Apakah Tailscale Aman? Memahami Model Kepercayaannya

Apakah Tailscale aman? Jawaban singkat

Apakah Tailscale aman? Untuk hal yang paling dikhawatirkan kebanyakan orang, jawabannya ya: server koordinasi yang menjalankan tailnet Anda tidak pernah menyimpan kunci privat yang mengenkripsi trafik Anda, sehingga server tersebut tidak dapat membaca data yang dikirim antarperangkat Anda. Halaman keamanan Tailscale menyatakannya secara langsung: "Kunci privat tidak pernah meninggalkan perangkat. Semua trafik dienkripsi secara end-to-end, selalu." Namun, pertanyaan yang lebih relevan berbeda. Server koordinasi yang dibobol atau diwajibkan menyerahkan data berdasarkan perintah hukum tidak perlu membaca paket Anda. Server tersebut menentukan kunci publik mana yang dipercaya perangkat Anda, sehingga dapat mendaftarkan perangkat yang tidak pernah Anda setujui.

Itulah model kepercayaannya dalam satu kalimat: enkripsi melindungi data, sedangkan control plane menentukan keanggotaan. Setiap bagian di bawah ini menjelaskan satu pihak yang harus Anda percaya, menyebutkan tindakan yang benar-benar dapat dilakukan pihak tersebut, dan memberikan kontrol untuk membatasinya. Jika produk ini masih baru bagi Anda, mulai dengan apa itu Tailscale dan cara kerja mesh-nya.

Bidang kontrol dan bidang data terpisah

Tailscale adalah mesh VPN (virtual private network) yang dibangun di atas WireGuard, yaitu protokol yang sama dengan yang akan Anda konfigurasi secara manual pada VPS WireGuard yang di-host sendiri. Setiap perangkat membuat pasangan kunci WireGuard-nya sendiri secara lokal. Dalam tulisan how it works, Tailscale menyebut server koordinasi sebagai "kotak drop bersama untuk kunci publik" dan menyatakan bahwa "Kunci privat tidak pernah meninggalkan node-nya."

Bidang data adalah trafik terenkripsi antara perangkat Anda. Trafik ini berjalan langsung dari satu perangkat ke perangkat lain jika jaringan mengizinkannya. Bidang kontrol mencakup hal-hal lainnya: perangkat yang menjadi bagian dari tailnet, kunci publik yang terkait dengan setiap perangkat, kebijakan akses, pengaturan DNS, dan daftar relay. Tailscale menjalankan bidang kontrol sebagai layanan ter-host. Anda menjalankan bidang data pada mesin Anda sendiri.

Pisahkan kedua bidang tersebut agar setiap pertanyaan keamanan di sini dapat dijawab. Enkripsi merupakan properti bidang data. Keanggotaan merupakan keputusan bidang kontrol. Enkripsi sebanyak apa pun tidak dapat menentukan siapa yang diizinkan menjadi peer.

Apa yang dapat dilakukan server koordinasi yang telah dibobol?

Server tersebut tidak dapat mendekripsi trafik Anda. Kunci yang digunakan untuk enkripsi dibuat pada perangkat Anda dan tidak pernah diunggah. Karena itu, tidak ada kunci yang dapat disita atau bocor untuk membuka tunnel. Hal ini juga berlaku untuk trafik yang diteruskan melalui relay, yang dibahas lebih lanjut di bawah.

Server tersebut dapat mendaftarkan sebuah node. Saat Tailscale mengumumkan tailnet lock, perusahaan itu menjelaskan risikonya dengan kata-katanya sendiri: server berbahaya dapat "use a secretly-added node to send or receive traffic to your existing nodes", dan pada titik itu "it wouldn't matter that the traffic is encrypted because the peer itself would be malicious". Perangkat Anda mempercayai sebuah peer karena control plane memberi tahu perangkat tersebut bahwa kunci itu merupakan bagian dari tailnet.

Server tersebut dapat mengubah tujuan yang boleh diakses perangkat Anda. Kebijakan akses berada di control plane dan didistribusikan ke node. White paper tailnet lock Tailscale menyatakan bahwa tailnet lock "does not prevent a compromised control plane from breaking connectivity in your network, such as by failing to distribute new node keys, or distributing an access control policy which denies access to all nodes."

Server tersebut dapat melihat metadata koneksi dan mencatatnya. Log aliran jaringan Tailscale dinonaktifkan secara default dan hanya tersedia pada paket Premium dan Enterprise. Setelah admin mengaktifkannya, log tersebut mencatat penghitung trafik yang dikumpulkan dalam interval 5 detik: protokol, sumber, tujuan, serta jumlah paket dan byte pada setiap arah. Hanya koneksi yang berhasil yang dicatat. Detail terperinci tentang setiap koneksi sengaja tidak dikumpulkan. Dokumentasi logging Tailscale menyatakan bahwa log tersebut "strictly do not contain any information about client operations or contents of network traffic". Jadi, jika flow log diaktifkan, Tailscale dapat mengetahui perangkat mana yang berkomunikasi dengan perangkat mana dan kapan. Tailscale tidak mengetahui isi komunikasinya.

Hanya satu hal dalam daftar tersebut yang berkaitan dengan enkripsi. Hal lainnya berkaitan dengan siapa yang menjadi anggota dan isi kebijakan. Karena itu, kontrol yang perlu Anda perhatikan adalah kontrol yang mengatur pendaftaran node.

Penyedia identitas Anda adalah akar kepercayaan untuk tailnet

Tailscale tidak memiliki database kata sandi sendiri. Dokumentasinya menyatakan dengan jelas bahwa tidak ada kata sandi Tailscale, dan proses login didelegasikan kepada penyedia identitas (IdP): Apple, Google, GitHub, Microsoft, Okta, OneLogin, atau penyedia OpenID Connect kustom.

Pahami ini sebagai pernyataan keamanan karena memang demikian. Siapa pun yang dapat login ke akun Google atau Microsoft Anda dapat login ke tailnet Anda. Autentikasi multifaktor (MFA) Anda bergantung pada kebijakan yang diterapkan IdP. Proses offboarding Anda bergantung pada tindakan IdP ketika seseorang keluar. Akun IdP yang berhasil dipancing melalui phishing menjadi akun tailnet, dan penyerang tidak perlu menyerang WireGuard: mereka cukup menambahkan perangkat dan memperoleh semua hak yang diberikan kebijakan kepada pengguna tersebut.

Ada dua kontrol yang menjadi pembatas antara akun identitas yang dicuri dan perangkat yang dapat digunakan di dalam tailnet Anda: persetujuan perangkat dan kedaluwarsa kunci. Tailnet lock adalah kontrol ketiga yang menargetkan control plane, bukan akun.

Persetujuan perangkat: tidak ada perangkat yang bergabung sampai seseorang menyetujuinya

Dokumentasi Tailscale menjelaskan persetujuan perangkat sebagai fitur yang “memungkinkan administrator jaringan Tailscale meninjau dan menyetujui perangkat baru sebelum perangkat tersebut dapat bergabung ke jaringan Tailscale Anda”. Owner, Admin, atau admin IT dapat memberikan persetujuan. Perangkat baru menampilkan lencana “Needs approval” pada halaman Machines sampai seseorang menindaklanjutinya.

Aktifkan fitur ini agar skenario akun yang dicuri berubah. Penyerang masuk, perangkat terdaftar, lalu perangkat tersebut menunggu dan tidak dapat mengakses apa pun. Pada saat yang sama, konsol admin Anda menampilkan lencana yang memberi tahu bahwa mesin yang tidak Anda kenali sedang meminta izin untuk bergabung. Otomatisasi tetap berfungsi karena auth key dapat ditandai sebagai telah disetujui sebelumnya saat dibuat. Perangkat juga dapat disetujui melalui API, termasuk menggunakan webhook yang menyetujui perangkat secara otomatis jika perangkat tersebut memenuhi kriteria yang Anda tentukan, misalnya tercantum dalam registri perangkat internal. Setiap metode tersebut melewati peninjauan manual. Karena itu, pre-approved key atau aturan persetujuan harus diamankan dengan tingkat kehati-hatian yang sama seperti tombol persetujuan.

Auth key adalah jalur masuk lainnya, jadi perlakukan sebagai kredensial. Dokumentasi Tailscale menjelaskan secara tegas risiko jenis tertentu: “Berhati-hatilah dengan reusable key! Kunci ini dapat sangat berbahaya jika dicuri. Sebaiknya simpan kunci tersebut di produk key vault yang dirancang khusus untuk tujuan ini.” Per Oktober 2026, rentang masa berlaku key yang didokumentasikan adalah 1 hingga 90 hari. Jika masa berlaku tidak ditentukan, nilai default-nya adalah maksimum 90 hari. Utamakan one-off key, tandai sebagai ephemeral untuk mesin yang sering muncul dan menghilang, serta simpan setiap reusable key dalam keadaan terenkripsi dengan Ansible Vault atau di secrets manager, bukan dalam shell script.

Masa berlaku kunci: pengatur waktu yang membatasi semua kesalahan lainnya

Kunci node memiliki masa berlaku. Inilah yang mengubah perangkat yang dicuri atau terlupakan menjadi masalah sementara. Dokumentasi Tailscale menyatakan bahwa “Secara default, domain baru ditetapkan dengan masa berlaku 180 hari” dan “Jika autentikasi ulang tidak dilakukan, kunci akan kedaluwarsa dan koneksi ke/dari endpoint tersebut akan berhenti berfungsi.” Anda dapat melakukan autentikasi ulang perangkat sendiri:

tailscale up --force-reauth

Dokumentasi memperingatkan bahwa tindakan ini “mungkin memutus koneksi tailnet sehingga tidak boleh dilakukan dari jarak jauh melalui SSH atau RDP tanpa cara alternatif untuk login jika koneksi terputus.” Jalankan perintah tersebut saat akses konsol tetap terbuka, atau melalui jalur kedua ke mesin, karena Anda akan memutus jaringan yang sedang digunakan.

Server adalah tempat kontrol ini sering dikecualikan. Mesin yang harus melakukan autentikasi ulang setiap 180 hari akan terputus dari tailnet pada pukul 3 pagi ketika tidak ada orang yang memantaunya, sehingga administrator menonaktifkan masa berlaku kunci pada mesin tersebut. Tindakan ini menghapus pengatur waktu yang pada akhirnya akan memutus kunci yang dicuri. Perangkat bertag adalah pilihan yang lebih tepat untuk server, karena tag mengaitkan mesin dengan peran, bukan dengan seseorang. Dengan demikian, mesin tetap dapat digunakan ketika orang tersebut meninggalkan perusahaan. Apa pun keputusan Anda, simpan daftar mesin yang menonaktifkan masa berlaku kunci. Kunci tersebut tetap valid sampai Anda menghapus perangkatnya.

Tailnet lock: mengeluarkan server koordinasi dari rantai kepercayaan

Tailnet lock menangani masalah enrolmen secara langsung. Dokumentasi tailnet lock Tailscale menjelaskan mekanismenya: "Saat node baru bergabung dengan tailnet, kunci node publiknya memerlukan tanda tangan dari kunci Tailnet Lock. Server koordinasi mendistribusikan kunci node publik yang telah ditandatangani ke node peer." Perangkat yang sudah ada memverifikasi tanda tangan tersebut sebelum menerima peer, sehingga kunci node yang dibuat sendiri oleh control plane akan ditolak.

tailscale lock status
tailscale lock sign nodekey:1abddef1 tlpub:abcdef12

tailscale lock init mengaktifkan fitur ini, dan pada saat itu Anda menentukan node penanda tangan. Alur pengaktifan di konsol admin meminta Anda memilih setidaknya dua node penanda tangan, sedangkan referensi CLI Tailscale menunjukkan bahwa tailscale lock init dapat dijalankan dengan satu kunci tepercaya, yang harus mencakup kunci node tempat Anda menjalankan perintah tersebut. Sebuah tailnet dapat memiliki paling banyak 20 node penanda tangan. Setelah itu, setiap perangkat baru memerlukan tanda tangan dari salah satu node tersebut. Ini menambah beban operasional yang nyata: untuk menambahkan ponsel, Anda harus menjalankan perintah pada laptop.

Batasannya terdokumentasi dan lebih penting daripada deskripsi fiturnya:

• Jika secret penonaktifan hilang, tidak ada pemulihan. Dokumentasi menyatakan, "Jika secret penonaktifan Anda hilang dan Anda tidak memberikannya kepada dukungan Tailscale, tailnet tidak dapat dipulihkan."
• Kunci penanda tangan berada pada perangkat yang Anda miliki, sehingga keamanannya bergantung pada keamanan perangkat tersebut. Dokumentasi menyatakannya secara eksplisit: "Jika perangkat disusupi, kunci tersebut dapat diperoleh."
• Anda tidak dapat menjalankan kedua kontrol tersebut secara bersamaan. Tailscale menyatakan bahwa tailnet lock dan persetujuan perangkat saling eksklusif. Mengaktifkan salah satunya berarti menonaktifkan yang lain.
• Mekanismenya adalah trust on first use (TOFU). Penyiapan awal tetap melewati control plane, dan jangkar kepercayaan baru berpindah ke jaringan Anda sendiri setelah langkah pertama tersebut.

Tailnet lock melindungi keanggotaan. Fitur ini tidak melindungi ketersediaan, dan white paper menyatakannya demikian.

Apakah koneksi relay mengekspos trafik saya?

Tidak. Jika dua perangkat tidak dapat saling menjangkau secara langsung, trafik akan dialihkan melalui server DERP (Designated Encrypted Relay for Packets). Dokumentasi Tailscale menjelaskan hal ini secara tegas: "Because Tailscale private keys never leave the local device that generated them, it's impossible for a DERP server to decrypt your traffic. A DERP server blindly forwards already-encrypted traffic from one device to another."

Relay tetap mengurangi kecepatan, dan mengamati metadata: dua endpoint terenkripsi, serta waktu dan volume data yang melintas di antaranya. Cari tahu jenis koneksi yang sebenarnya Anda gunakan:

tailscale status
tailscale netcheck

tailscale status hanya menampilkan tipe koneksi untuk peer yang aktif. Peer aktif ditampilkan sebagai direct ditambah alamat yang berhasil dijangkaunya, seperti direct 203.0.113.10:41641, sebagai relay ditambah nama relay dalam tanda kutip, seperti relay "fra", atau sebagai peer-relay ditambah alamat peer relay, dengan penghitung byte tx dan rx setelahnya ketika trafik sudah mengalir. Peer tidak aktif menampilkan idle, offline, atau hanya -, tanpa penanda koneksi langsung atau relay sama sekali. Karena itu, kirimkan trafik terlebih dahulu sebelum membaca baris tersebut. Peer yang tetap menggunakan relay berarti kedua ujung koneksi tidak dapat membangun jalur langsung. Biasanya, UDP diblokir di suatu tempat atau kedua sisi berada di balik NAT (network address translation) yang ketat. tailscale netcheck melaporkan apakah UDP dapat digunakan sama sekali dari mesin tersebut, cara NAT memetakan port, dan latensi ke relay terdekat. Informasi ini menunjukkan penyebab mana yang sedang terjadi. Traversal NAT yang sama, yang menentukan pilihan antara jalur langsung dan relay, juga membuat NAS rumahan atau Raspberry Pi tidak memerlukan port router yang diteruskan sama sekali. menggunakan Tailscale sebagai pengganti penerusan port menjelaskan cara kerjanya dan keterbatasannya. Jika peer sudah menggunakan koneksi langsung tetapi throughput masih mengecewakan, relay bukan penyebabnya. ketidakcocokan MTU jalur biasanya menjadi penyebab lambatnya WireGuard.

Node keluar memindahkan titik egress Anda, bukan menghilangkannya

Node keluar merutekan seluruh trafik Internet publik dari sebuah perangkat melalui perangkat lain di tailnet, menggunakan rute default 0.0.0.0/0 dan ::/0. Di Linux, mesin yang menyediakan layanan ini mengiklankannya, dan setiap klien memilih untuk menggunakannya:

sudo tailscale set --advertise-exit-node
sudo tailscale set --exit-node=100.101.102.103
sudo tailscale set --exit-node=100.101.102.103 --exit-node-allow-lan-access=true
sudo tailscale set --exit-node=

Node keluar harus disetujui oleh Owner, Admin, atau Network admin di konsol admin sebelum siapa pun dapat merutekan trafik melaluinya, kecuali kebijakan Anda mencantumkan pengguna yang mengautentikasi perangkat tersebut dalam autoApprovers untuk node keluar. Dalam hal ini, node tersebut disetujui secara otomatis. Setelah disetujui, dokumentasi node keluar Tailscale menyatakan bahwa secara default setiap pengguna di tailnet Anda dapat menggunakannya, tanpa memerlukan grant atau ACL. Hal ini berubah segera setelah Anda menyesuaikan kebijakan kontrol akses: sejak saat itu, klien hanya dapat menggunakan node keluar jika sebuah grant atau ACL memiliki autogroup:internet sebagai dst. Langkah persetujuan ini memang disengaja: mesin yang belum disetujui tidak dapat diam-diam menjadi jalur keluar bagi seluruh tailnet Anda. Karena itu, perlakukan setiap entri autoApprovers sebagai persetujuan permanen dari admin. Gerbang persetujuan yang sama berlaku untuk rute subnet. Jadi, mesin yang mengiklankan rentang privat akan tetap tidak aktif sampai admin menerimanya. Ini merupakan rintangan pertama dalam mengiklankan jaringan privat ke tailnet dari VPS.

Sekarang, pertimbangkan masalah kepercayaan. Trafik dienkripsi dari laptop Anda ke node keluar. Setelah itu, trafik keluar dari mesin tersebut sebagai trafik Internet biasa dan membawa alamat IP mesin tersebut. Jadi, operator node keluar dapat melihat tujuan Anda. Penyedia hosting mesin tersebut dan jaringan upstream-nya juga dapat melihatnya. Anda memindahkan titik pemantauan, bukan menghapusnya. Ini merupakan kompromi yang baik jika Anda mengendalikan sisi tujuan, seperti dijelaskan dalam menjalankan node keluar sendiri pada VPS, dan merupakan pilihan yang buruk jika Anda tidak mengendalikannya. Jika Anda masih mempertimbangkan apakah benar-benar memerlukan node keluar, apa yang disembunyikan Tailscale dengan dan tanpa node keluar menjelaskan hal-hal yang dapat dilihat situs web dan ISP Anda pada setiap konfigurasi.

Kebijakan default adalah jaringan datar

Tailnet baru menggunakan kebijakan permisif. Dokumentasi kontrol akses Tailscale menyatakan bahwa file kebijakan default “mengaktifkan komunikasi antara semua perangkat dalam tailnet”. Setiap perangkat dapat menjangkau perangkat lain pada semua port. Inilah jaringan datar. Anda memang memindahkannya ke dalam tunnel, sehingga terlindung dari pihak luar, tetapi hal itu tidak membantu jika laptop terinfeksi.

Perketat kebijakan tersebut dalam file kebijakan tailnet, yang menerima access control list (ACL) atau grants yang lebih baru. Keduanya ditulis dalam dialek JSON yang mengizinkan komentar:

{
  "acls": [
    {"action": "accept", "src": ["group:eng"], "dst": ["tag:prod:22"]},
    {"action": "accept", "src": ["autogroup:member"], "dst": ["autogroup:internet:*"]}
  ]
}

Kebijakan tersebut mengizinkan satu grup mengakses SSH pada server produksi, mengizinkan anggota menggunakan exit node, dan menolak akses lainnya karena tidak dicantumkan. Tailscale mencantumkan target aturan yang tersedia pada setiap plan. Periksa informasi tersebut sebelum merancang kebijakan berdasarkan tags atau autogroups, dan lihat isi plan gratis yang sebenarnya. Untuk perangkat yang tidak boleh menerima koneksi masuk sama sekali, seperti ponsel pribadi, tailscale set --shields-up memblokir koneksi tersebut pada client.

Perubahan akibat self-hosting control plane dengan Headscale

Headscale adalah "implementasi open source dan self-hosted dari server control Tailscale." README-nya menjelaskan cakupannya secara jelas: "Implementasinya memiliki cakupan terbatas, yaitu satu jaringan Tailscale (tailnet), yang sesuai untuk penggunaan pribadi atau organisasi open source kecil." Daftar fiturnya mencakup ACL dan grants, subnet router, exit node, server DERP tertanam, Tailscale SSH, dan Taildrop. Jika cakupan terbatas ini menjadi kendala, NetBird adalah mesh lain yang menyediakan control plane yang dapat di-host sendiri, dan menjalankan server NetBird pada VPS milik sendiri memindahkan keputusan enrolment yang sama ke perangkat keras yang Anda miliki.

Yang berubah adalah identitas pihak yang dapat mendaftarkan node ilegal. Dengan Headscale, direktori key dan kebijakan berada di server Anda. Tidak ada pihak ketiga yang menyimpan daftar public key perangkat Anda, dan tidak ada pihak ketiga yang dapat dipaksa untuk menyerahkan atau menandatangani salah satunya.

Yang tidak berubah adalah data plane. WireGuard tetap digunakan dengan enkripsi end-to-end yang sama dan fallback relay yang sama ketika jalur langsung tidak memungkinkan. Anda juga mengambil alih pekerjaan yang sebelumnya dilakukan Tailscale: pemantauan uptime, patching, backup, dan keamanan fisik server. Jika server tersebut adalah VPS sewaan, aspek terakhir itu bergantung pada jaminan pihak lain, bukan kendali Anda, karena hypervisor dapat membaca memori guest beserta direktori key, kecuali perangkat kerasnya mendukung memori terenkripsi yang dapat Anda attest. Host Headscale yang breached memberi penyerang kemampuan yang sama seperti server koordinasi yang breached, yaitu mendaftarkan node dan mendistribusikan kebijakan. Tailnet lock tidak termasuk dalam daftar fitur Headscale, sehingga kontrol kompensasi untuk risiko khusus tersebut tidak tersedia di sana. Biaya juga mendorong sebagian tailnet ke pilihan yang sama, karena Tailscale mengenakan biaya per pengguna, bukan per perangkat dan perhitungannya berubah segera setelah tim kecil melampaui paket gratis. Jika pertanyaan tentang kepemilikan menjadi faktor penentu bagi Anda, self-hosting control plane dengan Headscale menjelaskan langkah-langkah penyiapannya.

Perlindungan yang diberikan Tailscale

• Port publik yang terbuka. Service yang terikat ke alamat tailnet tidak dapat dijangkau dari Internet. Karena itu, pemindai yang mengakses setiap VPS pada port 22 tidak akan menemukannya. Pengecualiannya adalah fitur yang Anda aktifkan sendiri. Funnel sengaja memublikasikan service tailnet ke Internet terbuka. Karena itu, pahami batas antara serve dan funnel sebelum menjalankan salah satu perintah tersebut. Tetap gunakan firewall host. Port Docker yang dipublikasikan membuat aturannya sendiri dan melewati ufw pada interface publik.
• Upaya menebak password pada login yang terekspos. Tidak ada yang dapat diserang dengan percobaan password massal jika port hanya merespons dari dalam tunnel. Ini lebih aman daripada hanya menerapkan rate limiting pada port terbuka. Namun, fail2ban pada Ubuntu 24.04 tetap layak dijalankan pada layanan yang harus tetap publik.
• Jaringan tidak tepercaya di sepanjang jalur. Trafik antara mesin Anda dienkripsi secara end-to-end melalui jaringan kafe atau LAN provider bersama. Trafik tetap terenkripsi saat diteruskan melalui relay.
• Distribusi key yang dikelola secara manual. Setiap peer yang ditambahkan secara manual ke konfigurasi WireGuard berisiko menggunakan kembali alamat atau menempelkan key yang salah. Mesh mengelola pencatatan tersebut untuk Anda. Inilah sebagian besar perbedaan praktis antara WireGuard dan Tailscale.

Hal yang tidak dilindungi Tailscale

• Endpoint yang telah disusupi. Tailnet mempercayai perangkat. Malware pada laptop yang disetujui dapat mengakses tunnel, alamat tailnet, dan semua hal yang diizinkan kebijakan untuk pengguna tersebut. Ini adalah celah terbesar, dan tidak ada VPN yang dapat menutupnya.
• Administrator yang berbahaya atau lalai. Siapa pun yang dapat mengedit file kebijakan dapat memberikan akses kepada dirinya sendiri ke apa pun. Siapa pun yang dapat mengambil alih akun identitas Owner dapat melakukan hal yang sama. Tinjau perubahan kebijakan seperti Anda meninjau kode.
• Analisis trafik. ISP (internet service provider) Anda dapat melihat UDP terenkripsi yang mengalir ke sebuah endpoint, beserta waktu dan volumenya. Log aliran Tailscale, jika diaktifkan oleh administrator, mencatat peer yang bertukar trafik dan waktunya. Keduanya tidak dapat melihat isi komunikasi, tetapi fakta bahwa koneksi terjadi tidak disembunyikan. Karena itu, baca perbedaan Tor dan VPN sebelum memilih alat untuk keperluan tersebut.
• Perangkat yang sudah hilang dari penguasaan Anda. Kedaluwarsa key merupakan perlindungan cadangan yang lambat dengan default 180 hari. Menghapus perangkat dari konsol admin adalah tindakan cepat. Karena itu, ketahui lokasi tombol tersebut sebelum Anda membutuhkannya.

Periksa tailnet Anda sendiri

1. Jalankan tailscale status pada suatu perangkat, lalu baca daftar peer. Mesin yang tidak dapat Anda identifikasi merupakan situasi yang hendak dicegah oleh persetujuan perangkat.
2. Jalankan tailscale lock status untuk mengetahui apakah tailnet lock diaktifkan, lalu tentukan apakah biaya penandatanganan setiap perangkat baru sepadan untuk tailnet Anda.
3. Buka konsol admin dan catat setiap mesin yang menonaktifkan kedaluwarsa kunci, serta setiap kunci autentikasi yang dapat digunakan kembali dan masih ada. Keduanya merupakan kredensial tanpa batas waktu.
4. Baca file kebijakan Anda. Jika file tersebut masih menggunakan default, setiap perangkat dapat menjangkau setiap perangkat lain pada semua port, dan satu laptop yang terinfeksi dapat menjangkau semuanya.

Tailscale mendapatkan reputasinya pada data plane, karena desainnya tidak memberi operator cara untuk membaca trafik Anda. Terima klaim tersebut sebagaimana didokumentasikan oleh vendor, lalu audit bagian yang menjadi tanggung jawab Anda: akun identitas, pengaturan persetujuan, daftar kedaluwarsa, dan file kebijakan. Halaman keamanan Tailscale menyatakan bahwa Tailscale memiliki sertifikasi SOC 2 Type II dan melakukan pekerjaan keamanan berkelanjutan bersama Latacora. Hal ini menjadi bukti tentang proses mereka, bukan pernyataan tentang konfigurasi Anda.

FAQ

Dapatkah Tailscale membaca trafik saya?

Tidak. Trafik dienkripsi menggunakan kunci WireGuard yang dibuat pada perangkat Anda. Halaman keamanan Tailscale menyatakan bahwa "Private keys never leave the device. All traffic is end-to-end encrypted, always." Hal ini juga berlaku untuk koneksi yang beralih ke relay DERP, karena relay tersebut "blindly forwards already-encrypted traffic from one device to another" dan tidak menyimpan kunci yang memungkinkannya mendekripsi trafik. Infrastruktur Tailscale dapat melihat metadata: perangkat yang ada dan, jika log aliran jaringan diaktifkan, perangkat mana yang bertukar trafik dengan perangkat lain serta waktunya.

Apa yang sebenarnya dapat dilakukan server koordinasi Tailscale yang telah dibobol?

Server tersebut dapat mendaftarkan sebuah node. Pengumuman tailnet lock Tailscale sendiri menjelaskan risiko node yang ditambahkan secara diam-diam dan dapat "send or receive traffic to your existing nodes". Enkripsi tidak membantu dalam situasi ini "because the peer itself would be malicious". Control plane yang telah dibobol juga dapat mendistribusikan kebijakan yang mengubah tujuan yang dapat dijangkau perangkat Anda. White paper tailnet lock mencatat bahwa server tersebut dapat memutus konektivitas dengan tidak mendistribusikan kunci node baru. Namun, server tersebut tidak dapat mendekripsi trafik antarperangkat Anda yang sudah ada karena tidak pernah memegang kunci privat perangkat tersebut.

Apakah exit node menyembunyikan aktivitas penelusuran saya dari ISP?

Exit node menyembunyikan tujuan dari jaringan tempat Anda terhubung, termasuk ISP rumah atau kafe, karena semua trafik meninggalkan perangkat Anda dalam keadaan terenkripsi dan ditujukan ke exit node. Namun, exit node tidak membuat Anda anonim. Exit node dapat melihat tujuan tersebut. Penyedia hosting dan jaringan upstream exit node juga dapat melihatnya. Situs yang Anda kunjungi akan melihat alamat IP exit node. Anda hanya memindahkan pihak yang dapat mengamati aktivitas Anda, jadi pilih pihak yang benar-benar Anda percaya.

Apakah Headscale lebih aman daripada server koordinasi Tailscale?

Ini merupakan keputusan kepercayaan yang berbeda, bukan pilihan yang secara mutlak lebih aman. Dengan Headscale, Anda mengelola direktori kunci dan kebijakan. Karena itu, pihak luar tidak dapat dipaksa untuk mendaftarkan perangkat ke tailnet Anda. Namun, Anda juga bertanggung jawab menjalankan server tersebut: menerapkan patch, menjaga ketersediaan, membuat backup, dan mengamankan host itu sendiri. Host Headscale yang telah dibobol memberi penyerang kemampuan pendaftaran yang sama seperti server koordinasi yang telah dibobol. Tailnet lock juga tidak tercantum dalam daftar fitur Headscale. Karena itu, lindungi host tersebut dengan semestinya.

Apakah saya tetap memerlukan firewall pada VPS yang berada di tailnet?

Ya. Antarmuka jaringan publik tetap ada. Service apa pun yang terikat ke 0.0.0.0 juga akan listen pada antarmuka tersebut. Karena itu, service dapat dijangkau dari Internet kecuali firewall di depannya memblokir port tersebut, terlepas dari apakah Tailscale sedang berjalan. Ikat service ke alamat tailnet. Terapkan kebijakan default deny pada antarmuka publik dan pada cloud firewall milik provider Anda, jika tersedia. Periksa port container yang dipublikasikan karena Docker memasukkan aturannya sendiri dan dapat mengekspos port yang Anda kira sudah tertutup.