Cómo instalar Headscale en Saplo: red privada con clientes Tailscale

Una computadora portátil en casa, un servidor en la oficina y una computadora de prueba en la casa de un colega deben funcionar en una única red privada, aunque cada dispositivo utilice una conexión a internet diferente. Headscale te permite administrar dicha red desde tu propio servidor de coordinación. En este tutorial, te mostraremos cómo configurar Headscale en Saplo, conectar los primeros dispositivos y verificar la comunicación entre ellos.

¿Qué es Headscale?

Headscale es una implementación de código abierto de un servidor coordinador para clientes de Tailscale. Instalas el cliente de Tailscale en tus dispositivos, pero lo apuntas a tu propio servidor Headscale. El proyecto está diseñado principalmente para redes personales y organizaciones pequeñas. El alcance del proyecto se describe en la documentación oficial de Headscale.

Esta solución es para el administrador de un laboratorio doméstico, un desarrollador que trabaja en varias máquinas o un equipo pequeño. Vale la pena empezar con dos dispositivos propios antes de agregar el equipo de tus colaboradores y establecer las reglas de acceso.

La instalación de Headscale no da automáticamente acceso a la red privada de Box de Saplo. El servidor coordina los dispositivos que tú mismo registres en él. El simple hecho de ejecutar la aplicación en un Box no convierte al Box en un participante de esa red.

Requisitos y hosting de Headscale en Saplo

El plan más económico que cumple los requisitos de instalación es Box S por 27 € al año. La receta de Headscale requiere un mínimo de 256 MB de RAM y 2 GB de disco. Si hay otras aplicaciones ejecutándose en el Box, verifica también los recursos disponibles restantes. Puedes encontrar la descripción del servicio en la página de hosting de Headscale en Saplo.

Prepara un Box activo, el nombre de la aplicación, su dirección de destino y dos dispositivos para la prueba de conexión. Box S proporciona panel y SFTP, sin SSH. Realizarás la instalación desde el panel, y el archivo con las instrucciones de inicio lo descargarás desde el catálogo de aplicaciones a través de SFTP. Los comandos del cliente Tailscale de este tutorial los ejecutas en tu computadora, no en el Box.

Instalación paso a paso

1. Inicia sesión en el panel de Saplo y ve al Catálogo de aplicaciones.
2. Selecciona Headscale y comienza a crear la aplicación.
3. Asígnale un nombre, por ejemplo my-network, e indica un Box con recursos libres.
4. Elige un Dominio o un subdominio disponible *.saploapp.pl. Mantén la dirección exacta que se muestra en el panel.
5. Confirma la instalación y espera a que finalice la implementación. Comprueba el Estado y los mensajes de la aplicación, en lugar de asumir un tiempo de espera específico.
6. Conéctate vía SFTP, usando los datos de acceso de tu Box, y busca el archivo HEADSCALE-SETUP.txt en el directorio de esa aplicación. Descárgalo a tu ordenador y ábrelo como texto.

El instalador prepara el servicio Headscale, una base de datos local SQLite, la configuración y el usuario inicial admin. No es necesario crear una base de datos separada. La dirección HTTPS es la dirección del servidor coordinador, no un panel de administración en el navegador. Esta instalación no incluye un panel gráfico de Headscale separado.

Clave de inicio y primer dispositivo

El archivo HEADSCALE-SETUP.txt contiene la dirección del servidor y el comando de conexión con la clave generada. La clave de inicio es válida durante 24 horas desde su generación y puede utilizarse varias veces durante ese tiempo. Trata todo el archivo como datos de acceso: no lo publiques en un repositorio ni en capturas de pantalla.

En la primera computadora con Linux, instala el cliente desde la página oficial de Tailscale. Luego, ejecuta en la terminal el comando del archivo de inicio, con los permisos requeridos por el sistema. Su esquema es el siguiente:

sudo tailscale up --login-server=https://YOUR-HEADSCALE-ADDRESS --authkey=KEY-FROM-FILE

Reemplaza ambos campos de ejemplo con tus propios valores. No introduzcas aquí la contraseña del panel de Saplo. La forma de registrarse con una clave se describe en la documentación de inicio del cliente Headscale.

Si la computadora ya está conectada a otra red Tailscale, planifica el cambio de forma consciente. No cambies de esta manera la única conexión remota a la máquina. Para la primera prueba, elige un equipo al que también tengas acceso local.

Si el archivo indica que no se pudo generar la clave, o la clave ha caducado, se necesita una nueva clave creada en Headscale. Box S no proporciona SSH para ejecutar comandos administrativos desde el archivo. En tal situación, ponte en contacto con el Soporte de Saplo para obtener más configuración, proporcionando el nombre de la aplicación y el mensaje, sin enviar la clave. No elimines una instalación que funcione solo para volver a registrar el dispositivo.

Segundo dispositivo y comprobación de la conexión

En el segundo ordenador con Linux, instala el cliente y apunta a la misma dirección del servidor. Durante la validez de la clave de inicio, puedes usarla de nuevo para esta prueba. Para Windows, Android y dispositivos Apple, consulta las instrucciones de la plataforma correspondiente en la documentación del cliente Headscale; la forma de indicar tu propio servidor depende del sistema.

En ambos ordenadores, comprueba el estado del cliente y la dirección asignada:

tailscale status
tailscale ip -4

A continuación, en el primer ordenador, ejecuta, sustituyendo la dirección del segundo:

tailscale ping SECOND-DEVICE-ADDRESS

Estos comandos se describen en la documentación de la CLI de Tailscale. Comprueba también el servicio específico que vas a usar, por ejemplo, la conexión SSH a tu propio servidor a través de su dirección en la red VPN. El servicio debe estar en funcionamiento y su acceso permitido por el cortafuegos y las reglas de red. La mera aparición del dispositivo en la lista no confirma el funcionamiento de la aplicación.

Merece la pena repetir la prueba con diferentes conexiones a internet, por ejemplo, con el segundo ordenador conectado a través de un punto de acceso del teléfono. Guarda el resultado y comprueba la reconexión después de reiniciar el cliente.

Qué sucede con el tráfico y el acceso

La receta de Saplo utiliza el mapa público de retransmisiones DERP de Tailscale y no ejecuta su propio DERP. Por lo tanto, tener un servidor coordinador propio no significa que toda la instalación sea independiente de la infraestructura de Tailscale. Tampoco consideres los parámetros de Box como una garantía del ancho de banda de la conexión entre dispositivos.

Antes de añadir un equipo, planifica usuarios separados, reglas de acceso y cómo eliminar dispositivos no utilizados. El usuario inicial común sirve para empezar a trabajar, pero no sustituye la división de permisos deseada. Guarda una copia de seguridad segura de la configuración y los datos de Headscale. El archivo con la clave inicial por sí solo no es una copia de seguridad del servicio.

Preguntas frecuentes

¿Cuánto cuesta el hosting de Headscale?

Para empezar, el Box S por 27 € al año es suficiente. Si compartes el Box con otras aplicaciones, ten en cuenta su consumo de memoria y disco.

¿Por qué no veo el panel de inicio de sesión en el dominio?

Esta instalación proporciona un servidor de coordinación sin un panel de administración gráfico. Empieza por el estado de la aplicación y el archivo HEADSCALE-SETUP.txt, y verifica el funcionamiento de la red con el cliente de Tailscale.

¿Por qué el dispositivo no se une?

Compara la dirección del servidor con el archivo de inicio, verifica la disponibilidad de HTTPS y la validez de la clave. Asegúrate de que el cliente no intente iniciar sesión en el servicio predeterminado de Tailscale. Guarda el contenido del error, eliminando las claves antes de enviarlo a Soporte.

¿Headscale reemplaza al cliente de Tailscale?

No. En los dispositivos, sigues utilizando el cliente de Tailscale. Headscale actúa como tu propio servidor de coordinación.

¿Es necesario abrir SSH en el Box para empezar?

No para la instalación desde el Catálogo de aplicaciones y la primera conexión utilizando una clave correctamente generada. La gestión posterior de usuarios, claves y políticas de acceso requiere acciones administrativas por parte de Headscale. Tenlo en cuenta si planeas usar el servicio de forma permanente en un Box S sin SSH.

Abre la oferta de Headscale en Saplo, inicia la aplicación y empieza por conectar dos de tus propios dispositivos. Solo después de verificar la comunicación y las reglas de acceso, añade más máquinas.