Tailscale dan Mesh VPN Tanpa Port Forwarding

Homelab saya memakai beberapa host untuk workload, virtualisasi, backup, dan DNS. Kebutuhan utamanya spesifik: mengakses interface administrasi host tersebut dari luar jaringan lokal, tanpa port forwarding ke internet publik. Opsi lazim — port forwarding di belakang reverse proxy, atau VPN klasik dengan satu gateway — menambah permukaan serangan atau satu titik kegagalan. Tailscale menawarkan jalan tengah: mesh privat berbasis WireGuard, tiap host mendapat jalur terenkripsi langsung antar perangkat, dan tidak ada service yang diekspos ke publik.

Kenapa Tailscale

Masalah utamanya: interface administrasi harus dijangkau dari luar, tetapi port forwarding berarti mengekspos service ke internet — konsekuensinya patch rutin, autentikasi benar, dan monitor serangan. Tailscale memakai WireGuard untuk membangun mesh terenkripsi antar perangkat. Setiap mesin mendapat jalur privat di mesh, jadi akses jarak jauh tidak bergantung pada satu port yang di-forward. Koneksi dibuat outbound ke server koordinasi, sehingga tidak ada port masuk yang dibuka di router.

Arsitektur: koordinasi, NAT traversal, dan relay

Tailscale terdiri atas control plane dan data plane. Control plane adalah coordination server: node mendaftar, bertukar kunci publik WireGuard, dan belajar alamat sesama node, semua lewat HTTPS outbound. Data plane adalah koneksi antar node: NAT traversal (STUN) memungkinkan dua perangkat di belakang NAT membangun koneksi langsung (peer-to-peer) tanpa konfigurasi. Bila koneksi langsung gagal, traffic dialihkan lewat relay DERP; tetap terenkripsi end-to-end, tetapi lebih lambat. tailscale status menampilkan direct atau relay per peer. Setiap node mendapat alamat privat khusus tailnet (bukan alamat LAN) dan nama host via MagicDNS.

Deployment: enroll host ke tailnet

Linux dipasang dari paket resmi Tailscale. Setelah daemon aktif, host dienroll ke tailnet melalui alur autentikasi yang disetujui administrator.

curl -fsSL https://tailscale.com/install.sh -o /tmp/install-tailscale.sh
# Review script before execution.
sudo sh /tmp/install-tailscale.sh
sudo systemctl enable --now tailscaled
sudo tailscale up

tailscale up mengubah state jaringan dan menampilkan URL autentikasi. Jangan menaruh material autentikasi di shell history atau artikel publik.

MagicDNS menyediakan resolusi nama host di dalam mesh: tiap device otomatis mendapat nama *.ts.net, aktif secara default untuk tailnet baru, dan sejak versi 1.20 tidak butuh nameserver eksternal. Akses service cukup dengan nama host. Key expiry default 180 hari; untuk host server yang jarang disentuh, key expiry bisa dinonaktifkan per-device di admin console.

tailscale version
systemctl is-enabled tailscaled
systemctl is-active tailscaled
tailscale ip
tailscale status
tailscale dns status

Perintah tersebut memeriksa versi, status daemon, alamat node, peer, dan DNS.

Keamanan dan operasional

ACL tailnet deny-by-default dan perlu ditinjau terpisah dari konfigurasi host; tanpa aturan tertulis, policy default membolehkan semua node saling mengakses.
Tailscale bukan pengganti login service: MagicDNS hanya menyediakan jalur jaringan; tiap service tetap butuh autentikasi dan authorization sendiri.
Fitur diaktifkan secara sengaja: Tailscale SSH (autentikasi berbasis identitas tailnet tanpa kelola SSH key), Serve (HTTPS ke service lokal, hanya untuk dalam tailnet, ACL tetap berlaku), dan exit node (mengarahkan seluruh traffic keluar lewat satu node).

Pemulihan akses dan pergantian host

Key expiry berlaku untuk semua node: kunci kedaluwarsa menghentikan koneksi ke node tersebut. Pembaruan dilakukan dengan tailscale up --force-reauth; perintah ini bisa memutus koneksi tailnet, jadi jangan dijalankan lewat SSH/RDP tanpa jalur cadangan. Sebelum mengganti host, siapkan prosedur re-authentication dan pemulihan identitas node — mesin baru menenroll ulang dan mendapat kunci baru. Tailscale juga bukan backup data: ia memudahkan akses, isi service tetap butuh strategi backup terpisah.

Keterbatasan dan kompromi

Bergantung pada control plane. Enroll node baru butuh coordination server; jika tidak terjangkau, node baru sulit bergabung. Koneksi antar node yang sudah terbentuk umumnya tetap jalan.
Relay DERP lebih lambat. Pasangan node yang gagal koneksi langsung memakai relay: bandwidth terbatas, latensi naik — terasa saat transfer besar.
Manajemen kunci butuh disiplin. Lupa re-auth berarti node hilang dari tailnet; pemulihan manual (perpanjangan kunci sementara) butuh akses admin console.
Terikat ekosistem. Kebijakan akses diatur lewat layanan Tailscale; untuk control plane self-host penuh, ada implementasi open source seperti Headscale, tetapi harus dioperasikan sendiri.
Bukan pengganti keamanan service. Jalur jaringan aman tidak membuat service di dalamnya aman; login, update, dan isolasi tetap tanggung jawab masing-masing service.

Kesimpulan

Tailscale memecahkan masalah spesifik saya: interface administrasi host bisa diakses dari mana saja tanpa port forwarding dan tanpa service publik. Untuk homelab multi-host dengan akses jarak jauh rutin, nilainya nyata — setup singkat, jalur langsung antar node, dan kontrol akses di satu tempat. Batasannya juga jelas: ketergantungan pada layanan koordinasi, relay bisa memperlambat, kunci dan perizinan harus dirawat. Untuk satu host dengan satu admin, VPN klasik atau jump host SSH masih lebih sederhana; Tailscale terasa pas saat jumlah host bertambah.