Tailscale部署derp服务器

Tailscale部署derp服务器

操作系统要求： ubuntu22.04 ubuntu24.04 ubuntu20.04均可，其它系统未测试
开放网络端口： udp: 3478（必须） tcp: 43587（自定义的https端口）， ping端口

系统更新

apt update && apt upgrade

本地检查tailscale可用的节点

tailscale netcheck

如下图（自建上海节点）：

下载GO

安装依赖

apt install -y wget git openssl curl

拉取 “go” 压缩包（官网地址： https://go.dev/dl/ ）

wget https://go.dev/dl/go1.22.5.linux-amd64.tar.gz

解压 “go” 压缩包

rm -rf /usr/local/go && tar -C /usr/local -xzf go1.22.5.linux-amd64.tar.gz

查看 “go” 版本信息（验证是否安装成功 ）

export PATH=$PATH:/usr/local/go/bin
go version

添加环境变量

echo "export PATH=$PATH:/usr/local/go/bin" >> /etc/profile
source /etc/profile

安装tailscale derper

设置go代理+安装国内加速下载（中国最可靠的 Go 模块代理，官网：https://goproxy.cn/），

go env -w GO111MODULE=on
go env -w GOPROXY=https://goproxy.cn,direct

使用go模块拉取 “tailscale derper”

go install tailscale.com/cmd/derper@main

进入安装目录修改证书文件

 cd /root/go/pkg/mod/

再次访问

 cd tailscale.com@v1.71.0-pre.0.20240730203925-949b15d85837/cmd/derper

编辑cert.go文件

vi cert.go

删除红框的代码再保存

 cd /go/pkg/mod/tailscale.com@v1.71.0-pre.0.20240730203925-949b15d85837/cmd/derper

在此目录开始编译derper

go build -o /etc/derp/derper

验证是否编译成功

先cd到根目录

cd

再执行下面验证代码 （显示derper说明配制成功）

ls /etc/derp

设置自签域名证书
设置域名信息，域名可以自定义也可以使用自己的域名
生成私有证书文件，证书的默认目录为 /etc/derp/

openssl req -x509 -newkey rsa:4096 -sha256 -days 3650 -nodes -keyout /etc/derp/derp.yu.key -out /etc/derp/derp.域名.xyz.crt -subj "/CN=derp.域名.xyz" -addext "subjectAltName=DNS:derp.域名.xyz"

这条命令使用 OpenSSL 生成了一个自签名的 X.509 证书和相应的 RSA 私钥，具体参数解释如下：

• openssl req -x509: 这条命令的 req 部分通常用于生成证书签名请求（CSR），但加上 -x509
  选项后，它会直接生成一个自签名的证书，而不是 CSR。
• newkey rsa:4096: 这个选项指示 OpenSSL 生成一个新的 RSA 私钥，密钥长度为 4096 位。这是一个相对安全的密钥长度，适用于需要较高安全性的场景。
• sha256: 指定使用 SHA-256 哈希算法对证书进行签名。SHA-256 是目前广泛使用的哈希算法之一，提供了比 SHA-1 更高的安全性。
• days 3650: 设置证书的有效期为 3650 天，即大约 10 年。请注意，自签名证书的有效期可以根据需要设置，但通常不建议设置过长，以免证书丢失或泄露后造成长期风险。
• nodes: 这个选项告诉 OpenSSL 在生成私钥时不需要密码保护（即没有密码短语）。这对于自动化脚本或服务很有用，但请注意，这可能会降低安全性。
• keyout /etc/derp/derp.域名.xyz.key: 指定私钥文件的保存位置和文件名。在这个例子中，私钥将被保存在 /etc/derp/derp.域名.xyz.key。
• out /etc/derp/derp.域名.xyz.crt: 指定生成的证书文件的保存位置和文件名。在这个例子中，证书将被保存在 /etc/derp/derp.域名.xyz.crt。
• subj “/CN=derp.域名.xyz”: 直接在命令行中指定证书的主题（subject）信息，这里只设置了通用名称（CN）为 derp.域名.xyz。通常，证书的主题信息还包括其他字段，如组织（O）、组织单位（OU）等，但在这个例子中只设置了 CN。
• addext “subjectAltName=DNS:derp.域名.xyz”: 这个选项用于向证书添加额外的扩展信息，这里添加的是 subjectAltName 扩展，其值为 DNS:derp.域名.xyz。这个扩展允许证书指定除了 CN 之外的其他域名或 IP地址，对于 HTTPS 服务器尤其重要，因为它允许服务器使用同一个证书为多个域名提供服务（如果证书和域名都经过正确配置）。

综上所述，这条命令生成了一个私钥文件和一个自签名的证书文件，私钥长度为 4096 位，证书有效期为 10 年，使用 SHA-256 算法签名，并直接指定了证书的主题信息和一个额外的 subjectAltName 扩展。这个证书和私钥可以用于 HTTPS 服务器、SSL/TLS 加密通信等多种场景。

以上步骤生成证书后可以替换为自己的域名证书

上传证书文件到服务器的tmp目录，默认生成的证书文件位于 /etc/derp/目录下

备份原证书文件

 mv derp.域名.xyz.crt derp.域名.xyz.crt.bak
 mv derp.域名.xyz.key derp.域名.xyz.key.bak

移动tmp目录中的证书文件到 /etc/derp/目录中

mv /tmp/derp.域名.xyz.key /tmp/derp.域名.xyz.crt /etc/derp/

再重启derp服务，使新证书生效

 systemctl daemon-reload
 systemctl restart derp

配置DERP
将下面的代码复制到记事本里，端口修改为 “43587”，可随机使用，自己随便想一个

cat > /etc/systemd/system/derp.service <<EOF
[Unit]
Description=TS Derper
After=network.target
Wants=network.target
[Service]
User=root
Restart=always
ExecStart=/etc/derp/derper -hostname derp.域名.xyz -a :43587 -http-port 43588 -certmode manual -certdir /etc/derp
RestartPreventExitStatus=1
[Install]
WantedBy=multi-user.target
EOF

启用DERP

重新加载DERP服务
systemctl daemon-reload
重启DERP服务
systemctl restart derp
设置开机自启
systemctl enable derp

检查DERP服务器状态
浏览器访问：云服务器的IP地址+端口号（“自己改的端口”）

ACL配置
进入tailscale网页端
进入ACL界面添加以下代码

"derpMap": {
    // OmitDefaultRegions 用来忽略官方的中继节点，一般自建后就看不上官方小水管了,false为启用官方节点，true为不启用官方节点
    "OmitDefaultRegions": false,
    "Regions": {
        // 这里的 901 从 900 开始随便取数字
        "901": {
            // RegionID 和上面的相等
            "RegionID": 901,
            // RegionCode 自己取个易于自己名字
            "RegionCode": "shg",
            "RegionName": "ShangHai",
            "Nodes": [
                {
                    // Name 保持 1不动
                    "Name": "1",
                    // 这个也和 RegionID 一样
                    "RegionID": 901,
                    // 域名
                    "HostName": "derp.域名.xyz",
                    "IPv4":     "*.*.*.*",
                    // 端口号
                    "DERPPort": 43587,
                },
            ],
        },
    },
},

以上方法搭建好后可以任意人使用，下面的方法为添加为自己使用的白名单derp服务器

防白嫖设置

如果服务器IP地址和端口泄露了 那么是可以被别人白嫖的，为了防止白嫖

在云服务器上安装tailscale客户端并加入到tailscale网络中

curl -fsSL https://tailscale.com/install.sh | sh

安装步骤参考官网的安装的方法

修改DERP服务，开启连接验证

编辑derp.service

vim /etc/systemd/system/derp.service

最后面增加–verify-clients 注意空格,增加后保存即可

重新加载DERP服务

systemctl daemon-reload

重启DERP服务

systemctl restart derp

查看服务器监听端口

ss -tuln

可以使用 ss -tuln 或者netstat -tuln

-t 表示显示TCP端口
-u 表示显示UDP端口
-l 表示显示正在监听的端口
-n 表示不解析服务名，直接显示端口号

什么是DERP

DERP 即 Detoured Encrypted Routing Protocol，这是 Tailscale 自研的一个协议，它是一个通用目的包中继协议，运行在 HTTP 之上，而大部分网络都是允许 HTTP 通信的。
它根据目的公钥（destination’s public key）来中继加密的流量（encrypted payloads）。
Tailscale 会自动选择离目标节点最近的 DERP server 来中继流量。

Tailscale 使用的算法很有趣: 所有客户端之间的连接都是先选择 DERP 模式（中继模式），这意味着连接立即就能建立（优先级最低但 100% 能成功的模式），用户不用任何等待。然后开始并行地进行路径发现，通常几秒钟之后，我们就能发现一条更优路径，然后将现有连接透明升级（upgrade）过去，变成点对点连接（直连）。因此， DERP 既是 Tailscale 在 NAT 穿透失败时的保底通信方式（此时的角色与 TURN 类似），也是在其他一些场景下帮助我们完成 NAT 穿透的旁路信道。换句话说，它既是我们的保底方式，也是有更好的穿透链路时，帮助我们进行连接升级（upgrade to a peer-to-peer connection）的基础设施。

来源： http://www.junyao.tech/posts/18297f50.html

测试tailscale是否经过DERP服务器作为中继

如果DERP证书到期，可以直接编辑/etc/derp/目录下的key与crt文件内容

vi模式下，可以直接输入 :1,$d （清空保存的全部内容）
注意不要按i进入编辑模式，修改完成后重启服务

重启derp服务

systemctl restart derp

刷新网站即可查询到证书是否更新