Headscale auf Saplo einrichten: privates Netzwerk mit Tailscale-Clients

Dein Laptop zu Hause, der Server im Büro und der Testrechner bei einem Kollegen sollen in einem privaten Netzwerk kommunizieren, obwohl jedes Gerät eine andere Verbindung nutzt. Headscale ermöglicht es dir, ein solches Netzwerk von deinem eigenen Koordinationsserver aus zu verwalten. In diesem Tutorial zeigen wir dir, wie du Headscale auf Saplo einrichtest, die ersten Geräte verbindest und die Kommunikation zwischen ihnen testest.

Was ist Headscale

Headscale ist eine Open-Source-Implementierung des Koordinationsservers für Tailscale-Clients. Du installierst den Tailscale-Client auf deinen Geräten und leitest ihn auf deinen eigenen Headscale-Server um. Das Projekt ist hauptsächlich für persönliche Netzwerke und kleine Organisationen gedacht. Den Projektumfang beschreibt die offizielle Headscale-Dokumentation.

Diese Lösung ist ideal für Heimlabore, Entwickler, die mit mehreren Maschinen arbeiten, oder kleine Teams. Es lohnt sich, mit zwei eigenen Geräten zu beginnen, bevor du die Hardware von Mitarbeitern hinzufügst und Zugriffsregeln festlegst.

Die Installation von Headscale gewährt nicht automatisch Zugriff auf das private Netzwerk der Box von Saplo. Der Server koordiniert nur die Geräte, die du selbst bei ihm registrierst. Allein das Starten der Anwendung auf deiner Box macht diese nicht zu einem Teilnehmer dieses Netzwerks.

Anforderungen und Hosting von Headscale auf Saplo

Der günstigste Tarif, der die Installationsanforderungen erfüllt, ist Box S für 27 € pro Jahr. Das Headscale-Rezept erfordert mindestens 256 MB RAM und 2 GB Speicherplatz. Wenn andere Anwendungen auf der Box laufen, überprüfe auch die restlichen freien Ressourcen. Eine Beschreibung des Dienstes findest du auf der Headscale-Hosting-Seite auf Saplo.

Bereite eine aktive Box, den Namen der Anwendung, ihre Zieladresse und zwei Geräte für einen Verbindungsversuch vor. Box S bietet ein Panel und SFTP, aber kein SSH. Die Installation führst du über das Panel durch, und die Startanleitungsdatei lädst du über SFTP aus dem App-Katalog herunter. Die Tailscale-Client-Befehle aus diesem Tutorial führst du auf deinem Computer aus, nicht auf der Box.

Schritt-für-Schritt-Installation

1. Melde dich im Saplo Panel an und gehe zum App-Katalog.
2. Wähle Headscale und starte die App-Erstellung.
3. Gib ihr einen Namen, zum Beispiel my-network, und wähle eine Box mit freien Ressourcen.
4. Wähle eine Domain oder die verfügbare Subdomain *.saploapp.pl. Behalte die genaue Adresse bei, die im Panel angezeigt wird.
5. Bestätige die Installation und warte, bis die Bereitstellung abgeschlossen ist. Überprüfe den Status und die Meldungen der App, anstatt eine bestimmte Wartezeit vorauszusetzen.
6. Verbinde dich über SFTP mit den Zugangsdaten deiner Box und suche die Datei HEADSCALE-SETUP.txt im Verzeichnis dieser App. Lade sie auf deinen Computer herunter und öffne sie als Text.

Der Installer bereitet den Headscale-Dienst, eine lokale SQLite-Datenbank, die Konfiguration und den Startbenutzer admin vor. Es ist keine separate Datenbank erforderlich. Die HTTPS-Adresse ist die Adresse des Koordinationsservers und kein Verwaltungs-Panel im Browser. Diese Installation enthält kein separates grafisches Headscale-Panel.

Startschlüssel und erstes Gerät

Die Datei HEADSCALE-SETUP.txt enthält die Serveradresse und den Verbindungsbefehl mit dem generierten Schlüssel. Der Startschlüssel ist ab der Generierung 24 Stunden lang gültig und kann in dieser Zeit mehrfach verwendet werden. Behandle die gesamte Datei wie Zugangsdaten: Veröffentliche sie nicht in einem Repository oder auf Screenshots.

Installiere auf dem ersten Linux-Computer den Client von der offiziellen Tailscale-Website. Führe anschließend den Befehl aus der Startdatei im Terminal mit den vom System benötigten Berechtigungen aus. Das Schema sieht so aus:

sudo tailscale up --login-server=https://YOUR-HEADSCALE-ADDRESS --authkey=KEY-FROM-FILE

Ersetze beide Beispiel-Felder durch deine eigenen Werte. Gib hier nicht das Passwort für das Saplo-Panel ein. Die Methode der Registrierung mit einem Schlüssel beschreibt die Dokumentation zur Headscale-Client-Startseite.

Wenn der Computer bereits mit einem anderen Tailscale-Netzwerk verbunden ist, plane die Änderung bewusst. Wechsle nicht auf diese Weise die einzige Remote-Verbindung zu einer Maschine. Wähle für den ersten Versuch ein Gerät, auf das du auch lokal zugreifen kannst.

Wenn die Datei meldet, dass der Schlüssel nicht generiert werden konnte oder der Schlüssel abgelaufen ist, wird ein neuer Schlüssel benötigt, der auf der Headscale-Seite erstellt wurde. Box S bietet kein SSH, um administrative Befehle aus der Datei auszuführen. Wende dich in diesem Fall an den Saplo-Support für die weitere Konfiguration, indem du den Namen der Anwendung und die Nachricht angibst, ohne den Schlüssel zu senden. Entferne eine funktionierende Installation nicht nur, um die Geräteregistrierung zu wiederholen.

Zweites Gerät und Verbindungsprüfung

Installiere auf dem zweiten Linux-Computer den Client und gib dieselbe Serveradresse an. Innerhalb der Gültigkeitsdauer des Startschlüssels kannst du ihn für diesen Versuch erneut verwenden. Für Windows, Android und Apple-Geräte befolge die plattformspezifischen Anweisungen in der Headscale-Client-Dokumentation; die Methode zur Angabe deines eigenen Servers hängt vom System ab.

Überprüfe auf beiden Computern den Client-Status und die zugewiesene Adresse:

tailscale status
tailscale ip -4

Führe anschließend auf dem ersten Computer den folgenden Befehl aus, indem du die Adresse des zweiten Computers einsetzt:

tailscale ping SECOND-DEVICE-ADDRESS

Diese Befehle werden in der Tailscale CLI Dokumentation beschrieben. Überprüfe auch den spezifischen Dienst, den du verwenden möchtest, zum Beispiel eine SSH-Verbindung zu deinem eigenen Server über dessen Adresse im VPN-Netzwerk. Der Dienst muss laufen und sein Zugriff durch die Firewall und Netzwerkregeln erlaubt sein. Allein das Erscheinen des Geräts in der Liste bestätigt nicht die Funktion der Anwendung.

Es lohnt sich, den Versuch mit verschiedenen Internetverbindungen zu wiederholen, zum Beispiel mit einem zweiten Computer, der über den Hotspot eines Telefons verbunden ist. Speichere das Ergebnis und überprüfe die erneute Verbindung nach einem Neustart des Clients.

Was passiert mit Traffic und Zugriff

Das Saplo-Rezept nutzt die öffentliche DERP-Relay-Map von Tailscale und betreibt kein eigenes DERP. Ein eigener Koordinationsserver bedeutet also nicht, dass die gesamte Installation unabhängig von der Tailscale-Infrastruktur ist. Betrachte die Parameter der Box auch nicht als Garantie für die Verbindungsbandbreite zwischen Geräten.

Bevor du ein Team hinzufügst, plane separate Benutzer, Zugriffsregeln und wie ungenutzte Geräte entfernt werden sollen. Der gemeinsame Startbenutzer dient dazu, die Arbeit aufzunehmen, ersetzt aber nicht die endgültige Aufteilung der Berechtigungen. Bewahre eine sichere Kopie der Headscale-Konfiguration und -Daten auf. Die Startschlüsseldatei selbst ist kein Backup des Dienstes.

Häufig gestellte Fragen

Wie viel kostet Headscale Hosting?

Für den Anfang reicht eine Box S für 27 € pro Jahr. Wenn du die Box mit anderen Anwendungen teilst, berücksichtige deren Speicher- und Festplattenverbrauch.

Warum sehe ich kein Anmeldefeld unter der Domain?

Diese Installation stellt einen Koordinationsserver ohne grafisches Admin-Panel bereit. Beginne mit dem Anwendungsstatus und der Datei HEADSCALE-SETUP.txt, und überprüfe die Netzwerkfunktion mit dem Tailscale-Client.

Warum tritt das Gerät nicht bei?

Vergleiche die Serveradresse mit der Startdatei, überprüfe die HTTPS-Verfügbarkeit und die Gültigkeit des Schlüssels. Achte darauf, dass der Client nicht versucht, sich beim Standard-Tailscale-Dienst anzumelden. Speichere den Fehlerinhalt und entferne die Schlüssel, bevor du ihn dem Support übergibst.

Ersetzt Headscale den Tailscale-Client?

Nein. Auf den Geräten verwendest du weiterhin den Tailscale-Client. Headscale fungiert als dein eigener Koordinationsserver.

Muss ich SSH auf der Box öffnen, um loszulegen?

Nicht für die Installation aus dem Katalog und die erste Verbindung mit einem korrekt generierten Schlüssel. Die weitere Verwaltung von Benutzern, Schlüsseln und Zugriffsrichtlinien erfordert administrative Aktionen auf der Headscale-Seite. Berücksichtige dies bei der Planung der dauerhaften Nutzung des Dienstes auf einer Box S ohne SSH.

Öffne das Headscale-Angebot auf Saplo, starte die Anwendung und beginne mit der Verbindung von zwei eigenen Geräten. Erst nachdem du die Kommunikation und die Zugriffsregeln überprüft hast, füge weitere Maschinen hinzu.