Tag: tailscale

Tailscale SSH 可以啟動側錄功能

Tailscale 宣布 Tailscale SSH 可以側錄：「Announcing session recording for Tailscale SSH in beta」，這主要是對於 compliance 需求會有幫助，以前有類似需求的話會透過 jump server 類的方式來側錄...

這次提供的是 asciinema 格式，很容易可以 replay：

When a member of your tailnet initiates a connection over Tailscale SSH, our client on the server records all of the terminal output in asciinema format, and streams it to a dedicated recorder node on your tailnet.

開放給所有使用者，包括免費版本：

Session recording for Tailscale SSH is available in beta on our Free and Enterprise plans.

舊的 SSH session logging 則是宣布在八月會停掉：

This feature replaces a legacy version of local SSH session logging that saves recordings directly to the SSH server’s filesystem. We are deprecating that feature, and anyone using it should migrate to the new SSH session recording feature. The legacy functionality will remain active until at least August 1, 2023.

在 Hacker News 的討論「Session recording for Tailscale SSH in beta (tailscale.com)」裡面有一些有趣的東西，像是 sudo 也有提供類似的功能：「Sudoreplay」。

之前有遇過一些商用方案，有提供類似的功能，像是 CyberArk 的「Configure recordings and audits (PSM for SSH)」。

另外 2016 年時 AWS 的人也有寫過「How to Record SSH Sessions Established Through a Bastion Host」。

算是稽核上常見的需求，先前就有不少方法了，Tailscale 提供的工具等於是簡化了一些步驟。

Tailscale 放鬆免費版的使用限制，以及商業版的計算方式

昨天在 Hacker News 上注意到的：「Changes to Tailscale Pricing and Plans (tailscale.com)」，Tailscale 宣佈了新的免費與收費方式 (直接叫做 Pricing v3)：「Pricing v3, plans, packages, and debugging」。

這次有許多改變，首先是免費版本來只能一個使用者使用，現在變成三個使用者可以在同一個 tailnet 裡面，這對於超級早期的 startup 方便不少，另外家庭用戶也可以受益。

另外一個是擴大「免費」的定義，本來的「免費」只有在完全免費的方案裡面用，一個人是免費，但五個人會收五個人的費用；現在變成「既然在 Pricing v3 我說三個人以下免費，那五個人的方案裡面還是有三個免費的名額，我就只收額外的兩個人的費用」，而且只有 active user 才會收：

That is, if you have a 5-person team at work, the first three are still free. You’d pay for only the 2 additional users (and only if they’re active, more on that below).

然後是拔掉限制 (包括「No more limits on subnet routers」與「No more limits on admin accounts」)，以及放鬆限制 (包括「More free nodes, and twice as many nodes per user」)。

所以看起來 Tailscale 現在的策略是成長，趁這波調價時做了一波 PR...

Tailscale Funnel 公開測試

去年 11 月的時候寫過 Tailscale Funnel 的消息：「Tailscale 也推出類似 Cloudflare Tunnel 的產品，Tailscale Funnel」，剛剛則是宣佈公開測試：「Tailscale Funnel now available in beta」。

測了一下，設定不算太難，但有些步驟要做：

  • 在網頁上先允許 Access Controls 內的 Funnel。
  • 然後允許 DNS 內的 HTTPS Certificates。
  • 剩下就是照著文件跑，在本地跑對應的指令。

他的想法是把 *.ts.net 這個網域拿出來 internet 上面用，但他希望 Let's Encrypt 簽的 SSL key 應該要放在本地端，而不是讓 Tailscale 看到內容。

但同樣也考慮到使用者的體驗，Tailscale 不需要使用者自己處理 SSL certificate 一堆事情，而是實做在 tailscaled 這隻程式裡面，讓本地端的程式還是走 HTTP 而非 HTTPS。

對應的，使用者如果想要取得對應的 key 與 cert，也可以透過 tailscale cert 指令取得。

測了一下位置，HiNet 的使用者會透過東京的節點轉進來，拿來跑測試開發機應該是夠用。

以他的用法來說，跟 Cloudflare Funnel 的定位不太一樣，反倒是擠壓 ngrok 這類服務。

Tailscale 也推出類似 Cloudflare Tunnel 的產品，Tailscale Funnel

Tailscale 也推出了類似 Cloudflare Tunnel 的產品，叫做 Tailscale Funnel：「Introducing Tailscale Funnel」。

都是透過 server 本身主動連到 Cloudflare 或是 Tailscale 的伺服器上，接著外部的 request 就可以繞進來了。

不過 Tailscale Funnel 的定位跟 Cloudflare Tunnel 有些差異，看起來 Tailscale Funnel 比較偏向給 dev/stage 環境的用法，Cloudflare Tunnel 像是要跑在 production 的設計？

目前是 alpha 階段，有些限制，像是目前能開的 port：

The ports you can specify to expose your servers on are currently to 443, 8443 and 10000.

另外從技術面上看起來一定得用 TLS 連線，因為他得透過 TLS 的 SNI 資訊來決定是誰：

We can only see the source IP and port, the SNI name, and the number of bytes passing through.

對於已經有用 Tailscale 的使用者來說好像可以玩看看，但另外一點是 Cloudflare 的機房密度很高，這點可能是 Tailscale 也要想一下的問題？

用 Tailscale 取代個人的 VPN

Tailscale 是個基於 WireGuard 的 VPN 服務，基本的邏輯是所有的機器都連上 VPN，然後 Tailscale 建立一組 CGNAT 網段的內部網路讓你可以互連，另外也可以透過這些 VPN 設定 exit node 連外：

另外的一個特點是他把 Hole punching 的方式包好了，可以打通兩個都在 NAT 後面的機器 (大多數的狀態都可以成功)，不需要透過 VPN hub 代轉流量，於是 latency 會低很多 (因為大多數在台灣都沒有 VPN hub)。

也因為不太需要 VPN hub，對 Tailscale 來說營運的成本就沒那麼高，所以 Tailscale 有提供個人可以用的免費版本，提供 20 個 devices 連上同一個內部網段。

以前在外面的咖啡廳用網路會習慣透過 VPN server 稍微保護一下連線，現在看起來可以用 Tailscale 取代掉... 家裡的 HiNet 桌機或是 VPS 的機器都可以拿來當 exit node。

另外還有 open source 的 headscale 專案可以看，如果想要完全更高的安全性，完全自己 host 的話...