Headscale सर्वर असल में क्या देखता है?

मेटाडेटा: कौन-से डिवाइस मौजूद हैं, उनकी सार्वजनिक कुंजियाँ, उनके पते और वे आख़िरी बार कब ऑनलाइन थे। असली ट्रैफ़िक WireGuard के ज़रिए डिवाइसों के बीच सीधे बहता है (या अगर वे एक-दूसरे तक न पहुँच पाएँ तो रिले से) और शुरू से अंत तक एन्क्रिप्टेड रहता है। खुद होस्ट करने का मतलब है कि वह मेटाडेटा किसी और के नहीं, आपके सर्वर पर रहता है।

क्या विशेष क्लाइंट चाहिए?

नहीं। आप Linux, macOS, Windows, iOS और Android पर सामान्य Tailscale ऐप इस्तेमाल करते हैं और उन्हें अपने सर्वर के URL की ओर इंगित करते हैं। Linux पर बस एक फ़्लैग चाहिए: --login-server।

कौन-सा प्लान काफ़ी है?

Headscale बहुत हल्का है: Nano-IP ($8/माह) एक परिवार या छोटी टीम को आराम से संभाल लेता है। आपको डेडिकेटेड IP चाहिए क्योंकि डिवाइसों को HTTPS के ज़रिए कंट्रोल सर्वर तक पहुँचना होता है; NAT प्लान आने वाला 443 स्वीकार नहीं करता।

अगर दो डिवाइस सीधे न जुड़ पाएँ तो?

वे रिले (DERP) पर चले जाते हैं। डिफ़ॉल्ट रूप से Headscale, Tailscale के सार्वजनिक रिले इस्तेमाल करता है, जिन्हें सिर्फ़ एन्क्रिप्टेड पैकेट दिखते हैं। इसके बजाय आप Headscale का अंतर्निहित रिले चालू कर सकते हैं; इसके लिए UDP 3478 खुला होना चाहिए और रिले किया गया ट्रैफ़िक आपके VPS की बैंडविड्थ इस्तेमाल करता है।

होस्टेड Tailscale सेवा की तुलना में क्या कमी है?

कोई आधिकारिक वेब एडमिन पैनल नहीं है: उपयोगकर्ता और कुंजियाँ आप कमांड लाइन से संभालते हैं (समुदाय के बनाए इंटरफ़ेस मौजूद हैं)। होस्टेड सेवा की कुछ नई सुविधाएँ Headscale में देर से आती हैं या आती ही नहीं। निजी या छोटी टीम के नेटवर्क के लिए मुख्य चीज़ें (mesh, ACL, MagicDNS, exit node) अच्छी तरह काम करती हैं।

Headscale के लिए VPS: सेल्फ़-होस्टेड Tailscale कंट्रोल सर्वर

एक छोटे VPS पर Headscale चलाएँ और अपने mesh VPN का समन्वय सर्वर अपने नियंत्रण में रखें। इंस्टॉल, पहला उपयोगकर्ता, डिवाइस जोड़ना और सीमाएँ।

mesh VPN उन टूल्स में से है जो चुपचाप सब कुछ आसान बना देते हैं: आपका लैपटॉप, घर का सर्वर, फ़ोन और VPS, चाहे कहीं भी हों, निजी पतों पर एक-दूसरे को देख पाते हैं। होस्टेड mesh VPN की दिक़्क़त समन्वय सर्वर है: एक कंपनी आपके हर डिवाइस का नक्शा अपने पास रखती है। Headscale उस कंट्रोल सर्वर का ओपन-सोर्स विकल्प है। इसे एक छोटे VPS पर चलाइए, सामान्य क्लाइंट ऐप इस्तेमाल करते रहिए, और नक्शा आपका हो जाता है।

सब कुछ कैसे जुड़ता है

Headscale (आपके VPS पर) पते बाँटता है, सार्वजनिक कुंजियाँ वितरित करता है और आपके ACL लागू करता है।
क्लाइंट सामान्य Tailscale ऐप हैं, जिन्हें आपके सर्वर की ओर इंगित किया जाता है।
ट्रैफ़िक WireGuard के ज़रिए डिवाइस से डिवाइस तक जाता है। कंट्रोल सर्वर उसे कभी नहीं ढोता।

यही आख़िरी बात वजह है कि बहुत छोटा प्लान काफ़ी है: VPS सिर्फ़ छोटे-छोटे समन्वय अनुरोधों का जवाब देता है।

आपको क्या चाहिए

Nano-IP ($8/माह): 2 vCPU और 1 GB RAM, Headscale के इस्तेमाल से कहीं ज़्यादा है।
एक डेडिकेटेड IPv4 और एक डोमेन, जैसे hs.example.com। डिवाइस HTTPS के ज़रिए कंट्रोल सर्वर से बात करते हैं, इसलिए VPS को आने वाला 443 स्वीकार करना होगा; NAT प्लान ऐसा नहीं करते (विवरण)।

इंस्टॉल (Debian 12 / Ubuntu 24.04)

GitHub पर Headscale के रिलीज़ पेज से मौजूदा .deb लें, और संस्करण को सबसे नए से बदलें:

HS_VER=0.26.1
wget -O headscale.deb \
  "https://github.com/juanfont/headscale/releases/download/v${HS_VER}/headscale_${HS_VER}_linux_amd64.deb"
apt install -y ./headscale.deb caddy

/etc/headscale/config.yaml संपादित करें; ज़रूरी दो पंक्तियाँ ये हैं:

server_url: https://hs.example.com
listen_addr: 127.0.0.1:8080

HTTPS के लिए आगे Caddy लगाएँ:

cat > /etc/caddy/Caddyfile <<'EOF'
hs.example.com {
    reverse_proxy 127.0.0.1:8080
}
EOF
systemctl enable --now headscale
systemctl reload caddy

एक उपयोगकर्ता और एक डिवाइस जोड़ें

headscale users create alice
headscale users list            # note the user's ID
headscale preauthkeys create --user 1 --expiration 24h

पुराने रिलीज़ --user में ID की जगह उपयोगकर्ता नाम लेते हैं; headscale preauthkeys create --help बताएगा कि आपका संस्करण क्या चाहता है।

Linux डिवाइस पर:

tailscale up --login-server https://hs.example.com --authkey YOUR_KEY

फ़ोन और डेस्कटॉप पर Tailscale ऐप की सेटिंग में कस्टम कंट्रोल सर्वर सेट किया जा सकता है। VPS पर headscale nodes list चलाएँ और आपका डिवाइस वहाँ दिखना चाहिए।

रिले और NAT पार करना

ज़्यादातर डिवाइस सीधे जुड़ जाते हैं। जब दो डिवाइस नहीं जुड़ पाते (सख़्त मोबाइल नेटवर्क, डबल NAT), तो ट्रैफ़िक DERP रिले से होकर जाता है। शुरुआत में Headscale, Tailscale के सार्वजनिक रिले इस्तेमाल करता है, जिन्हें सिर्फ़ एन्क्रिप्टेड पैकेट दिखते हैं। अगर आप रास्ते में कुछ भी बाहरी नहीं चाहते, तो config.yaml में अंतर्निहित रिले चालू करें (derp.server.enabled: true) और UDP 3478 खोलें। तब रिले किया गया ट्रैफ़िक आपके VPS की बैंडविड्थ में गिना जाएगा।

ईमानदार सीमाएँ

कोई आधिकारिक वेब डैशबोर्ड नहीं है: उपयोगकर्ता, कुंजियाँ और रूट सब CLI कमांड हैं (दो बार करने के बाद आसान लगता है)। होस्टेड सेवा की नई सुविधाएँ Headscale में देर से आती हैं, अगर आती हैं तो। और अब कंट्रोल सर्वर आपकी ज़िम्मेदारी है: अगर यह बंद हो जाए तो मौजूदा कनेक्शन चलते रहते हैं, लेकिन नए डिवाइस नहीं जुड़ पाते और कुंजियाँ रिफ़्रेश नहीं होतीं। बैकअप लें: पूरी स्थिति /var/lib/headscale में है।

होम लैब, परिवार या ऐसी छोटी टीम के लिए जो अपने डिवाइसों का नक्शा तीसरे पक्ष के सर्वर से हटाना चाहती है, यह $8 वाले VPS के सबसे अच्छे इस्तेमालों में से एक है।