เปลี่ยนเซิร์ฟเวอร์ควบคุม Tailscale ไปใช้ Headscale ไม่กระทบการทำงานของอุปกรณ์

ผู้ใช้หนึ่งได้ทำการเปลี่ยนเซิร์ฟเวอร์ควบคุมของ Tailscale ไปใช้ Headscale – โซลูชันควบคุมแบบโอเพ่นซอร์สที่สามารถโฮสต์เองได้ – แล้วอุปกรณ์ที่เชื่อมต่อผ่าน VPN ไม่สังเกตเห็นความแตกต่างใดเลย การทดลองนี้แสดงให้เห็นว่าผู้ใช้ทั่วไปสามารถย้ายจากโซลูชันคลาวด์ของ Tailscale ไปสู่การจัดการส่วนบุคคลได้โดยไม่ต้องเสียประสิทธิภาพหรือความเสถียรของการเชื่อมต่อ

Overview

Tailscale เป็นบริการ VPN ที่ทำงานบนโปรโตคอล WireGuard โดยอาศัยเซิร์ฟเวอร์ควบคุมของบริษัทเพื่อจัดการการรับรองและการกระจายคีย์ระหว่างอุปกรณ์ ผู้ใช้หลายรายพึ่งพาโครงสร้างพื้นฐานนี้เพราะติดตั้งง่ายและทำงาน “แบบเงียบ” หลังจากตั้งค่าแล้ว ไม่ต้องมีการดูแลเพิ่มเติม

Headscale ถูกพัฒนาโดยชุมชนโอเพ่นซอร์สเพื่อทำหน้าที่เป็นเซิร์ฟเวอร์ควบคุมที่สามารถติดตั้งบนเซิร์ฟเวอร์ส่วนตัวได้ แม้ว่าจะยังไม่มีฟีเจอร์ครบทุกอย่างของ Tailscale แต่ให้ความยืดหยุ่นด้านการตั้งค่าและความเป็นส่วนตัวที่ผู้ใช้บางคนต้องการ การทดสอบนี้จึงมุ่งเป้าไปที่การตรวจสอบว่าการสลับไปใช้ Headscale จะทำให้การทำงานของอุปกรณ์เปลี่ยนแปลงหรือไม่

Implementation

ผู้ทดลองได้ทำการติดตั้ง Headscale บนเซิร์ฟเวอร์ส่วนตัวโดยใช้ Docker ซึ่งเป็นวิธีที่หลายคนเลือกใช้เพื่อความง่ายในการจัดการคอนเทนเนอร์ หลังจากเซิร์ฟเวอร์พร้อมทำงานแล้ว เขาได้แก้ไขค่าคอนฟิกของไคลเอนต์ Tailscale ให้ชี้ไปยัง URL ของ Headscale แทนเซิร์ฟเวอร์คลาวด์ของ Tailscale

ขั้นตอนสำคัญประกอบด้วย

• ดึงอิมเมจ Docker ของ Headscale และเรียกใช้คอนเทนเนอร์ด้วยพารามิเตอร์พื้นฐาน
• สร้างคีย์และผู้ใช้บน Headscale เพื่อให้ไคลเอนต์สามารถลงทะเบียนได้
• ปรับค่า environment variable `TS_AUTHKEY` ของไคลเอนต์ให้ใช้คีย์จาก Headscale

การทำเช่นนี้ทำให้ไคลเอนต์คิดว่าตัวเองกำลังเชื่อมต่อกับเซิร์ฟเวอร์ควบคุมของ Tailscale ปกติ แม้ว่าอุปกรณ์จะอยู่ภายใต้เครือข่าย CGNAT ก็ตาม

Performance & Compatibility

หลังจากสลับไปใช้ Headscale แล้ว ผู้ทดลองสังเกตว่าอุปกรณ์ทั้งหมดยังคงเชื่อมต่อได้อย่างต่อเนื่อง ทั้งบนคอมพิวเตอร์ตั้งโต๊ะและอุปกรณ์มือถือ การส่งข้อมูลผ่าน WireGuard ยังคงมี latency ต่ำและ throughput ที่เทียบเท่ากับการใช้เซิร์ฟเวอร์ของ Tailscale ดั้งเดิม

อย่างไรก็ตาม การทดสอบครั้งก่อนที่ผู้ทดลองพยายามใช้ WireGuard ดิบโดยไม่มีเซิร์ฟเวอร์ควบคุม พบว่าการทำงานหยุดชะงักเมื่อเจอ CGNAT บนเครือข่ายบ้าน ซึ่งทำให้การเชื่อมต่อผ่าน NAT traversal ไม่สำเร็จ การใช้ Headscale จึงทำหน้าที่เป็นตัวกลางในการจัดการ NAT traversal เหมือนกับ Tailscale

Limitations & Challenges

แม้ผลการทดลองจะเป็นบวก แต่ผู้ทดลองก็ระบุถึงข้อจำกัดบางประการของ Headscale เมื่อเทียบกับบริการคลาวด์ของ Tailscale

• ฟีเจอร์บางอย่างเช่น Magic DNS และ ACL ที่กำหนดระดับองค์กรอาจต้องตั้งค่าเพิ่มเติมหรือยังไม่รองรับเต็มรูปแบบ
• การบำรุงรักษาเซิร์ฟเวอร์ Headscale ต้องอาศัยความรู้พื้นฐานด้าน Docker, Linux และการจัดการคีย์ส่วนตัว ซึ่งอาจเป็นอุปสรรคสำหรับผู้ใช้ที่ไม่มีประสบการณ์ด้านระบบเซิร์ฟเวอร์

การจัดการอัปเดตและการสำรองข้อมูลของเซิร์ฟเวอร์เองก็ต้องทำด้วยตนเอง ซึ่งแตกต่างจากการที่ Tailscale ดูแลส่วนนี้ให้โดยอัตโนมัติ

Implications for Users

ผลลัพธ์ที่อุปกรณ์ไม่สังเกตเห็นการเปลี่ยนแปลงแสดงให้เห็นว่าผู้ใช้ที่ต้องการควบคุมข้อมูลส่วนตัวหรือหลีกเลี่ยงการพึ่งพาผู้ให้บริการคลาวด์สามารถทำได้โดยไม่ต้องเสียประสิทธิภาพ การย้ายไปใช้ Headscale จึงอาจกลายเป็นตัวเลือกที่น่าสนใจสำหรับองค์กรขนาดเล็กหรือผู้ที่ทำงานในสภาพแวดล้อมที่ต้องการความเป็นส่วนตัวสูง

อย่างไรก็ตาม การตัดสินใจเลือกใช้ Headscale ควรพิจารณาถึงความพร้อมด้านเทคนิคและความต้องการฟีเจอร์ขั้นสูง หากองค์กรต้องการการจัดการ ACL แบบละเอียดหรือการรวมกับระบบไอเดนติตี้อื่น ๆ การใช้บริการคลาวด์ของ Tailscale อาจยังคงเป็นทางเลือกที่เหมาะสมกว่า

Summary

การเปลี่ยนเซิร์ฟเวอร์ควบคุมของ Tailscale ไปใช้ Headscale สามารถทำได้โดยไม่ส่งผลกระทบต่อการทำงานของอุปกรณ์ที่เชื่อมต่อผ่าน VPN ทั้งนี้ผู้ใช้ควรเตรียมพร้อมรับมือกับการบำรุงรักษาและการตั้งค่าฟีเจอร์เพิ่มเติมที่อาจขาดหายไปเมื่อเปรียบเทียบกับโซลูชันคลาวด์ของ Tailscale.