Apakah Tailscale Aman? Memahami Model Kepercayaannya

Apakah Tailscale aman? Jawaban singkat

Apakah Tailscale aman? Untuk hal yang paling dikhawatirkan kebanyakan orang, jawabannya ya: server koordinasi yang menjalankan tailnet Anda tidak pernah menyimpan kunci privat yang mengenkripsi trafik Anda, sehingga server tersebut tidak dapat membaca data yang dikirim antarperangkat Anda. Halaman keamanan Tailscale menyatakannya secara langsung: "Kunci privat tidak pernah meninggalkan perangkat. Semua trafik dienkripsi secara end-to-end, selalu." Namun, pertanyaan yang lebih relevan berbeda. Server koordinasi yang dibobol atau diwajibkan menyerahkan data berdasarkan perintah hukum tidak perlu membaca paket Anda. Server tersebut menentukan kunci publik mana yang dipercaya perangkat Anda, sehingga dapat mendaftarkan perangkat yang tidak pernah Anda setujui.

Itulah model kepercayaannya dalam satu kalimat: enkripsi melindungi data, sedangkan control plane menentukan keanggotaan. Setiap bagian di bawah ini menjelaskan satu pihak yang harus Anda percaya, menyebutkan tindakan yang benar-benar dapat dilakukan pihak tersebut, dan memberikan kontrol untuk membatasinya. Jika produk ini masih baru bagi Anda, mulai dengan apa itu Tailscale dan cara kerja mesh-nya.

Bidang kontrol dan bidang data terpisah

Tailscale adalah mesh VPN (virtual private network) yang dibangun di atas WireGuard, yaitu protokol yang sama dengan yang akan Anda konfigurasi secara manual pada VPS WireGuard yang di-host sendiri. Setiap perangkat membuat pasangan kunci WireGuard-nya sendiri secara lokal. Dalam tulisan how it works, Tailscale menyebut server koordinasi sebagai "kotak drop bersama untuk kunci publik" dan menyatakan bahwa "Kunci privat tidak pernah meninggalkan node-nya."

Bidang data adalah trafik terenkripsi antara perangkat Anda. Trafik ini berjalan langsung dari satu perangkat ke perangkat lain jika jaringan mengizinkannya. Bidang kontrol mencakup hal-hal lainnya: perangkat yang menjadi bagian dari tailnet, kunci publik yang terkait dengan setiap perangkat, kebijakan akses, pengaturan DNS, dan daftar relay. Tailscale menjalankan bidang kontrol sebagai layanan ter-host. Anda menjalankan bidang data pada mesin Anda sendiri.

Pisahkan kedua bidang tersebut agar setiap pertanyaan keamanan di sini dapat dijawab. Enkripsi merupakan properti bidang data. Keanggotaan merupakan keputusan bidang kontrol. Enkripsi sebanyak apa pun tidak dapat menentukan siapa yang diizinkan menjadi peer.

Apa yang dapat dilakukan server koordinasi yang telah dibobol?

Server tersebut tidak dapat mendekripsi trafik Anda. Kunci untuk melakukan enkripsi dibuat di perangkat Anda dan tidak pernah diunggah. Jadi, tidak ada kunci yang dapat disita atau bocor untuk membuka tunnel. Hal ini juga berlaku untuk trafik yang direlay, yang dibahas lebih lanjut di bawah.

Server tersebut dapat mendaftarkan sebuah node. Saat Tailscale mengumumkan tailnet lock, perusahaan itu menjelaskan risikonya dengan kata-kata sendiri: server berbahaya dapat "use a secretly-added node to send or receive traffic to your existing nodes", dan pada saat itu "it wouldn't matter that the traffic is encrypted because the peer itself would be malicious". Perangkat Anda mempercayai sebuah peer karena control plane memberitahunya bahwa kunci tersebut merupakan bagian dari tailnet.

Server tersebut dapat mengubah tujuan yang boleh diakses perangkat Anda. Kebijakan akses berada di control plane dan didistribusikan ke node. White paper tailnet lock dari Tailscale menyatakan bahwa tailnet lock "does not prevent a compromised control plane from breaking connectivity in your network, such as by failing to distribute new node keys, or distributing an access control policy which denies access to all nodes."

Server tersebut tetap dapat melihat metadata koneksi. Log aliran jaringan Tailscale mencatat event pembukaan dan penutupan untuk setiap koneksi antar-mesin. Dokumentasi menyatakan bahwa log tersebut "strictly do not contain any information about client operations or contents of network traffic". Jadi, control plane dapat mengetahui perangkat Anda berbicara dengan perangkat yang mana dan kapan. Control plane tidak mengetahui isi percakapan tersebut.

Hanya satu item dalam daftar itu yang berkaitan dengan enkripsi. Item lainnya berkaitan dengan siapa yang menjadi anggota dan isi kebijakan. Karena itu, kontrol yang perlu Anda perhatikan adalah kontrol yang mengatur pendaftaran node.

Penyedia identitas Anda adalah akar kepercayaan untuk tailnet

Tailscale tidak memiliki database kata sandi sendiri. Dokumentasinya menyatakan dengan jelas bahwa tidak ada kata sandi Tailscale, dan proses login didelegasikan kepada penyedia identitas (IdP): Apple, Google, GitHub, Microsoft, Okta, OneLogin, atau penyedia OpenID Connect kustom.

Pahami ini sebagai pernyataan keamanan karena memang demikian. Siapa pun yang dapat login ke akun Google atau Microsoft Anda dapat login ke tailnet Anda. Autentikasi multifaktor (MFA) Anda bergantung pada kebijakan yang diterapkan IdP. Proses offboarding Anda bergantung pada tindakan IdP ketika seseorang keluar. Akun IdP yang berhasil dipancing melalui phishing menjadi akun tailnet, dan penyerang tidak perlu menyerang WireGuard: mereka cukup menambahkan perangkat dan memperoleh semua hak yang diberikan kebijakan kepada pengguna tersebut.

Ada dua kontrol yang menjadi pembatas antara akun identitas yang dicuri dan perangkat yang dapat digunakan di dalam tailnet Anda: persetujuan perangkat dan kedaluwarsa kunci. Tailnet lock adalah kontrol ketiga yang menargetkan control plane, bukan akun.

Persetujuan perangkat: tidak ada perangkat yang bergabung sampai seseorang menyetujuinya

Dokumentasi Tailscale menjelaskan persetujuan perangkat sebagai fitur yang “memungkinkan administrator jaringan Tailscale meninjau dan menyetujui perangkat baru sebelum perangkat tersebut dapat bergabung ke jaringan Tailscale”. Owner, Admin, atau IT admin dapat memberikan persetujuan. Perangkat baru menampilkan badge “Needs approval” pada halaman Machines sampai seseorang menindaklanjutinya.

Aktifkan fitur ini, dan skenario akun yang dicuri berubah. Penyerang masuk, perangkat terdaftar, lalu perangkat tersebut menunggu tanpa dapat mengakses apa pun. Di konsol admin Anda, badge menunjukkan bahwa mesin yang tidak Anda kenali sedang meminta bergabung. Otomatisasi tetap berfungsi karena auth key dapat ditandai sebagai telah disetujui sebelumnya saat dibuat, dan perangkat dapat disetujui melalui API.

Auth key adalah jalur masuk lainnya, jadi perlakukan sebagai kredensial. Dokumentasi Tailscale secara tegas memperingatkan jenis yang berisiko: “Berhati-hatilah dengan reusable key! Kunci ini dapat sangat berbahaya jika dicuri. Sebaiknya simpan kunci tersebut di produk key vault yang dirancang khusus untuk tujuan ini.” Per Agustus 2026, rentang masa berlaku key yang didokumentasikan adalah 1 hingga 90 hari. Jika masa berlaku tidak ditentukan, nilai default-nya adalah maksimum 90 hari. Utamakan one-off key, tandai sebagai ephemeral untuk mesin yang sering ditambahkan dan dihapus, serta simpan reusable key apa pun dengan enkripsi menggunakan Ansible Vault atau di secrets manager, bukan dalam shell script.

Masa berlaku kunci: pengatur waktu yang membatasi semua kesalahan lainnya

Kunci node memiliki masa berlaku. Inilah yang mengubah perangkat yang dicuri atau terlupakan menjadi masalah sementara. Dokumentasi Tailscale menyatakan bahwa “Secara default, domain baru ditetapkan dengan masa berlaku 180 hari” dan “Jika autentikasi ulang tidak dilakukan, kunci akan kedaluwarsa dan koneksi ke/dari endpoint tersebut akan berhenti berfungsi.” Anda dapat melakukan autentikasi ulang perangkat sendiri:

tailscale up --force-reauth

Dokumentasi memperingatkan bahwa tindakan ini “mungkin memutus koneksi tailnet sehingga tidak boleh dilakukan dari jarak jauh melalui SSH atau RDP tanpa cara alternatif untuk login jika koneksi terputus.” Jalankan perintah tersebut saat akses konsol tetap terbuka, atau melalui jalur kedua ke mesin, karena Anda akan memutus jaringan yang sedang digunakan.

Server adalah tempat kontrol ini sering dikecualikan. Mesin yang harus melakukan autentikasi ulang setiap 180 hari akan terputus dari tailnet pada pukul 3 pagi ketika tidak ada orang yang memantaunya, sehingga administrator menonaktifkan masa berlaku kunci pada mesin tersebut. Tindakan ini menghapus pengatur waktu yang pada akhirnya akan memutus kunci yang dicuri. Perangkat bertag adalah pilihan yang lebih tepat untuk server, karena tag mengaitkan mesin dengan peran, bukan dengan seseorang. Dengan demikian, mesin tetap dapat digunakan ketika orang tersebut meninggalkan perusahaan. Apa pun keputusan Anda, simpan daftar mesin yang menonaktifkan masa berlaku kunci. Kunci tersebut tetap valid sampai Anda menghapus perangkatnya.

Tailnet lock: mengeluarkan server koordinasi dari rantai kepercayaan

Tailnet lock menangani masalah pendaftaran secara langsung. Dokumentasi tailnet lock Tailscale menjelaskan mekanismenya: "Saat node baru bergabung ke tailnet, kunci publik node tersebut memerlukan tanda tangan dari kunci Tailnet Lock. Server koordinasi mendistribusikan kunci publik node yang telah ditandatangani kepada node peer." Perangkat yang sudah ada memverifikasi tanda tangan tersebut sebelum menerima peer, sehingga kunci node yang dibuat sendiri oleh control plane akan ditolak.

tailscale lock status
tailscale lock sign nodekey:1abddef1 tlpub:abcdef12

tailscale lock init mengaktifkan fitur ini, dan pada tahap tersebut Anda menentukan node penanda tangan. Tailscale memerlukan sedikitnya dua node penanda tangan saat inisialisasi dan mengizinkan paling banyak 20 node dalam satu tailnet. Setelah itu, setiap perangkat baru memerlukan tanda tangan dari salah satu node tersebut. Ini menambah beban operasional yang nyata: menambahkan ponsel berarti menjalankan perintah pada laptop.

Batasan ini didokumentasikan dan lebih penting daripada deskripsi fiturnya:

• Jika secret untuk menonaktifkan fitur hilang, tidak ada pemulihan. Dokumentasi menyatakan, "Jika Anda kehilangan secret untuk menonaktifkan fitur dan tidak memberikan salah satunya kepada dukungan Tailscale, tailnet tidak dapat dipulihkan."
• Kunci penanda tangan berada pada perangkat yang Anda miliki, sehingga keamanannya bergantung pada keamanan perangkat tersebut. Dokumentasi menyatakannya secara eksplisit: "Jika perangkat tersebut diretas, kunci dapat diperoleh."
• Anda tidak dapat menjalankan kedua kontrol secara bersamaan. Tailscale menyatakan bahwa tailnet lock dan persetujuan perangkat saling eksklusif. Mengaktifkan salah satunya berarti melepaskan yang lain.
• Ini adalah trust on first use (TOFU). Penyiapan awal tetap melalui control plane, dan jangkar kepercayaan baru berpindah ke jaringan Anda sendiri setelah tahap pertama tersebut.

Tailnet lock melindungi keanggotaan. Fitur ini tidak melindungi ketersediaan, dan white paper menyatakannya demikian.

Apakah koneksi yang direlay mengekspos trafik saya?

Tidak. Jika dua perangkat tidak dapat saling menjangkau secara langsung, trafik akan dialihkan melalui server DERP (Designated Encrypted Relay for Packets). Dokumentasi Tailscale menyatakan hal ini secara tegas: "Karena private key Tailscale tidak pernah meninggalkan perangkat lokal yang membuatnya, server DERP tidak mungkin mendekripsi trafik Anda. Server DERP hanya meneruskan trafik yang sudah dienkripsi dari satu perangkat ke perangkat lain tanpa memprosesnya."

Relay tetap mengurangi kecepatan dan dapat mengamati metadata: dua endpoint yang terenkripsi, serta waktu dan volume data yang melewati koneksi tersebut. Cari tahu jenis koneksi yang sebenarnya Anda gunakan:

tailscale status
tailscale netcheck

tailscale status menandai setiap peer sebagai direct, yang ditampilkan sebagai direct 203.0.113.10:41641, atau relayed, yang ditampilkan sebagai relay diikuti nama relay, lalu penghitung byte. Jika sebuah peer tetap menggunakan relay, berarti kedua ujung koneksi tidak dapat membangun jalur langsung. Penyebabnya biasanya UDP diblokir di suatu tempat atau kedua sisi berada di balik NAT (network address translation) yang ketat. tailscale netcheck melaporkan apakah UDP dapat digunakan sama sekali dari mesin tersebut, bagaimana NAT memetakan port, dan latensi ke relay terdekat. Informasi ini menunjukkan penyebab mana yang sedang terjadi. Jika sebuah peer sudah menggunakan koneksi direct tetapi throughput tetap mengecewakan, relay bukan masalahnya. Dalam kondisi ini, ketidaksesuaian MTU jalur biasanya menjadi penyebab lambatnya WireGuard.

Node exit memindahkan jalur keluar Anda, bukan menghilangkannya

Node exit merutekan seluruh trafik Internet publik dari sebuah perangkat melalui perangkat lain di tailnet, menggunakan rute default 0.0.0.0/0 dan ::/0. Di Linux, mesin yang menyediakan layanan ini mengiklankannya, lalu setiap klien memilih untuk menggunakannya:

sudo tailscale set --advertise-exit-node
sudo tailscale set --exit-node=100.101.102.103
sudo tailscale set --exit-node=100.101.102.103 --exit-node-allow-lan-access=true
sudo tailscale set --exit-node=

Node exit harus disetujui oleh Owner, Admin, atau Network admin di konsol admin, dan kebijakan Anda harus memberikan autogroup:internet sebelum klien dapat menggunakannya. Kedua langkah ini disengaja: mesin yang belum disetujui tidak dapat diam-diam menjadi jalur keluar untuk seluruh tailnet Anda. Gerbang persetujuan yang sama berlaku untuk rute subnet. Jadi, mesin yang mengiklankan rentang privat tidak akan aktif sampai admin menerimanya. Ini merupakan hambatan pertama dalam mengiklankan jaringan privat ke tailnet Anda dari VPS.

Sekarang, pertimbangkan masalah kepercayaan. Trafik dienkripsi dari laptop Anda ke node exit. Setelah itu, trafik keluar dari mesin tersebut sebagai trafik Internet biasa dan menggunakan alamat IP mesin tersebut. Jadi, operator node exit dapat melihat tujuan Anda. Penyedia hosting mesin tersebut dan jaringan upstream-nya juga dapat melihatnya. Anda memindahkan titik pemantauan, bukan menghapusnya. Ini merupakan pertukaran yang baik jika Anda mengendalikan sisi tujuan, yang menjadi alasan untuk menjalankan node exit sendiri pada VPS, tetapi merupakan pilihan yang buruk jika Anda tidak mengendalikannya.

Kebijakan default adalah jaringan datar

Tailnet baru menggunakan kebijakan permisif. Dokumentasi kontrol akses Tailscale menyatakan bahwa file kebijakan default “mengaktifkan komunikasi antara semua perangkat dalam tailnet”. Setiap perangkat dapat menjangkau perangkat lain pada semua port. Inilah jaringan datar. Anda memang memindahkannya ke dalam tunnel, sehingga terlindung dari pihak luar, tetapi hal itu tidak membantu jika laptop terinfeksi.

Perketat kebijakan tersebut dalam file kebijakan tailnet, yang menerima access control list (ACL) atau grants yang lebih baru. Keduanya ditulis dalam dialek JSON yang mengizinkan komentar:

{
  "acls": [
    {"action": "accept", "src": ["group:eng"], "dst": ["tag:prod:22"]},
    {"action": "accept", "src": ["autogroup:member"], "dst": ["autogroup:internet:*"]}
  ]
}

Kebijakan tersebut mengizinkan satu grup mengakses SSH pada server produksi, mengizinkan anggota menggunakan exit node, dan menolak akses lainnya karena tidak dicantumkan. Tailscale mencantumkan target aturan yang tersedia pada setiap plan. Periksa informasi tersebut sebelum merancang kebijakan berdasarkan tags atau autogroups, dan lihat isi plan gratis yang sebenarnya. Untuk perangkat yang tidak boleh menerima koneksi masuk sama sekali, seperti ponsel pribadi, tailscale set --shields-up memblokir koneksi tersebut pada client.

Perubahan akibat self-hosting control plane dengan Headscale

Headscale adalah "implementasi open source dan self-hosted dari server control Tailscale." README-nya menjelaskan cakupannya secara jelas: "Implementasinya memiliki cakupan terbatas, yaitu satu jaringan Tailscale (tailnet), yang sesuai untuk penggunaan pribadi atau organisasi open source kecil." Daftar fiturnya mencakup ACL dan grants, subnet router, exit node, server DERP tertanam, Tailscale SSH, dan Taildrop. Jika cakupan terbatas ini menjadi kendala, NetBird adalah mesh lain yang menyediakan control plane yang dapat di-host sendiri, dan menjalankan server NetBird pada VPS milik sendiri memindahkan keputusan enrolment yang sama ke perangkat keras yang Anda miliki.

Yang berubah adalah identitas pihak yang dapat mendaftarkan node ilegal. Dengan Headscale, direktori key dan kebijakan berada di server Anda. Tidak ada pihak ketiga yang menyimpan daftar public key perangkat Anda, dan tidak ada pihak ketiga yang dapat dipaksa untuk menyerahkan atau menandatangani salah satunya.

Yang tidak berubah adalah data plane. WireGuard tetap digunakan dengan enkripsi end-to-end yang sama dan fallback relay yang sama ketika jalur langsung tidak memungkinkan. Anda juga mengambil alih pekerjaan yang sebelumnya dilakukan Tailscale: pemantauan uptime, patching, backup, dan keamanan fisik server. Jika server tersebut adalah VPS sewaan, aspek terakhir itu bergantung pada jaminan pihak lain, bukan kendali Anda, karena hypervisor dapat membaca memori guest beserta direktori key, kecuali perangkat kerasnya mendukung memori terenkripsi yang dapat Anda attest. Host Headscale yang breached memberi penyerang kemampuan yang sama seperti server koordinasi yang breached, yaitu mendaftarkan node dan mendistribusikan kebijakan. Tailnet lock tidak termasuk dalam daftar fitur Headscale, sehingga kontrol kompensasi untuk risiko khusus tersebut tidak tersedia di sana. Biaya juga mendorong sebagian tailnet ke pilihan yang sama, karena Tailscale mengenakan biaya per pengguna, bukan per perangkat dan perhitungannya berubah segera setelah tim kecil melampaui paket gratis. Jika pertanyaan tentang kepemilikan menjadi faktor penentu bagi Anda, self-hosting control plane dengan Headscale menjelaskan langkah-langkah penyiapannya.

Perlindungan yang diberikan Tailscale

• Port publik yang terbuka. Service yang terikat ke alamat tailnet tidak dapat dijangkau dari Internet. Karena itu, pemindai yang mengakses setiap VPS pada port 22 tidak akan menemukannya. Pengecualiannya adalah fitur yang Anda aktifkan sendiri. Funnel sengaja memublikasikan service tailnet ke Internet terbuka. Karena itu, pahami batas antara serve dan funnel sebelum menjalankan salah satu perintah tersebut. Tetap gunakan firewall host. Port Docker yang dipublikasikan membuat aturannya sendiri dan melewati ufw pada interface publik.
• Upaya menebak password pada login yang terekspos. Tidak ada yang dapat diserang dengan percobaan password massal jika port hanya merespons dari dalam tunnel. Ini lebih aman daripada hanya menerapkan rate limiting pada port terbuka. Namun, fail2ban pada Ubuntu 24.04 tetap layak dijalankan pada layanan yang harus tetap publik.
• Jaringan tidak tepercaya di sepanjang jalur. Trafik antara mesin Anda dienkripsi secara end-to-end melalui jaringan kafe atau LAN provider bersama. Trafik tetap terenkripsi saat diteruskan melalui relay.
• Distribusi key yang dikelola secara manual. Setiap peer yang ditambahkan secara manual ke konfigurasi WireGuard berisiko menggunakan kembali alamat atau menempelkan key yang salah. Mesh mengelola pencatatan tersebut untuk Anda. Inilah sebagian besar perbedaan praktis antara WireGuard dan Tailscale.

Hal yang tidak dilindungi Tailscale

• Endpoint yang telah dibobol. Tailnet mempercayai perangkat. Malware pada laptop yang disetujui mendapatkan tunnel, alamat tailnet, dan semua akses yang diberikan kebijakan kepada pengguna tersebut. Ini adalah celah terbesar, dan tidak ada VPN yang dapat menutupnya.
• Administrator yang berbahaya atau ceroboh. Siapa pun yang dapat mengedit file kebijakan dapat memberikan akses kepada dirinya sendiri ke apa pun. Siapa pun yang dapat mengambil alih akun identitas Owner juga dapat melakukan hal yang sama. Tinjau perubahan kebijakan seperti Anda meninjau kode.
• Analisis trafik. ISP (internet service provider) Anda dapat melihat paket UDP terenkripsi yang mengalir ke suatu endpoint, beserta waktu dan volumenya. Log aliran Tailscale menunjukkan peer yang berkomunikasi dan waktunya. Keduanya tidak dapat melihat isi komunikasi, tetapi fakta bahwa koneksi terjadi tidak disembunyikan. Karena itu, baca perbedaan Tor dan VPN sebelum memilih alat untuk kebutuhan tersebut.
• Perangkat yang sudah tidak berada dalam kendali Anda. Kedaluwarsa kunci merupakan perlindungan cadangan yang lambat, dengan default 180 hari. Menghapus perangkat di konsol admin adalah langkah cepat. Karena itu, ketahui lokasi tombol tersebut sebelum Anda membutuhkannya.

Periksa tailnet Anda sendiri

1. Jalankan tailscale status pada suatu perangkat, lalu baca daftar peer. Mesin yang tidak dapat Anda identifikasi merupakan situasi yang hendak dicegah oleh persetujuan perangkat.
2. Jalankan tailscale lock status untuk mengetahui apakah tailnet lock diaktifkan, lalu tentukan apakah biaya penandatanganan setiap perangkat baru sepadan untuk tailnet Anda.
3. Buka konsol admin dan catat setiap mesin yang menonaktifkan kedaluwarsa kunci, serta setiap kunci autentikasi yang dapat digunakan kembali dan masih ada. Keduanya merupakan kredensial tanpa batas waktu.
4. Baca file kebijakan Anda. Jika file tersebut masih menggunakan default, setiap perangkat dapat menjangkau setiap perangkat lain pada semua port, dan satu laptop yang terinfeksi dapat menjangkau semuanya.

Tailscale mendapatkan reputasinya pada data plane, karena desainnya tidak memberi operator cara untuk membaca trafik Anda. Terima klaim tersebut sebagaimana didokumentasikan oleh vendor, lalu audit bagian yang menjadi tanggung jawab Anda: akun identitas, pengaturan persetujuan, daftar kedaluwarsa, dan file kebijakan. Halaman keamanan Tailscale menyatakan bahwa Tailscale memiliki sertifikasi SOC 2 Type II dan melakukan pekerjaan keamanan berkelanjutan bersama Latacora. Hal ini menjadi bukti tentang proses mereka, bukan pernyataan tentang konfigurasi Anda.

FAQ

Apakah Tailscale dapat membaca trafik saya?

Tidak. Trafik dienkripsi dengan kunci WireGuard yang dibuat di perangkat Anda. Halaman keamanan Tailscale menyatakan bahwa "Private keys never leave the device. All traffic is end-to-end encrypted, always." Hal ini juga berlaku pada koneksi yang beralih ke relay DERP, karena relay tersebut "blindly forwards already-encrypted traffic from one device to another" dan tidak memiliki kunci untuk mendekripsinya. Infrastruktur Tailscale dapat melihat metadata: perangkat yang ada, serta perangkat mana yang terhubung satu sama lain dan kapan koneksi tersebut terjadi.

Apa yang sebenarnya dapat dilakukan server koordinasi Tailscale yang telah dibobol?

Server tersebut dapat mendaftarkan sebuah node. Pengumuman tailnet lock dari Tailscale sendiri menjelaskan risiko adanya node yang ditambahkan secara diam-diam dan dapat "send or receive traffic to your existing nodes". Enkripsi tidak mencegah hal ini "because the peer itself would be malicious". Control plane yang telah dibobol juga dapat mendistribusikan kebijakan yang mengubah perangkat yang dapat dijangkau. White paper tailnet lock mencatat bahwa server tersebut juga dapat memutus konektivitas dengan tidak mendistribusikan kunci node baru. Namun, server tersebut tidak dapat mendekripsi trafik antara perangkat Anda yang sudah ada, karena tidak pernah memegang kunci privat perangkat tersebut.

Apakah exit node menyembunyikan aktivitas penelusuran saya dari ISP?

Exit node menyembunyikan tujuan koneksi dari jaringan tempat Anda terhubung, termasuk ISP rumah atau kafe Anda. Semua trafik keluar dari perangkat sebagai trafik terenkripsi yang ditujukan ke exit node. Namun, exit node tidak membuat Anda anonim. Exit node dapat melihat tujuan tersebut. Penyedia hosting dan jaringan upstream-nya juga dapat melihatnya. Situs yang Anda kunjungi akan melihat alamat IP exit node. Anda hanya memindahkan pihak yang dapat mengamati aktivitas Anda, jadi pilih pihak yang benar-benar Anda percaya.

Apakah Headscale lebih aman daripada server koordinasi Tailscale?

Headscale merupakan pilihan kepercayaan yang berbeda, bukan pilihan yang secara mutlak lebih aman. Dengan Headscale, Anda mengelola direktori kunci dan kebijakan sendiri. Karena itu, pihak luar tidak dapat dipaksa untuk mendaftarkan perangkat ke tailnet Anda. Namun, Anda juga harus mengelola server tersebut, termasuk patch, ketersediaan, backup, dan keamanan host itu sendiri. Host Headscale yang telah dibobol memberi penyerang kemampuan pendaftaran yang sama seperti server koordinasi yang telah dibobol. Tailnet lock juga tidak tercantum dalam daftar fitur Headscale. Karena itu, lindungi host tersebut dengan semestinya.

Apakah saya masih memerlukan firewall pada VPS yang berada di tailnet?

Ya. Antarmuka jaringan publik tetap ada. Service apa pun yang terikat ke 0.0.0.0 tetap dapat dijangkau dari internet, terlepas dari Tailscale sedang berjalan atau tidak. Ikat service ke alamat tailnet, gunakan kebijakan default deny pada antarmuka publik, dan periksa port container yang dipublikasikan. Docker memasukkan aturan firewall-nya sendiri dan dapat membuka port yang Anda kira sudah tertutup.