Tailscale Site-to-Site VPN 技术实践

前言

Tailscale 是一个基于 WireGuard 的零配置 VPN 解决方案，能够轻松地在不同网络环境下实现设备间的安全连接。本文将介绍如何使用 Tailscale 实现 Site-to-Site VPN，连接两个不同的网络，使得它们之间的设备可以像在同一局域网内一样进行通信。

详情 请参考官方文档：Tailscale Subnet Router

这个技术在家庭网络中非常方便，可以实现远程访问、资源共享等功能。

比如说你有两个家，一个在上海，一个在桂林，你可以通过 Tailscale 实现两个家庭网络
的互联，方便访问各自的设备和服务。

配置好子网和路由表转发后，两个网络内的设备就可以直接通过 IP 进行通信，不需要切换网络IP，就像在同一个局域网内一样。

比如 jellyfin IP是 192.168.2.100, 另一个网络内的设备可以直接通过 192.168.2.100 访问 jellyfin 服务。不需要多余的端口映射和域名解析，就可以丝滑使用。从上海回到桂林，不用做任何改动，直接访问在上海的设备。

网络拓扑图如下：

准备工作

在开始之前，确保你已经完成以下准备工作：

  1. 注册并登录 Tailscale 账号。

  2. 在两个不同的网络环境（A, B）中各有一台设备（如服务器、路由器等）作为 Tailscale 的节点。

  3. 在这两台设备上安装并配置好 Tailscale 客户端。

    1
    2
    3
    4
    # 安装 Tailscale
    curl -fsSL https://tailscale.com/install.sh | sh
    # 启动 Tailscale 并登录
    sudo tailscale up

配置 Site-to-Site VPN

配置A网络

先配置 A网络的节点：
假设在这个网络中是有NAS服务器，IP地址是 192.168.1.30，网段是 192.168.1.0/24

  1. 启用子网路由：在每个节点上启用子网路由功能，使得该节点可以作为子网的路由器。

    1
    sudo tailscale up --advertise-routes=<子网CIDR>

    例如，如果你的服务器是在A住所的网段是 192.168.1.0/24，你可以这样配置：

    1
    sudo tailscale up --advertise-routes=192.168.1.0/24

  2. 接受路由广播：在 Tailscale 管理控制台中，接受来自两个节点的路由。注意这步骤需要在 Tailscale 的 Web 控制台中操作。

选择 “Subnet routes” 来允许节点之间的路由通信。然后点击 Save 保存配置。
alt text
alt text

  1. 配置防火墙规则：确保两个网络的防火墙允许 Tailscale 的流量通过，特别是 WireGuard 使用的 UDP 端口（默认是 51820）。

  2. 启用 IP 转发：确保节点设备启用了 IP 转发功能，以允许数据包在不同子网之间转发。

    在 Linux 系统上，可以通过以下命令启用 IP 转发：

    1
    2
    3
    echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
    echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
    sudo sysctl -p /etc/sysctl.d/99-tailscale.conf

  3. 配置路由表：确保你的设备路由表中包含了正确的路由信息，以便将流量正确地引导到 Tailscale 网络。

在路由器上添加静态路由，将目标子网指向 Tailscale 节点的 IP 地址。如下图，作用是让局域网内的设备访问 192.168.2.0/24 网段的设备时，通过 Tailscale 节点进行转发。
alt text

配置B网络

接下来配置 B网络的节点：
这边的局域网内最有一个Linux 稳定运行设备，用于流量转发。

  1. 安装 Tailscale 并登录：

    1
    2
    curl -fsSL https://tailscale.com/install.sh | sh
    sudo tailscale up

  2. 启用子网路由，和上面相同。如果你不需要在 A网络内访问 B网络的设备，可以不配置子网路由。

    1
    sudo tailscale up --advertise-routes=192.168.2.0/24

3.启用 IP 转发，和上面相同。用于转发流量到 A网络。

  1. 配置路由表：
    在路由器上添加静态路由，将目标子网指向 Tailscale 节点的 IP 地址。如下图，作用是让局域网内的设备访问 192.168.1.0/24 网段的设备时，通过 Tailscale 节点进行转发。

配置b地点的路由表

测试连接

完成上述配置后，可以通过以下步骤测试 Site-to-Site VPN 的连接：

  1. Ping 测试：从 A网络内的设备 ping B网络内的设备，反之亦然，确保能够互相通信。

    1
    2
    ping <B网络设备IP>
    ping <A网络设备IP>

  2. 访问服务：尝试从 A网络访问 B网络内的服务（如 Web 服务器、文件共享等），确保服务能够正常访问。

最后

原理可以参考 Tailscale 官方文档：Tailscale Subnet Router
官方视频

展开全文 >>

Gitlab 配置 cloudflare CDN 和 SSH

简单的开头

Gitlab 是一个基于Web的开源版本控制系统和代码管理系统,在企业中作为常见的代码版本管理工具。

我自己部署一个Gitlab 在家中的服务器上， 那么如何非家庭网络中访问呢？ 答案是内网穿透！

Gitlab 部署

Gitlab 提供多种方便的部署方式， 具体的方法可以查阅这里，Download and install GitLab | GitLab

我自己使用Docker 进行部署,下面是我的 docker-compose.yml 文件可以参考下,

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
# docker-compose.yml
version: '3.7'
services:
  gitlab:
    image: gsdukbh/gitlab-ee-arm64:latest
    container_name: gitlab
    volumes:
      - './gitlab/config:/etc/gitlab'
      - './gitlab/log:/var/log/gitlab'
      - './gitlab/data:/var/opt/gitlab'
    restart: always
    ports:
      - '9000:80' 
      - '8090:8091' # pagas
      - '2222:22' # ssh
  git-runner:
    image: gitlab/gitlab-runner:latest
    container_name: runner
    volumes: 
      - '/var/run/docker.sock:/var/run/docker.sock'
      - './runner/config:/etc/gitlab-runner'
    restart: always
    links:
     - 'gitlab:gitlab'


因我是部署在树莓派上, 使用的架构是 arm64,但是Gitlab官方镜像中并没有arm64.这里使用的是我自己构建的镜像.

构建镜像dockerfile 可以看这里 GitHub - gsdukbh/docker-gitlab-ee-arm64: build gitlab-ee for arm64 images

关于gitlab 部署的更多问题,可以参阅我的其他文章.

配置 Cloudflare Tunnel

Cloudflare Tunnel 是Cloudflare 推出的内网穿透的工具,可将任意内网子域或路径映射到外网域名,实现内网服务外网访问。

利用Cloudflare Tunnel 可以完美配置网络穿透,并且无需任何费用.

安装 Cloudflare Tunnel

使用命令行安装.

1
2
3
sudo wget https://github.com/cloudflare/cloudflared/releases/latest/download/cloudflared-linux-amd64.deb
sudo dpkg -i ./cloudflared-linux-amd64.de

推荐使用 软件包管理器进行安装 官方 Linux 软件包 在自己的软件源中添加 pkg.cloudflare.com 这样方便后续的更新.

登录 Cloudflare Tunnel

1
2

cloudflared login

输出, 点击连接通过网页登录认证.

adee8479-5077-44cd-9bf9-91a463238c9c

连接到Cloudflare

  1. 创建一个连接通道.

    1
    cloudflared tunnel create gitlab

cloudflared 会创建一个唯一id的连接通道, 比如 6ff42ae2-765d-4adf-8112-31c55c1551ef 然后我们使用这个来连接.

  1. 配置本地连接网络.

    1
    2
    3
    4
    5
    6
    7
    8
    9
    10
    vim ~/.cloudflared/config.yml
    tunnel: 6ff42ae2-765d-4adf-8112-31c55c1551ef
    credentials-file: /root/.cloudflared/6ff42ae2-765d-4adf-8112-31c55c1551ef.json

    ingress:
      - hostname: gitlab.yourdomain.com
        service: http://localhost:80
      - hostname: gitlab-ssh.yourdomain.com
        service: ssh://localhost:22
      - service: http_status:404

  2. 检查下配置是否正常.

    1
    2
    3

    cloudflared tunnel ingress validate

  3. 运行Tunnel  

    1
    2
    # 这个会直接运行在终端, 停止会让内网穿透失败
    cloudflared tunnel run

    5. 创建一个systemd 服务来长期运行  tunnel

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
#创建文件
nano /etc/systemd/system/cloudflared-tunnel.servcie

# /etc/systemd/system/cloudflared-tunnel.servcie


[Unit]
Description=cloudflared tunnel 
After=network.target

[Service]
TimeoutStartSec=0
Type=notify
ExecStart=/usr/bin/cloudflared tunnel run
RestartSec=5s

[Install]
WantedBy=multi-user.target

配置DNS

先将自己域名添加到cloudflare, 然后在 网站-> DNS 添加DNS 记录. 选择 CNAME 然后填入

1
2
3
4
5
##名称
gitlab.yourdomain.com
## 目的
6ff42ae2-765d-4adf-8112-31c55c1551ef.cfargotunnel.com
# 前面guid

gitlab-ssh 域名重复上.

等待几分钟 ,这个时候就可以访问 Gitlab了

配置 SSH

使用 cloudflare tunnel 连接ssh 有些麻烦,必须在使用的电脑上安装cloudflared 才可以使用.

安装 cloudflared 在 用户目录 .ssh/config 配置

1
2
Host gitlab-ssh.yourdomain.com
  ProxyCommand /usr/local/bin/cloudflared access ssh --hostname %h

到此, Gitlab 就完全在 cloudflare 的代理后面了,

展开全文 >>

为Spring Boot 3 + Spring-Security 配置JWT

JWT

JWT(JSON Web Token)是当前最流行的跨域身份验证解决方案。
它的工作原理是:

  1. 客户端用用户名和密码请求服务器
  2. 服务器验证通过后,生成一个JWT,返回给客户端
  3. 客户端将JWT存储起来,并在每次请求时附带在Authorization头中
  4. 服务器验证JWT的有效性,如果通过就允许请求

JWT的结构很简单,就是三段信息用.连接成一个字符串:

  • 头部(header):包含算法和token类型
  • 负载(payload):包含声明(claim),像用户名、过期时间等
  • 签名(signature):由header和payload加上secret使用指定的算法(如HMAC SHA256)计算得出

例如:

1
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

  • 头部: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9

  • 负载: eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9

  • 签名:TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

使用JWT的优点:

  1. 跨域身份验证:JWT可以在不同的域中传递,使用者无需再在每个域中维护一份用户信息。

  2. 易于使用:JWT可以通过URL,POST参数或者在HTTP header发送。

  3. 无状态:JWT是自包含的,无需在服务器端保存会话信息。

  4. 轻量: JWT通常使用URL safe字符集,这使其可以很轻易地通过URL,POST参数或HTTP header传输,而不会被破坏。

所以,JWT适用于跨域身份验证场景,并能简化OAUTH2.0的使用。

展开全文 >>

得到 K 个黑块的最少涂色次数

  1. 得到 K 个黑块的最少涂色次数

给你一个长度为 n下标从 0开始的字符串blocks，blocks[i]要么是’W’要么是’B’，表示第i块的颜色。字符’W’ 和’B’分别表示白色和黑色。

给你一个整数k，表示想要连续黑色块的数目。 每一次操作中，你可以选择一个白色块将它 涂成黑色块。 请你返回至少出现 一次连续 k个黑色块的 最少操作次数。

more >>

展开全文 >>

剑指 Offer 47. 礼物的最大价值

在一个 m*n 的棋盘的每一格都放有一个礼物，每个礼物都有一定的价值（价值大于 0）。你可以从棋盘的左上角开始拿格子里的礼物，并每次向右或者向下移动一格、直到到达棋盘的右下角。给定一个棋盘及其上面的礼物的价值，请计算你最多能拿到多少价值的礼物？

more >>

展开全文 >>

两数之和 

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
public class TwoSum {
     public static int[] twoSum(int[] numbers, int target) {
        int high = numbers.length - 1, low = 0;
        while (low < high) {
            int sum = numbers[low] + numbers[high];
            if (sum == target) {
                return new int[] { low + 1, high + 1 };
            } else if (sum > target) {
                --high;
            } else {
                ++low;
            }
        }
        return new int[] { -1, -1 };
    }

    public static int[] twoSum1(int[] numbers, int target) {
        for (int i = 0; i < numbers.length; ++i) {
            int low = i + 1, high = numbers.length - 1;
            while (low < high) {
                int mid = (high - low) / 2 + low;
                if (target == numbers[mid] + numbers[i]) {
                    return new int[] { i + 1, mid + 1 };
                } else if (target > numbers[mid] + numbers[i]) {
                    low = mid + 1;
                } else {
                    high = mid - 1;
                }
            }

        }
        return new int[] { -1, -1 };
    }
}

展开全文 >>

重新安排行程

给定一个机票的字符串二维数组 [from, to]，子数组中的两个成员分别表示飞机出发和降落的机场地点，对该行程进行重新规划排序。所有这些机票都属于一个从 JFK（肯尼迪国际机场）出发的先生，所以该行程必须从 JFK 开始。

more >>
置顶

展开全文 >>

tag:

    缺失模块。
    1、请确保node版本大于6.2
    2、在博客根目录（注意不是yilia根目录）执行以下命令：
    npm i hexo-generator-json-content --save

    3、在根目录_config.yml里添加配置： 

      jsonContent:
    meta: false
    pages: false
    posts:
      title: true
      date: true
      path: true
      text: false
      raw: false
      content: false
      slug: false
      updated: false
      comments: false
      link: false
      permalink: false
      excerpt: false
      categories: false
      tags: true