Как безопасно поделиться сетевым хранилищем (NAS) с друзьями с помощью Tailscale

¿Как поделиться доступом к сетевому хранилищу (NAS) с друзьями с помощью Tailscale? Если у вас дома есть сетевое хранилище данных (NAS) и вы рассматриваете возможность его приобретения, Поделитесь этим с друзьями или семьей через Tailscale.Вы находитесь в идеальной ситуации, чтобы в полной мере воспользоваться всеми преимуществами этого современного VPN на основе WireGuard. Самое замечательное, что вам не нужны обширные знания в области сетевых технологий: немного организовав свою сеть, применив несколько эффективных методов обеспечения безопасности и сведя к минимуму планирование прав доступа и пользователей, вы сможете без труда настроить очень мощную и безопасную систему.

В следующих строках вы увидите, как Предоставьте доступ к сетевому хранилищу (NAS) для резервного копирования, зашифрованных личных папок и веб-сервисов. (например, файловый браузер, Nextcloud, Immich и т. д.), как делиться контентом также с людьми, которые не используют Tailscale, например, с помощью файловых сервисов, таких как делиться с пользователями без клиентского приложенияА также какие сетевые ошибки следует избегать, чтобы не отключить весь дом при выключении сервера. Мы также подробно рассмотрим, что такое Tailscale, как он работает, какие у него тарифные планы и как он интегрируется с NAS-устройствами (Synology, TrueNAS, UGREEN и др.).

Что такое Tailscale и почему это такое хорошее решение для вашего NAS-сервера?

Tailscale — это mesh VPN-сеть на основе WireGuard. Это позволяет соединять ваши устройства друг с другом так, как если бы они находились в одной локальной сети, без открытия портов на вашем маршрутизаторе или работы с NAT вашего интернет-провайдера. Неважно, используете ли вы CG-NAT, подключаетесь ли через Wi-Fi, мобильный интернет или находитесь на другом конце света: пока на каждом устройстве запущен клиент Tailscale, оно сможет видеть друг друга, используя частные статические IP-адреса в сети Tailscale.

Главное преимущество NAS заключается в том, что Вы можете получить доступ к своим папкам, веб-сервисам, IP-камерам или любому домашнему оборудованию. Как если бы вы физически находились в своей домашней сети. И все это с сквозным шифрованием, низкой задержкой и очень достойной производительностью благодаря использованию WireGuard. Вам не нужно настраивать традиционный VPN-сервер или знать, как настраивать OpenVPN; вы просто устанавливаете небольшой клиент, входите в систему с помощью Google, Microsoft или другого совместимого провайдера, и все готово.

Ещё одно преимущество Tailscale заключается в том, что управляет сетью как облачным сервисом.Однако фактический трафик обычно проходит напрямую между устройствами, а не через их серверы. Их узлы используются только для координации соединений или в качестве ретрансляторов, когда прямая связь невозможна. Это обеспечивает более высокую скорость, меньшую задержку и очень надежный уровень безопасности: автоматическая смена ключей, надежная аутентификация, возможность многофакторной аутентификации и очень подробные списки контроля доступа.

Не менее важно: Tailscale подходит практически для всего.Его можно установить на Windows, macOS, Linux, Android, iOS, Raspberry Pi, облачные серверы (AWS, Azure, Google Cloud, Hetzner, Oracle и др.) и даже на сетевые хранилища (NAS) популярных брендов. Для домашнего или полупрофессионального использования это практически идеальное решение, сочетающее в себе простоту использования и расширенные возможности для тонкой настройки системы.

Тарифные планы, ограничения и модель использования: что нужно знать для совместного использования вашего NAS-сервера.

Что касается ценообразования, Tailscale работает по модели freemium: У вас очень щедрый бесплатный персональный тарифный план. А если этого окажется недостаточно, вы можете перейти на платные тарифные планы, ориентированные на команды и бизнес. Понимание того, что предлагает каждый план, полезно, если вы хотите использовать NAS совместно с несколькими друзьями или настроить что-то более «серьезное».

План Персональный (бесплатный) Он позволяет подключить до 100 устройств к одной учетной записи, обеспечивая сквозную безопасность, поддержку DNS, Magic DNS, возможность совместного доступа с друзьями и семьей, а также поддержку сообщества. Действительно существенным ограничением является то, что он поддерживает только... три пользователя в хвостовой сети; все, что выходит за ее рамки, включает в себя изменение планов или попытки совместного использования учетных данных одной и той же учетной записи (с вытекающими отсюда последствиями для безопасности).

Выше это Персональный Плюсчто позволяет увеличить максимальное количество пользователей до шести, сохраняя при этом остальные функции. Затем следуют Стартер y ПремиумЭти функции разработаны для бизнеса: оплата за пользователя и за месяц, больше устройств на пользователя, расширенные списки контроля доступа на основе идентификаторов и ролей, настраиваемая ротация ключей, интеграция с Okta, больше администраторов, поддержка электронной почты, централизованный аудит и т. д. Наконец, план Предприятие Система полностью настраивается под индивидуальные потребности, включает SAML SSO, интеграцию с IoT, расширенный мониторинг терминалов и выделенную поддержку.

Для домашнего пользователя, которому нужно Совместное использование сетевого хранилища (NAS) с 3-5 друзьями.Обычно предпочитают оставаться на бесплатном тарифе или перейти на Personal Plus, если у каждого пользователя будет своя учетная запись. Количество устройств (до 100) обычно более чем достаточно: NAS, ПК, ноутбук, мобильные телефоны, планшеты, возможно, облачный сервер или Raspberry Pi… места предостаточно.

Как интегрировать ваш NAS в Tailscale (Synology, TrueNAS, UGREEN и др.)

Интеграция NAS с Tailscale будет зависеть от платформы, но принцип всегда один и тот же: Установите клиентское приложение, пройдите аутентификацию в вашей сети и убедитесь, что NAS отображается в консоли управления.Оттуда вы можете получить доступ к их сервисам, используя IP-адрес Tailscale или магическое DNS-имя.

В случае СинологияЭто можно сделать через Центр пакетов, выполнив поиск Tailscale, или установив пакет DSM из официального репозитория инструмента. После установки войдите в систему, используя своего поставщика идентификации, и NAS автоматически зарегистрируется в сети. После этого вы сможете получить доступ к панели DSM, общим папкам и таким приложениям, как Active Backup for Business, используя IP-адрес Tailscale со своего ПК, ноутбука или мобильного устройства.

В DSM 7 есть важная деталь: В Tailscale действуют дополнительные ограничения. Кроме того, у него нет прямого разрешения на создание TUN-устройства, что ограничивает исходящие соединения с другими узлами Tailnet от служб, работающих внутри NAS. Для включения TUN и разрешения исходящего трафика обычно создается запланированная задача, которая запускается при загрузке от имени root, запускает скрипт конфигурации хоста и перезапускает службу Tailscale. После этого входящие и исходящие VPN-соединения проходят через встроенный брандмауэр Synology.

En TrueNAS (CORE или SCALE) и другие сетевые хранилища данных на базе Linux или BSD.Установка обычно осуществляется через системный пакет или с помощью официального бинарного файла. В конечном итоге, цель состоит в том, чтобы запустить демон. хвостовой чешуйчатый Устройство запущено и зарегистрировано в сети TailNet. На платформах типа Proxmox + TrueNAS в виртуальной машине часто устанавливают Tailscale внутри виртуальной машины TrueNAS, если вы хотите, чтобы этот конкретный NAS выступал в качестве маршрутизатора подсети или файлового сервера, доступного через VPN.

Для NAS UGREEN на базе DebianДля систем типа DXP4800+ процесс очень похож на процесс установки Debian 12: вы устанавливаете пакет Tailscale, включаете его как службу, входите на свой сервер Tailnet и проверяете в веб-консоли, что он отображается как новая машина. С этого момента любая служба, которая предоставляет доступ к вашему NAS через любой внутренний порт (Samba, NFS, HTTP, SFTP и т. д.), будет доступна через частный IP-адрес Tailscale.

Маршрутизаторы подсети, выходные узлы и доступ ко всей вашей локальной сети.

Если вы установите Tailscale только на NAS, вы сможете получить доступ только к самому NAS. Но Tailscale позволяет сделать кое-что очень интересное: используйте такое устройство, как «маршрутизатор подсети» или маршрутизатор подсети.Это служит мостом между вашей локальной сетью и физической сетью (например, вашей домашней локальной сетью 192.168.0.0/24), так что извне вы можете получить доступ к любому компьютеру в доме, находящемуся в этой подсети, даже если на нем не установлен клиент.

Процесс прост: на устройстве, которое будет выступать в качестве маршрутизатора подсети (это может быть NAS, сервер Linux или даже ПК), вы включаете соответствующую опцию. переадресация IP-пакетов и вы просите Tailscale объявить маршрут, например. 192.168.0.0/24Затем в веб-панели Tailscale вы подтверждаете этот маршрут в разделе «Машины», указывая, какое устройство его объявляет. После этого любой другой узел в сети Tailscale может отправлять трафик в эту подсеть, а маршрутизатор подсети обрабатывает его переадресацию на внутренние устройства.

В Windows типичный рабочий процесс заключается в следующем: включить переадресацию IP-пакетов с помощью PowerShell, найти соответствующий интерфейс и выполнить команду, которая включает переадресацию; затем запустить tailscale set –advertise-routes=192.168.1.0/24 (например). В Linux строка ip_forward будет добавлена ​​к sysctl.conf Аналогичная команда используется с sudo. Аналогичные конфигурации возможны также на macOS, Android или tvOS, всегда следуя официальным инструкциям.

Помимо маршрутов подсетей, Tailscale позволяет настраивать выходной узелВыходной узел используется для маршрутизации всего интернет-трафика клиента. Это полезно для просмотра веб-страниц из-за границы, как если бы вы находились дома (например, сохраняя испанский IP-адрес), или для защиты при подключении к общедоступным сетям Wi-Fi. В этом случае опция выходного узла включается на одном из ваших устройств (часто это домашний сервер), а на других клиентах вы выбираете его в качестве выходного узла в меню Tailscale.

Всё это всегда контролируется с помощью Контроль доступа (ACL) в формате JSON, где вы можете определить, кто может взаимодействовать с чем, на каких портах, от каких пользователей или групп и т. д. Этот уровень контроля имеет ключевое значение, когда вы начинаете делиться NAS и сервисами с друзьями: он позволяет предоставлять доступ только к необходимому и минимизировать любые риски.

Как безопасно поделиться сетевым хранилищем (NAS) с друзьями с помощью Tailscale

Если ваша цель — позволить нескольким друзьям использовать ваш NAS, то резервные копии, зашифрованные личные папки или веб-сервисыСуществует несколько способов сделать это, и не все из них одинаково удобны или безопасны. Самый организованный способ, если он соответствует вашему плану, — это когда у каждого друга в вашей сети есть своя собственная учетная запись.

Самый чистый вариант — это... Каждый пользователь должен создать собственную учетную запись Tailscale. (используя их электронную почту или систему идентификации) и вы приглашаете их в свою сеть. Таким образом, каждое устройство ваших друзей регистрируется с их учетной записью пользователя и четко отображается в консоли администрирования. Затем вы можете предоставить им доступ только к NAS и определенным службам, не позволяя им видеть остальные ваши устройства.

Параллельно вам следует создать на вашем NAS-сервере. один пользовательский аккаунт на одного другасо своим собственным паролем и правами доступа, и назначить ему эксклюзивная общая папка (В идеале, если система это позволяет). Это означает, что Джон увидит только свою папку, Мэри — только свою, и никто не будет иметь доступа к чужим папкам или другим конфиденциальным данным, таким как ваши резервные копии или деловые данные.

Важно сочетать оба уровня: Управление сетью в Tailscale и управление правами доступа на NAS.В Tailscale вы используете списки контроля доступа (ACL), чтобы определить, что устройство каждого друга может получить доступ к IP-адресу вашего NAS только через необходимые порты (например, 445 для SMB, 5001 для DSM, 443 для определенной веб-панели и т. д.). На NAS списки контроля доступа, группы и шифрование гарантируют, что даже если кому-то удастся получить доступ к другой службе, у него не будет прав на чтение или запись.

Что касается того, следует ли вашим друзьям... Функция Tailscale должна быть включена постоянно или только при необходимости?Абсолютных правил нет. С точки зрения безопасности и конфиденциальности Tailscale достаточно надежен: трафик шифруется и аутентифицируется, а сетевая модель ничего не раскрывает публично. Многие пользователи оставляют его включенным постоянно без серьезных проблем. Однако, если друг собирается использовать NAS лишь изредка и предпочитает подключаться только при необходимости, он может просто открыть клиент Tailscale, подключиться, выполнить необходимые действия и отключиться. Как администратор, вы должны отслеживать список устройств и отзывать доступ или удалять старые устройства, которые больше не используются.

Обмен большими файлами и веб-сервисами: Tailscale Funnel, File Browser, Immich и альтернативы.

Когда мы говорим о Делитесь с друзьями большими файлами (20-40 ГБ).Особенно при работе с видеороликами в стиле GoPro, качество может сильно различаться в зависимости от используемого инструмента. Некоторые пользователи обнаружили, что такие программы, как Resilio Sync, работают на Tailscale почти на полной скорости, в то время как загрузка тех же файлов через веб-сервис, предоставляемый Tailscale Funnel (например, File Browser или Next File Browser), происходит гораздо медленнее.

Воронка Tailscale Funnel предназначена для временно предоставить доступ к HTTP/HTTPS-сервису извне Благодаря использованию инфраструктуры Tailscale, без открытия портов на маршрутизаторе, это очень удобно для предоставления веб-интерфейса пользователям за пределами вашей сети, например, для фотогалереи или файлового менеджера. Однако скорость может быть ограничена несколькими факторами: самой сетью, типом соединения, узкими местами HTTP-сервера или даже реализацией загрузки файлов в приложении.

Если вам нравится максимальная скорость передачи больших файлов Поскольку обе стороны могут использовать Tailscale, в идеале ваши друзья также должны установить клиент Tailscale и подключиться напрямую к вашему NAS или общей папке через SMB, NFS или SFTP, или использовать инструменты синхронизации, такие как Resilio Sync или аналогичные, через VPN. В этих сценариях соединение обычно является прямым и позволяет более эффективно использовать пропускную способность обоих домашних сетей; также существуют альтернативы, такие как SpiderOak ориентирован на конфиденциальность и безопасный обмен данными.

В случаях, когда ваш друг не хочет ничего устанавливать, Funnel по-прежнему остается подходящим вариантом, но следует исходить из того, что Это будет не так быстро, как прямой доступ с помощью клиента Tailscale.Корректировка конфигурации веб-сервера, оптимизация NAS (процессор, диски, кэш) и устранение узких мест в самой файловой системе могут помочь, но у такой конструкции воронки есть свои ограничения.

В области фотографии такие проекты, как Иммич Они демонстрируют, что контент можно довольно легко передавать по ссылкам, даже людям за пределами вашей сети, при условии, что приложение должным образом доступно. Immich интегрирует собственные механизмы обмена, поэтому иногда практичнее позволить ему обрабатывать обмен альбомами, а Tailscale использовать только для приватного доступа с ваших устройств.

Как предоставить доступ к вашему UGREEN NAS (Debian 12) внешним пользователям

На сетевом хранилище UGREEN DXP4800+ с Установлены Debian 12 и Tailscale.Главный вопрос: как мне поделиться папками или файлами с людьми, которые не входят в мою сеть контактов? У вас есть два подхода, в зависимости от того, какой уровень доверия и удобства вы хотите обеспечить.

Первый подход, который является более безопасным и эффективным, заключается в следующем: Относитесь к своим друзьям как к членам вашей закрытой сети.Вы приглашаете их в свою сеть Tailscale, они устанавливают клиент Tailscale и получают доступ к ресурсам NAS так, как если бы они находились в вашей локальной сети. Ключевым моментом здесь является правильное определение списков контроля доступа (ACL), создание пользователей на NAS с квотами, внедрение шифрования папок там, где это возможно, и использование надежных паролей, а также ограничение доступа пользователей к Tailscale только IP-адресом NAS и строго необходимыми сервисами, или использование облачных решений для совместного доступа, таких как OneDrive, в отдельных случаях.

Второй подход, разработанный для случайные внешние пользователи Если вы не хотите включать его в свою сеть Tailscale, вы можете предоставлять доступ к определенным сервисам через Tailscale Funnel (например, к файловому браузеру, работающему на вашем NAS, к которому вы обращаетесь всего несколько дней). В этом случае рекомендуется включить надежную аутентификацию для самого веб-сервиса, активировать HTTPS, использовать надежные пароли и отключать Funnel, как только он вам больше не понадобится. Вы не получите такой же производительности, как при прямом доступе через Tailscale, но это очень удобно.

Вы также можете комбинировать стратегии: Используйте Immich для просмотра фотографий и видео с возможностью обмена ссылками. при этом вы можете зарезервировать доступ через Tailscale для более конфиденциальных папок, резервных копий или контента, который вы хотите разрешить просматривать лишь немногим лицам с подтвержденной личностью.

В любом случае, не забудьте проверить настройки брандмауэра NAS или операционной системы: если у вас активен брандмауэр, вам потребуется разрешить следующие действия: диапазон 100.64.0.0/10 (подсеть, используемая Tailscale), чтобы клиенты могли легко получить доступ к внутренним сервисам, которые вы хотите открыть.

Рекомендации по настройке сети: как предотвратить сбой в работе сети при выключении NAS.

Довольно распространённая ошибка при работе с подсетевыми маршрутизаторами в Tailscale заключается в следующем: Рекламируйте всю свою домашнюю сеть с одного сервера. (например, TrueNAS, работающий в виртуальной машине на Proxmox), а затем, когда вы выключаете этот сервер, ваша сеть, похоже, становится нестабильной или недоступной для некоторых устройств.

В типичном случае пользователь использовал маршрутизатор в 192.168.0.1Proxmox работал на IP-адресе 192.168.0.2, а TrueNAS — на 192.168.0.3, при этом Tailscale указывал маршрут 192.168.0.0/24 в качестве подсети маршрутизатора. Пока сервер был включен, все работало отлично: я мог получить доступ к Nextcloud извне через Tailscale и без проблем подключаться к внутренним сервисам. Проблемы начались, когда я выключил TrueNAS: внезапно я перестал получать доступ даже к самому маршрутизатору.

Корень проблемы заключается не столько в масштабе хвоста, сколько в том, как он работает. маршруты и маски подсетиЕсли сервер, настроенный вами в качестве шлюза для всей сети 192.168.0.0/24, выйдет из строя, любое устройство, использующее этот маршрут для связи с другими устройствами, останется без доступа. Более того, если вы попытаетесь произвольно изменить маску подсети маршрутизатора (например, с 255.255.255.0 на 255.255.0.0) без последовательного обновления масок подсети на всех устройствах (NAS, Proxmox, ПК и т. д.), вы создадите сложную систему маршрутизации, которую будет трудно отладить.

Чтобы избежать подобных неприятных ситуаций, рекомендуется следовать нескольким рекомендациям: Не используйте устройство, которое вы часто выключаете, в качестве маршрутизатора подсети. (В идеале используйте устройство, которое всегда включено, например, небольшой маломощный компьютер под управлением Linux или продвинутый маршрутизатор); поддерживайте согласованность масок подсети в сегменте (если ваша локальная сеть использует /24, убедитесь, что все используют /24); и не объявляйте больше маршрутов, чем необходимо: если вам нужен доступ только к NAS и нескольким конкретным сервисам, рассмотрите возможность использования Tailscale непосредственно на этих устройствах или ограничения объявляемого диапазона.

Если вы хотите разделить вещи еще дальше, вы можете разделить домашнюю сеть на несколько подсетейОднако это требует изменения маски подсети, настройки параметров DHCP, переконфигурации каждого сервера и обеспечения возможности маршрутизации трафика между ними со стороны маршрутизатора. Это мощное решение, но к нему не следует подходить легкомысленно, если вы не уверены в его влиянии на каждое устройство.

Безопасность на уровне хвостовой части сети, списки контроля доступа (ACL), ведение журналов и производительность.

В плане безопасности Tailscale полагается на WireGuard для шифрования и обеспечения целостности данных. данные. Это означает, что соединения между вашими устройствами устанавливаются с использованием современных, высокоэффективных и надежных ключей, обеспечивающих производительность, значительно превосходящую многие традиционные VPN. Кроме того, Tailscale автоматически меняет ключи через регулярные интервалы (часы, дни), чтобы минимизировать период уязвимости для кражи учетных данных.

Платформа также предлагает Списки контроля доступа, основанные на ролях и идентификаторах.Это позволяет ограничить доступ пользователей или групп к определенным устройствам и портам. Это особенно полезно по мере расширения вашей сети и смешивания личных, семейных, дружеских или даже служебных устройств. Весь трафик централизованно регистрируется с обеих сторон, что упрощает аудит и анализ подозрительных соединений.

С точки зрения чистой производительности, компания Tailscale в значительной степени ориентирована на... Простота использования без ущерба для скорости.Архитектура децентрализована, используются прямые соединения везде, где это возможно, а для снижения задержки и пропускной способности применяется сжатие данных с помощью различных методов. Внутренний протокол, используемый для управления туннелем по протоколу UDP, в полной мере использует современные сетевые возможности, при условии, что ваш интернет-провайдер не блокирует этот тип трафика.

Действительно, будучи VPN-сервисом "один к одному", если вы захотите... чрезвычайно высокая производительность Вам потребуется обратить внимание на несколько деталей: убедитесь, что оба соединения имеют достаточную пропускную способность, избегайте перегруженных сетей Wi-Fi, по возможности используйте кабель для NAS или сервера и проверьте, не перегружены ли процессор или диск на устройстве, выступающем в качестве точки доступа VPN. Тем не менее, реальные измерения обычно дают очень хорошие результаты: существуют тестовые сценарии, в которых достигается устойчивая скорость в десятки Мбит/с между двумя ПК, подключенными через FTTH, с приемлемой задержкой, несмотря на шифрование.

Наконец, Tailscale поддерживает Пользовательские DNS и «волшебные DNS»Это означает, что вы можете определять имена своих устройств удобным для пользователя способом (например, nas-casa.tailnet-name.ts.net) без запоминания IP-адресов. Также поддерживаются сервисы блокировки и фильтрации рекламы, такие как AdGuard, и надежная аутентификация с помощью многофакторной аутентификации (MFA) и единого входа (SSO) в платежных системах.

Благодаря всем возможностям Tailscale, современному сетевому хранилищу (NAS) и некоторому планированию, вы можете создать очень эффективную частную сеть, где ваши друзья смогут пользоваться своими собственными сетями. Учетные записи, зашифрованные папки и быстрый удаленный доступ. Без прямого доступа к интернету, с точным контролем над тем, что видит каждый пользователь, с возможностью временного совместного использования сервисов через Funnel и без риска сбоя сети при выключении сервера, если правильно настроить маршруты; это довольно элегантный способ использовать удаленное резервное копирование, обмениваться большими видеофайлами или поддерживать общее персональное облако, всегда сохраняя контроль над своими данными.