2025 年， Headscale 的无域名纯 IP 部署已经走向末路

[HOMO114514]

Tailscale 客户端从 1.80 开始，Custom coordination server 会无视你的输入，在登录认证时强制尝试请求 https://server ，这个毛病导致纯 IP 的 HTTP 部署新用户已经无法通过 IP 完成注册，必须指定非 80 端口。

并且加入了一个 noise auth 机制，在若干分钟内如果有失败的认证尝试，那么后续的 login 不仅强制走 HTTPS ，而且还会强制访问 443 端口，即使你指定了自己的非标端口也会无视

现在还计划新部署 Headscale 的用户，还请遵守说明，在域名上做标准端口的 HTTPS 部署（可以非标端口启动，nginx 反代），如果机器在国内云厂趁早收拾收拾准备搞备案吧

顺便最近写了一个危险系数很高的网页，用来布在 headscale 机器上给用户自助注册的，原理就是接受 node key 帮你跑命令行，风险比较高，但不再需要服主每次来新用户都手动敲 cli ，风险自行斟酌吧

https://github.com/ChowDPa02k/headscale-self-registration/tree/main

[shinko]

Headscale 装到国外没问题不大啊，又不需要速度。重点还是 derp ，用国内的延迟低

[HOMO114514]

@shinko
derper 挺不稳定的，我布的容器经常自己挂掉，netcheck 在线但是跑不了任何流量
网上某个访问量极高的教程教人竟然是挂个 crontab 每小时给容器重启一下，有点夸张
这个月我才从某个犄角旮旯找到一个博客说有可能是因为时区不同，要把/etc/localtime 映射进容器，还在等其它网络环境不好的朋友反馈效果好不好

[fmd12345]

https://kiprey.github.io/2023/11/tailscale-derp 自建 Headscale 和 derp 不一样吗？我这边看到过一个自建 derp 的方案：只有一个要求，那就是一个允许通过 TLS 流量的 TCP 协议的公共信道以及一个 UDP 协议的公共信道。
无需域名、无需 TLS 证书、无需修改任何源代码
我自己部署了能用，用国内的服务器就行


这个和 Headscale 不一样吗？

[MFWT]

我目前用的是自签名 IP 证书（自己的设备信任自己的 CA ），国内机器对于纯 IP 的 SSL 似乎能过去一点

[SenLief]

derp 不是可以用 ip 部署吗？现在用 headscale 的有什么优势吗？

[w7938940]

https://github.com/Youngv/tailscale-derp
这个自建 derp 我在阿里云上成功了，也是楼上那篇文章来的
https://img.imgdd.com/228780d3-a242-4aef-8d40-d0881e53f8b4.png

[lnbiuc]

@HOMO114514 Derper 如果使用了非 443 端口，必须手动申请证书

[lnbiuc]

个人用没啥必要自建 Headscale ，自建 Derper 降低延迟就够了
加个域名也不是很困难，如果不想备案可选 HK 服务器

[liuzimin]

@SenLief #5 我也是从纯 Derp 转 headscale 的，我主要是担心 tailscale 官方未来会被国内墙掉，这个是说不准的。所以早做准备。

[liuzimin]

我前段时间也在研究自建 headscale ，研究了大半个月，最后得出的结论和你一样：备案！

备案其实没那么麻烦，三四天就通过了。相比之下，自己研究那些歪门邪道要麻烦得多。

我尝试了 http 方案，纯 IP+自签名方案，都有各种各样的问题，你提到的问题我也遇到了，用起来很难受。备案之后，用正规的域名走 https 方式，一次性跑通，舒服得要死。

话说官方不是有推荐很多 ui 方案吗？我部署了一个 headscale-ui ，添加设备也不需要手动去 ssh 打命令了，很舒服。

[liuzimin]

纯 IP+自签名好像就算添加设备成功，在后续某些网络请求也会被阻断，就感觉有人给你使绊子一样。

[SenLief]

@liuzimin 墙了也无所谓吧这个，也就登录的时候用一下。

[liuzimin]

@SenLief 不止登陆，平时还要拉取 deviceMap 、更新在线状态。

而且登陆虽然电脑端用梯子没问题，但手机端梯子和 tailscale 不能同时开，开了 tailscale 梯子就得挤掉，就无法登陆，用起来会很难受。

[liuzimin]

@SenLief 感觉 tailscale 平时有些乱七八糟的请求，一旦失败就掉线，从外面就连不上。

[SenLief]

@liuzimin 那可能是我用了自建 derp 的原因，我一直还挺稳定的。登录没有墙啊，现在登录应该还好。

[ETiV]

再坚持一下，过年那会儿 Lets encrypt 说今年会出 IP 证书（有效期 6 天）

[HOMO114514]

@lnbiuc 我的网络里有 150 台机器🙇超限了

[HOMO114514]

@MFWT 过了 9 个月之后就会发现 zerossl free plan 申纯 IP 证书失效的也算数，想要继续必须付费，而年费算下来比买 ecs 还贵两三倍，纯坑爹

[liuzimin]

@SenLief 现在确实没有墙，我是担心以后。我之前也是只自建了 derp 也挺稳的。

[lnbiuc]

@HOMO114514 #17 不用让每台机器都加入网络呀，同一个局域网内有一台设备加入就行了