_TOKEN}
  }

  # This setting may have compatibility issues with some browsers
  # (e.g., attachment downloading on Firefox). Try disabling this
  # if you encounter issues.
  encode gzip

  # Proxy everything else to Headscale
  reverse_proxy http:/headscale:8080
}

• $DOMAIN: è il dominio che abbiamo in duckdns e che imposteremo nel docker compose
• $LOG_FILE: sarà il nome del file di log
• $DUCKDNS_TOKEN: sarà il token Duckdns

Creazione container Docker#

1. Creiamo la cartella che conterrà la configurazione Headscale

mkdir -p ./headscale/config
cd ./headscale/config

2. Scarichiamo il template di configurazione da qui e lo salviamo in ./headscale/config/config.yaml. Cambiamo i valori come segue:

server_url: https://hs-devstone.duckdns.org

# Address to listen to / bind to on the server
#
# For production:
# listen_addr: 0.0.0.0:8080
listen_addr: 0.0.0.0:8080

# Address to listen to /metrics, you may want
# to keep this endpoint private to your internal
# network
#
metrics_listen_addr: 0.0.0.0:9090

# Address to listen for gRPC.
# gRPC is used for controlling a headscale server
# remotely with the CLI
# Note: Remote access _only_ works if you have

3. Creiamo un docker-compose.yaml in ./headscale. Servizi:

• headscale: esposto su porta 8080 e 8090 su container headscale

services:
  headscale:
    image: headscale/headscale
    restart: unless-stopped
    container_name: headscale
    volumes:
      # Please change <CONFIG_PATH> to the fullpath of the config folder just created
      - ./config:/etc/headscale
    command: serve
  caddy:
    build: ./dockerfile-caddy
    container_name: caddy
    pull_policy: build
    restart: always
    ports:
      - 443:443
    volumes:
      # - ./caddy:/usr/bin/caddy  # Your custom build of Caddy.
      - ./Caddyfile:/etc/caddy/Caddyfile:ro
      - ./caddy-config:/config
      - ./caddy-data:/data
    environment:
      - DOMAIN=https://hs-devstone.duckdns.org                # Your domain.
      - EMAIL=luca201194@gmail.com                            # The email address to use for ACME registration.
      - DUCKDNS_TOKEN=aaa33e43-1333-4e92-93ad-994737b01dee    # Your Duck DNS token.
      - LOG_FILE=/data/access.log

4. Creazione e run del container

docker compose up -d --build # crea container e run in background
docker logs --follow headscale # seguiamo i log
docker compose ps # vediamo se è partito

Esempio di log

❯ docker logs --follow headscale
headscale  | 2025-03-07T13:55:13Z INF No private key file at path, creating... path=/var/lib/headscale/noise_private.key
headscale  | 2025-03-07T13:55:13Z INF Opening database database=sqlite3 path=/var/lib/headscale/db.sqlite
headscale  | 2025-03-07T13:55:13Z INF home/runner/work/headscale/headscale/hscontrol/app.go:570 > Clients with a lower minimum version will be rejected minimum_version=v1.62.0
headscale  | 2025-03-07T13:55:13Z WRN Listening without TLS but ServerURL does not start with http://
headscale  | 2025-03-07T13:55:13Z INF listening and serving HTTP on: 0.0.0.0:8080
headscale  | 2025-03-07T13:55:13Z INF listening and serving debug and metrics on: 0.0.0.0:9090

Verifica che tutto funzioni andando su https://hs-devstone.duckdns.org/windows e vediamo se il certificato è autentico 5. Creazione utente

docker exec -it headscale headscale users create myfirstuser

Registrazione clients#

docker exec -it headscale headscale nodes register --user myfirstuser --key TNXkxpAYUeDHunCIz7aigkDh
> Node localhost registered

Test finale#

Headscale in combinazione con i client Tailscale permette di creare una Rete VPN Mesh e lo fa in modo estremamente semplice.
Questo ha effetti positivi nelle performance dato che possiamo instaurare connessioni punto-punto senza dover passare per un accentratore.

Come vediamo in Local Send abbiamo 2 reti a cui è connesso il dispositivo.