Server kontrol Anda sendiri.
Peta itulah yang layak untuk dipegang sendiri.

Ada tiga jawaban jujur untuk "saya ingin mesin-mesin saya saling menjangkau secara privat", dan hanya satu yang dibahas panduan ini. WireGuard biasa adalah yang paling minimal: satu modul kernel, satu file konfigurasi per peer, tidak ada daemon selain interface-nya, dan tidak ada yang perlu terus diperbarui selain sistem operasinya. Kalau perangkat Anda adalah server-server dengan alamat tetap dan jumlahnya bisa dihitung dengan sebelah tangan, berhenti di sini dan baca panduan WireGuard kami saja. Anda akan berakhir dengan lebih sedikit perangkat lunak dan daftar hal yang bisa rusak yang jauh lebih pendek.

Tailscale adalah yang paling lengkap: WireGuard yang sama di baliknya, ditambah layanan koordinasi, NAT traversal yang bekerja dari balik hampir semua jaringan, armada relay di beberapa benua, konsol web, single sign-on, dan kontrak dukungan. Ini perangkat lunak yang benar-benar unggul, dan tingkatan gratisnya sudah cukup untuk kebutuhan satu rumah tangga. Harganya bukan dalam bentuk uang — melainkan bahwa peta setiap perangkat yang Anda miliki, beserta catatan dari mana masing-masing tersambung, tersimpan di database milik sebuah perusahaan.

Headscale adalah jawaban ketiga, dan cakupannya lebih sempit daripada keduanya: sebuah reimplementasi open-source dari server koordinasi, yang dijalankan oleh Anda sendiri, dan tetap diajak bicara oleh klien resmi yang sama. Anda tetap mendapatkan otomatisasi dan NAT traversal-nya; sebagai gantinya Anda mengambil alih sebuah layanan kecil yang harus dioperasikan, fitur yang tidak selengkap versi aslinya, dan pembaruan yang perlu dibaca baik-baik. Jangan ada yang berpura-pura itu gratis. Yang didapat hanya satu hal, dan itulah yang menjadi perhatian utama situs ini: tidak ada pihak lain yang memegang petanya.

Satu hal lagi yang sebaiknya diputuskan sekarang, bukan nanti, karena ini memengaruhi apa yang Anda pasang: apakah jaringan ini hanya untuk Anda sendiri, atau akan dimasuki orang lain juga. Tailnet untuk satu orang bisa dibiarkan terbuka lebar secara internal tanpa masalah apa pun. Tailnet yang ada kolega, kontraktor, atau anggota keluarga di dalamnya butuh aturan akses tertulis sejak minggu pertama — langkah 05 — dan butuh user yang terpisah, bukan semua orang berbagi satu login. Memutuskan ini di awal hanya makan satu paragraf; membenahinya belakangan makan waktu satu sore penuh.

Headscale dan Caddy, tidak ada yang lain. Headscale mendengarkan di HTTP biasa di dalam jaringan Docker; Caddy yang mengakhiri TLS-nya, memperoleh sertifikat saat boot pertama, dan memperbaruinya sendiri tanpa diminta. Listener metrics tetap di localhost, karena itu permukaan debug internal, bukan permukaan publik.

Satu aturan sebelum masuk ke file-nya: pin image ke versi yang pasti. Headscale adalah perangkat lunak pre-1.0 yang sudah lebih dari sekali mengganti nama kunci konfigurasi dan subperintah CLI-nya di rilis-rilis minor. Tag yang mengambang mengubah restart container yang rutin menjadi gangguan layanan — padahal tugas layanan ini justru membuat Anda bisa menjangkau semua yang lain.

/srv/headscale/docker-compose.yml

services:
  headscale:
    image: docker.io/headscale/headscale:0.26            # pin it; never :latest
    container_name: headscale
    command: serve
    volumes:
      - ./config:/etc/headscale
      - ./data:/var/lib/headscale
    ports:
      - "3478:3478/udp"                                  # STUN, for your own DERP
    restart: unless-stopped

  caddy:
    image: caddy:2-alpine
    container_name: caddy
    ports:
      - "80:80"
      - "443:443"
    volumes:
      - ./Caddyfile:/etc/caddy/Caddyfile:ro
      - caddy_data:/data
    restart: unless-stopped

volumes:
  caddy_data:

/srv/headscale/Caddyfile

vpn.example.com {
    reverse_proxy headscale:8080
}

Itulah keseluruhan konfigurasi proxy-nya. Caddy berbicara dalam HTTP/2 dan meng-upgrade koneksi berumur panjang tanpa perlu diperintah, dan ini penting di sini karena setiap klien menjaga satu koneksi tetap terbuka untuk menerima pembaruan peta. Ambil contoh file konfigurasi yang disertakan bersama versi yang Anda pin, lalu edit — jangan menulis dari nol; file-nya memang panjang, sebagian besar isinya default yang sudah masuk akal, dan kunci-kunci yang benar-benar penting adalah ini:

/srv/headscale/config/config.yaml — the lines that matter

server_url: https://vpn.example.com          # exactly what clients will dial
listen_addr: 0.0.0.0:8080                    # inside the Docker network only
metrics_listen_addr: 127.0.0.1:9090          # debug surface, keep it local

prefixes:
  v4: 100.64.0.0/10
  v6: fd7a:115c:a1e0::/48

noise:
  private_key_path: /var/lib/headscale/noise_private.key

database:
  type: sqlite                               # postgres for a large fleet
  sqlite:
    path: /var/lib/headscale/db.sqlite

dns:
  magic_dns: true
  base_domain: ts.example.com                # NOT a parent or child of server_url
  nameservers:
    global:
      - 1.1.1.1                              # replaced by your own in step 05

Nyalakan dulu, lalu baca log-nya — jangan menerka-nerka. Boot pertama yang gagal mendapatkan sertifikat, atau yang menolak suffix DNS karena tumpang tindih dengan hostname server, akan mengatakannya dengan jelas lalu berhenti.

docker compose up -d
docker compose logs -f headscale

# From your laptop — a control server that is up answers this:
curl -s https://vpn.example.com/health

Boot pertama membuat materi kunci privat di /srv/headscale/data. Salin ke tempat yang aman sekarang juga, sebelum satu pun perangkat mendaftar, dan sekali lagi setelah pendaftaran pertama: kehilangan kunci itu berarti semua perangkat akan menolak server yang selama ini mereka percayai, dan satu-satunya perbaikan adalah mendaftarkan ulang semuanya secara manual. Langkah 06 mengubah salinan itu menjadi backup sungguhan.

Tailnet di mana setiap perangkat bisa menjangkau semua perangkat lain saja sudah berguna. Tiga tambahan berikut mengubahnya dari sekadar kumpulan tunnel menjadi sebuah jaringan sungguhan, dan ketiganya berbagi satu sifat yang sering menjebak orang: klien yang mengumumkan sebuah kapabilitas, tapi server yang harus menyetujuinya. Rute yang diumumkan tapi belum disetujui begitu saja dianggap tidak ada, secara senyap, dan gejalanya adalah Anda bisa ping router-nya tapi tidak ada apa pun di baliknya yang merespons.

Subnet router — menaruh seluruh LAN ke dalam tailnet. Satu mesin di jaringan rumah atau kantor mengumumkan rentang alamat jaringannya; setiap perangkat lain lalu bisa menjangkau printer, NAS, dan antarmuka manajemen di baliknya tanpa perlu memasang apa pun lagi di sana. Aktifkan dulu forwarding di kernel-nya, kalau tidak paket-paketnya akan berhenti begitu saja di router tanpa pesan error apa pun.

# On the machine that sits inside the LAN:
echo 'net.ipv4.ip_forward = 1'          | sudo tee /etc/sysctl.d/99-ts.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-ts.conf
sudo sysctl -p /etc/sysctl.d/99-ts.conf

sudo tailscale up --login-server https://vpn.example.com \
  --advertise-routes=192.168.1.0/24 --accept-routes

# On the control server — approve it, or it does not exist.
# The subcommand moved between releases; check `hs nodes --help` first.
hs nodes list
hs nodes approve-routes --identifier 3 --routes 192.168.1.0/24

Exit node — mengirim semuanya keluar lewat VPS. Mekanisme yang sama dengan rute yang lebih lebar: perangkat yang mengumumkan dirinya sebagai exit node menawarkan diri untuk membawa seluruh koneksi internet perangkat lain. Di jaringan kafe atau hotel yang tidak tepercaya, itulah persis yang Anda butuhkan, dan ini adalah hal paling mendekati VPN pribadi di seluruh panduan ini.

# On the VPS that will do the exiting (forwarding must be on, as above):
sudo tailscale up --login-server https://vpn.example.com --advertise-exit-node

# Approve it on the control server, then on the laptop:
tailscale set --exit-node=100.64.0.1 --exit-node-allow-lan-access
tailscale set --exit-node=                    # turn it off again

Exit node bukan VPN komersial, dan jangan menjualnya ke diri sendiri seolah begitu. Alamatnya hanya milik Anda seorang dan sifatnya stabil — ini sangat efektif melawan Wi-Fi kafe, tapi tidak berguna melawan korelasi jangka panjang lintas situs; trade-off ini dijelaskan lengkap di panduan utama. Perlu dicatat juga, Anda bisa menjalankan exit node di VPS kedua yang lebih murah, sehingga server kontrol tetap bebas sepenuhnya dari trafik yang diteruskan.

Aturan akses — tuliskan sebelum orang kedua bergabung. Kebijakan default-nya adalah mengizinkan semuanya, yang benar untuk tailnet seorang diri dan langsung keliru begitu ada orang lain di dalamnya. Kebijakannya berupa dokumen HuJSON kecil: kelompok user, tag untuk mesin, dan daftar aturan yang menyatakan sumber mana boleh menjangkau tujuan mana di port mana. Arahkan konfigurasi ke file itu, simpan file-nya di version control, dan reload setiap selesai mengedit.

{
  "groups": {
    "group:admin":     ["alice"],
    "group:contractor":["bob"]
  },
  "tagOwners": {
    "tag:server": ["group:admin"],
    "tag:exit":   ["group:admin"]
  },
  "acls": [
    // Admins reach everything.
    { "action": "accept", "src": ["group:admin"], "dst": ["*:*"] },

    // The contractor reaches one machine, on two ports, and nothing else.
    { "action": "accept", "src": ["group:contractor"],
      "dst": ["tag:server:22,443"] }
  ],
  "autoApprovers": {
    "routes":   { "192.168.1.0/24": ["tag:server"] },
    "exitNode": ["tag:exit"]
  }
}

Dua catatan soal file itu. Bahasa kebijakannya berasal dari Tailscale, dan Headscale mengimplementasikan sebagian besar darinya — dan terus bertambah — bukan seluruhnya, jadi periksa dokumentasi versi Anda sebelum mengandalkan aturan yang eksotis. Dan lokasi kebijakannya sendiri sudah berpindah: rilis lama menyebutkan sebuah path di konfigurasi tingkat atas, rilis baru mengelompokkannya di bawah bagian policy dengan mode yang juga bisa menyimpan aturannya di database. Keduanya terdokumentasi; yang penting adalah yang sesuai dengan versi yang Anda pin.

MagicDNS — nama pendek, dan resolver Anda sendiri di mana pun. Dengan MagicDNS aktif, setiap perangkat menjawab ke nama pendek di dalam suffix yang Anda pilih di langkah 02, jadi ssh nas berfungsi dari mana saja tanpa perlu hosts file. Bagian keduanya yang lebih menarik: server kontrol juga mendorong daftar nameserver ke setiap klien, yang berarti resolver yang Anda bangun di panduan resolver DNS privat kami bisa melayani ponsel Anda di jaringan seluler — dengan filtering, dengan cache, dan tanpa mencatat log apa pun — sambil tetap hanya mendengarkan di alamat tailnet yang sama sekali tidak bisa dijangkau dari internet.

dns:
  magic_dns: true
  base_domain: ts.example.com
  override_local_dns: true          # beat whatever DHCP handed the device
  nameservers:
    global:
      - 100.64.0.5                  # your resolver, on the tailnet

Meng-hosting-sendiri control plane adalah perbaikan yang nyata dan spesifik, dan ini bukan sulap yang membuat masalah menghilang begitu saja. Lima hal berikut tetap benar setelah semua langkah di atas selesai dikerjakan, dan mengetahuinya adalah beda antara pertahanan sungguhan dan sekadar cerita yang menenangkan.

Server kontrol adalah endpoint publik yang punya nama. Setiap perangkat menghubunginya, jadi ia butuh hostname, dan hostname itu langsung tercatat di log certificate-transparency begitu sertifikatnya diterbitkan. Alamat ini tetap bisa ditemukan meski Anda tidak pernah menautkannya ke mana pun, dan alamat itulah satu-satunya hal konstan yang dimiliki bersama oleh semua perangkat Anda. Pakai subdomain dari nama yang sudah Anda publikasikan, bukan nama yang justru menjelaskan fungsinya.

Headscale adalah sebuah reimplementasi, dan ia mengatakannya secara terbuka. Headscale tidak dibangun maupun didukung oleh Tailscale, kesetaraan fiturnya memang sengaja dibuat sebagian saja, dan sebagian dari apa yang dijual produk hosted-nya — konsol web, armada relay publik, jalur single sign-on yang mulus — sama sekali tidak ada di sini, atau hanya tersedia sebagai proyek pihak ketiga yang belum pernah diaudit siapa pun. Baca dokumentasi proyeknya untuk memastikan sebuah fitur benar-benar ada sebelum Anda menyusun rencana di atasnya, dan perlakukan upgrade sebagai tugas yang harus dikerjakan, bukan proses yang berjalan begitu saja di latar belakang.

Relay default-nya tetap milik orang lain. Sebelum Anda mengaktifkan server DERP tertanam, koneksi yang tidak bisa direct akan jatuh ke armada relay publik. Payload-nya tetap terenkripsi end-to-end dan tidak ada yang bisa membacanya — tapi fakta bahwa dua perangkat Anda sedang saling berbicara, dan seberapa banyak, tetap melintasi infrastruktur yang bukan milik Anda. Itulah bagian dari rantai kepercayaan yang paling sering terlewat oleh kebanyakan orang di sore pertama mereka mencobanya.

Exit node adalah alamat yang stabil, bukan keramaian. Merutekan trafik Anda lewat VPS sendiri mengalahkan pengawasan jaringan kafe dan profil ISP. Tapi ini tidak mengalahkan korelasi, karena alamat itu hanya milik Anda seorang dan tidak pernah berubah. Alamat bersama milik VPN komersial justru lebih buruk dalam segala hal, kecuali satu hal yang paling penting untuk ancaman spesifik itu.

Mesinnya tetap berada di sebuah gedung. Server sewaan tetap berjalan di atas perangkat keras di sebuah datacenter yang punya pintu dan staf. Yang berubah adalah tidak ada lagi indeks tingkat produk yang mencatat perangkat Anda, tidak ada database perusahaan yang merekam dari mana masing-masing tersambung, dan tidak ada kebijakan privasi yang bisa diubah begitu saja kuartal depan. Yang tidak berubah: disknya tetap fisik, dan tetap tidak berada di rumah Anda.

Apa yang sebenarnya Anda beli, secara tepat: daftar setiap mesin yang Anda miliki, catatan dari mana masing-masing terhubung, dan wewenang untuk menambahkan mesin baru, semuanya sekarang dipegang oleh mesin yang Anda sewa tanpa nama tertentu. Itu klaim yang sempit, tapi nyata. Nilainya baru sepadan dengan biayanya kalau langkah 06 benar-benar dikerjakan — control plane self-hosted tanpa uji pemulihan bukanlah peningkatan privasi, melainkan sekadar single point of failure dengan branding yang lebih bagus.