VPS کو Tailscale exit node کیسے بنائیں

Tailscale exit node کیا کرتا ہے

Tailscale exit node آپ کے tailnet میں موجود وہ machine ہے جو آپ کی دیگر devices کے تمام internet traffic کو آگے بھیجتی ہے۔ VPS (virtual private server) اس کے لیے موزوں ہے، کیونکہ اس کا public address مستقل ہوتا ہے اور یہ ہمیشہ online رہتا ہے۔ اسے configure کرنے کے لیے پانچ steps درکار ہیں: server پر Tailscale install کریں، exit node advertise کریں، IP forwarding enable کریں، admin console میں route approve کریں، پھر اپنے laptop پر یہ node select کریں۔ چوتھا step web page میں ایک toggle ہے، command نہیں۔ زیادہ تر لوگ اسی مرحلے پر رک جاتے ہیں۔

فعال ہونے کے بعد آپ کا laptop ہر packet کو encrypt کر کے VPS کو بھیجتا ہے۔ VPS source NAT (network address translation) لاگو کرتا ہے اور packet کو اپنے public IP address کے ذریعے آگے بھیجتا ہے۔ Websites کو VPS نظر آتا ہے۔ café Wi-Fi کو VPS تک جانے والا صرف ایک encrypted UDP flow نظر آتا ہے، باقی کچھ نہیں۔

Tailscale data path کے لیے WireGuard استعمال کرتا ہے، جبکہ ایک coordination server keys تقسیم کرتا ہے اور NAT کے ذریعے دو machines کو ایک دوسرے کو تلاش کرنے میں مدد دیتا ہے۔ یہی coordination server اس بات کی وجہ ہے کہ ذیل کے steps میں کہیں بھی key copy کرنے کی ضرورت نہیں پڑتی۔ مکمل trade-offs کے لیے Tailscale اور plain WireGuard کا تقابل پڑھیں۔ اگر آپ tunnel کے ہر حصے کا خود انتظام کرنا چاہتے ہیں تو اس کے بجائے اپنے VPS پر plain WireGuard VPN خود host کریں۔

ذیل کے steps میں فرض کیا گیا ہے کہ Tailscale آپ کے laptop پر پہلے سے چل رہا ہے اور دونوں machines ایک ہی tailnet میں sign in ہیں۔ tailnet آپ کا private Tailscale network ہے، اور اس میں موجود ہر device کو 100.64.0.0/10 کے اندر ایک مستقل address ملتا ہے۔

اپنے VPS پر Tailscale انسٹال کریں

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up

انسٹال اسکرپٹ آپ کی distribution کے لیے package repository منتخب کرتا ہے اور tailscaled daemon انسٹال کرتا ہے۔ tailscale up اس کے بعد authentication URL دکھاتا ہے۔ اسے browser میں کھولیں اور اسی account سے sign in کریں جسے آپ کا laptop استعمال کرتا ہے، کیونکہ مختلف tailnet میں sign in کیا گیا VPS آپ کے laptop کو بالکل service فراہم نہیں کر سکتا۔

tailscale status
tailscale ip -4

tailscale status میں اب دونوں machines دکھائی دینی چاہییں۔ tailscale ip -4 VPS کا tailnet address دکھاتا ہے، جو بعد میں client کو دیا جائے گا۔

Tailscale کو tunnel بنانے کے لیے TUN device درکار ہوتا ہے۔ KVM VPS پر یہ device موجود ہوتا ہے۔ ان plans میں جو container virtualisation کے ذریعے بنائے گئے ہوں اور host kernel اشتراک کرتے ہوں، /dev/net/tun کبھی کبھار موجود نہیں ہوتا، اس لیے tailscaled tailscale0 interface نہیں بنا سکتا۔ مزید آگے بڑھنے سے پہلے ls -l /dev/net/tun چلائیں۔

IP forwarding فعال کریں، ورنہ VPS ہر packet drop کر دے گا

Linux machine ہر اس packet کو drop کرتی ہے جو خود اس کے لیے addressed نہ ہو، کیونکہ net.ipv4.ip_forward کی default value 0 ہوتی ہے۔ Exit node آپ کے traffic کو accept کر کے decrypt کرے گا، پھر اسے discard کر دے گا۔ Setting کو ایک file میں لکھیں تاکہ reboot کے بعد بھی برقرار رہے۔

echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf

tee -a setting کو append کرتا ہے، اس لیے یہ lines دوسری بار چلانے سے دونوں settings دو مرتبہ لکھی جائیں گی۔ نتیجہ پھر بھی کام کرے گا، لیکن cat /etc/sysctl.d/99-tailscale.conf عجیب دکھائی دے گا۔ File پر اعتماد کرنے کے بجائے live value کی تصدیق کریں:

sysctl net.ipv4.ip_forward

اسے net.ipv4.ip_forward = 1 print کرنا چاہیے۔ اگر آپ یہ مرحلہ چھوڑ کر tailscale up --advertise-exit-node استعمال کریں تو client آپ کو یہ بتائے گا:

Warning: IP forwarding is disabled, subnet routing/exit nodes will not work.

tailscale set --advertise-exit-node یہ check نہیں چلاتا، اس لیے set سے خاموش output اس بات کا ثبوت نہیں کہ forwarding فعال ہے۔ sysctl value خود پڑھیں۔

آپ کو masquerade rule ہاتھ سے لکھنے کی ضرورت نہیں۔ tailscaled اپنی firewall chains خود install کرتا ہے، جن کے نام ts-input، ts-forward اور ts-postrouting ہیں، اور exit node traffic کے لیے NAT rule ts-postrouting میں موجود ہوتا ہے۔ انہیں sudo iptables-save | grep ts- سے دیکھیں، یا nftables والے system پر sudo nft list ruleset استعمال کریں۔

VPS کو exit node کے طور پر پیش کریں

sudo tailscale set --advertise-exit-node

tailscale set ایک preference تبدیل کرتا ہے اور باقی preferences کو جوں کا توں رکھتا ہے۔ tailscale up --advertise-exit-node node کو بھی advertise کرتا ہے، لیکن اس کا ایک ضمنی اثر ہے: up اس کی command line پر موجود flags کو تمام non-default settings کا مکمل مجموعہ سمجھتا ہے۔ اس لیے بعد میں چلایا جانے والا سادہ sudo tailscale up کام کرنے سے انکار کر دیتا ہے اور یہ پیغام دکھاتا ہے:

changing settings via 'tailscale up' requires mentioning all
non-default flags. To proceed, either re-run your command with --reset or
use the command below to explicitly mention the current value of
all non-default settings:

مسلسل تبدیلیوں کے لیے set استعمال کریں، پھر یہ پیغام آپ کو نظر نہیں آئے گا۔

Advertising ایک پیش کش ہے۔ VPS اب coordination server کو بتا رہا ہے کہ وہ exit node بننے کے لیے تیار ہے۔ ابھی کوئی client اسے استعمال نہیں کر سکتا۔

Tailscale exit node کو admin console میں منظور کریں

یہ وہ مرحلہ ہے جس کے لیے کوئی command درکار نہیں۔ admin console میں Machines page کھولیں، VPS تلاش کریں، اس کی row کے آخر میں موجود تین نقطوں کے menu کو کھولیں، Edit route settings منتخب کریں، اور Use as exit node کو فعال کریں۔

جب تک یہ toggle فعال نہ ہو، control plane اس پیشکش کو محفوظ رکھتا ہے اور کسی کو نہیں دیتا۔ آپ کے laptop پر tailscale exit-node list کچھ نہیں دکھاتا، اور آپ کا traffic معمول کے route پر ہی چلتا رہتا ہے۔ دونوں machines پر کوئی error message بھی ظاہر نہیں ہوتا۔ Exit node بس کبھی ظاہر نہیں ہوتا۔

آپ tailnet policy file میں ایک entry شامل کرکے exit nodes خودکار طور پر منظور کر سکتے ہیں:

"autoApprovers": {
  "exitNode": ["tag:exit"],
}

--advertise-tags=tag:exit کے ساتھ شروع کیے گئے device کی منظوری خود ہو جاتی ہے، بشرطیکہ اسی policy file میں tagOwners کے تحت tag:exit متعین ہو۔ Tagging ملکیت تبدیل کر دیتی ہے: tagged device آپ کے user account کے بجائے tailnet سے تعلق رکھتا ہے، اور اس پر لاگو ہونے والے access rules بھی اسی کے مطابق بدل جاتے ہیں۔ ایک VPS کے لیے toggle زیادہ آسان ہے۔

اپنے laptop پر exit node منتخب کریں

Linux client پر:

tailscale exit-node list
sudo tailscale set --exit-node=vps.your-tailnet.ts.net

exit-node list آپ کے tailnet میں منظور شدہ exit nodes کو ان کے addresses کے ساتھ دکھاتا ہے۔ خالی فہرست کا مطلب ہے کہ approval step مکمل نہیں ہوا۔ macOS، Windows، iOS اور Android پر یہی انتخاب Tailscale app میں Exit Node کے تحت menu item کے طور پر موجود ہوتا ہے۔

client سے تصدیق کریں، server سے نہیں:

curl -4 https://ifconfig.me

اسے exit node منتخب کرنے سے پہلے ایک بار اور بعد میں ایک بار چلائیں۔ address کو آپ کے مقامی address سے بدل کر VPS کے public IP پر آ جانا چاہیے۔ exit node کا استعمال روکنے کے لیے:

sudo tailscale set --exit-node=

ایک اور flag پہلے دن ہی اہم ہے۔ exit node منتخب ہونے پر client ہر چیز tunnel میں بھیجتا ہے، جس میں 192.168.1.50 کے لیے مختص packets بھی شامل ہیں۔ اس کے نتیجے میں آپ کا printer اور network storage جواب دینا بند کر دیتے ہیں۔ local network کو local route پر برقرار رکھیں:

sudo tailscale set --exit-node=<name> --exit-node-allow-lan-access=true

جب exit node فعال ہوتا ہے تو DNS فوراً کیوں بدل جاتا ہے

بطور ڈیفالٹ، exit node استعمال کرنے والا device ہر domain کے لیے اسی exit node کو اپنے DNS (domain name system) resolver کے طور پر استعمال کرتا ہے۔ اس سے آپ کے tailnet کے لیے configured global اور split DNS nameservers override ہو جاتے ہیں۔ یہ رویہ دانستہ ہے۔ اگر queries local network کے resolver تک جاتی رہیں تو café router ہر اس site کا نام دیکھ سکتا تھا جسے آپ visit کرتے ہیں، جبکہ traffic خود private رہتا۔ Names اور packets کو ایک ہی جگہ سے باہر جانا چاہیے۔

اس کا ایک نتیجہ ان لوگوں کے لیے مسئلہ بن جاتا ہے جو internal resolver چلا رہے ہیں: exit node فعال ہونے کے دوران وہ tailnet nameserver استعمال نہیں ہوتا جس پر آپ انحصار کرتے ہیں۔ اسے واپس فعال کرنے کے لیے admin console کے DNS page پر اس nameserver کے لیے Use with exit node فعال کریں۔

MagicDNS names بدستور کام کرتے ہیں، کیونکہ Tailscale client exit node تک کچھ پہنچنے سے پہلے انہیں 100.100.100.100 پر مقامی طور پر resolve کرتا ہے۔ اسے dig @100.100.100.100 your-vps.your-tailnet.ts.net سے check کریں، یا systemd-resolved client پر resolvectl status استعمال کریں۔ وہاں Tailscale interface 100.100.100.100 کو اپنے DNS server کے طور پر دکھاتا ہے۔

اگر آپ --accept-dns=false کے ذریعے Tailscale کی DNS handling غیر فعال کر دیں تو client local network سے حاصل کیا ہوا resolver ہی استعمال کرتا رہتا ہے۔ Traffic tunnel ہو جاتا ہے، لیکن queries tunnel نہیں ہوتیں۔ یہ وہی DNS leak ہے جو خود بنائے گئے WireGuard tunnels میں سامنے آتا ہے۔ جب تک اسے تبدیل کرنے کی کوئی مخصوص وجہ نہ ہو، --accept-dns کو تبدیل نہ کریں۔

ایگزٹ نوڈ کے ذریعے IPv6

ایگزٹ نوڈ دونوں default routes، 0.0.0.0/0 اور ::/0، کی تشہیر کرتا ہے۔ اگر VPS کے پاس internet تک IPv6 کا فعال راستہ نہ ہو تو IPv6 packets tunnel کے ذریعے پہنچتے ہیں اور وہیں رک جاتے ہیں۔ اسے قابلِ اعتماد سمجھنے سے پہلے VPS پر test کریں:

ip -6 addr show
curl -6 https://ifconfig.me

ناکام request کا مطلب ہے کہ VPS کے پاس IPv6 upstream نہیں ہے۔ Dual-stack websites عموماً پھر بھی load ہو جاتی ہیں، کیونکہ client IPv6 کی کوشش ترک کرکے IPv4 کے ذریعے دوبارہ کوشش کرتا ہے۔ تاہم، ہر site سے پہلے connection پر اس retry کی وجہ سے تاخیر ہوتی ہے۔ IPv6-only destinations تک رسائی برقرار نہیں رہتی۔

دوسرا حصہ forwarding ہے۔ net.ipv6.conf.all.forwarding کو 0 پر چھوڑ کر net.ipv4.ip_forward = 1 رکھنے سے IPv4 کا فعال راستہ ملتا ہے، لیکن IPv6 کے لیے black hole بن جاتا ہے۔ صارف کو یہ صورتِ حال error کے بجائے اس طرح محسوس ہوتی ہے کہ "کچھ sites سست ہیں"، جسے تلاش کرکے اصل وجہ معلوم کرنا مشکل ہوتا ہے۔ دونوں lines sysctl file میں شامل ہونی چاہییں۔

کیا VPS کو subnet routes بھی advertise کرنی چاہییں؟

Exit node تمام internet traffic منتقل کرتا ہے۔ Subnet route اس private range کو منتقل کرتی ہے جو اسے advertise کرنے والی machine کے پیچھے موجود ہوتی ہے۔ یہ الگ features ہیں، ان کے approvals بھی الگ ہیں، اور ایک machine دونوں کام کر سکتی ہے۔

sudo tailscale set --advertise-routes=10.0.0.0/24

جب VPS کا private network ان دوسرے servers کے ساتھ مشترک ہو جن تک آپ ان کے private addresses کے ذریعے پہنچنا چاہتے ہیں، تو subnet advertise کریں۔ اسی Edit route settings panel میں اس کی approval دیں، جہاں اس کے لیے الگ toggle موجود ہوتا ہے۔

Range کا انتخاب احتیاط سے کریں۔ Advertised route آپ کے laptop کی default route سے زیادہ specific ہوتی ہے۔ اس لیے VPS سے 192.168.1.0/24 advertise کرنے پر اسی range کو استعمال کرنے والے home network کے addresses کی routing تبدیل ہو جائے گی، اور آپ کی میز پر موجود devices سے رابطہ ختم ہو جائے گا۔ ایسی range استعمال کریں جو آپ نے خود منتخب کی ہو، نہ کہ وہ range جو آپ کے home router نے خود منتخب کی ہو۔

UDP GRO forwarding کے ساتھ exit node کو تیز کریں

Tailscale 1.54 اور اس کے بعد کے ورژنز، Linux 6.2 یا اس کے بعد کے kernel پر، ایسا receive offload استعمال کر سکتے ہیں جو forwarded traffic کا throughput بڑھاتا ہے۔ GRO (generic receive offload) آنے والے packets کو kernel کے ایک ایک کر کے process کرنے سے پہلے یکجا کرتا ہے۔ August 2026 تک exit node پر یہ اب بھی manual مرحلہ ہے۔

sudo apt install -y ethtool
NETDEV=$(ip -o route get 8.8.8.8 | cut -f 5 -d " ")
sudo ethtool -K $NETDEV rx-udp-gro-forwarding on rx-gro-list off

ip -o route get 8.8.8.8 اس interface کی نشاندہی کرتا ہے جو حقیقت میں internet تک پہنچتا ہے، اس لیے آپ کو eth0، ens3 اور enp1s0 میں اندازہ لگانے کی ضرورت نہیں رہتی۔ ethtool -k $NETDEV | grep udp-gro-forwarding سے تصدیق کریں؛ اب اس میں on ظاہر ہونا چاہیے۔

یہ setting reboot کے بعد ختم ہو جاتی ہے۔ networkd-dispatcher چلانے والے system پر اسے خودکار بنائیں:

printf '#!/bin/sh\n\nethtool -K %s rx-udp-gro-forwarding on rx-gro-list off \n' "$(ip -o route get 8.8.8.8 | cut -f 5 -d " ")" | sudo tee /etc/networkd-dispatcher/routable.d/50-tailscale
sudo chmod 755 /etc/networkd-dispatcher/routable.d/50-tailscale

پہلے تصدیق کریں کہ /etc/networkd-dispatcher/routable.d/ موجود ہے۔ اگر یہ موجود نہ ہو تو machine پر networkd-dispatcher نہیں چل رہا۔ ایسی صورت میں boot کے وقت ethtool line چلانے والا ایک مختصر systemd unit یہی کام انجام دیتا ہے۔

آپ کے provider کی acceptable use policy exit traffic کے بارے میں کیا کہتی ہے

کلائنٹ جو بھی packet exit node کے ذریعے بھیجتا ہے، وہ VPS کے public IP address کے ساتھ باہر جاتا ہے، اس لیے اس کی نسبت آپ کے account سے کی جاتی ہے۔ Abuse reports آپ کے inbox میں آتی ہیں، مثلاً copyright notices اور port scan complaints۔ کسی household یا team کا traffic ایک server کے ذریعے route کرنے سے پہلے اپنے provider کی AUP (acceptable use policy) پڑھیں، اور exit node ایسے لوگوں کے لیے کھلا نہ چھوڑیں جن کی ذمہ داری کی آپ ضمانت نہیں دے سکتے۔

Bandwidth دو مرتبہ شمار ہوتی ہے۔ Traffic tunnel کے ذریعے VPS تک پہنچتا ہے اور پھر internet کے لیے دوبارہ باہر جاتا ہے، اور عموماً دونوں directions plan میں شامل transfer allowance کے خلاف شمار ہوتی ہیں۔ Exit node کے ذریعے دیکھی جانے والی video stream کا data استعمال زیادہ تر لوگوں کی توقع سے کہیں زیادہ ہوتا ہے۔

Datacenter کے address ranges کی reputation بھی ہوتی ہے۔ کچھ sites ان کے لیے زیادہ CAPTCHAs دکھاتی ہیں، جبکہ کچھ streaming services انہیں مکمل طور پر مسترد کرتی ہیں۔ آپ کی configuration میں کوئی تبدیلی اس صورتحال کو نہیں بدلتی، کیونکہ یہ address block کی وہ خصوصیت ہے جو آپ کے provider کی ملکیت ہے۔

ٹریفک اب بھی آپ کے مقامی connection سے کیوں نکلتی ہے

Exit node کا اعلان ہو چکا ہے، لیکن اسے منظور نہیں کیا گیا۔ Client پر tailscale exit-node list کوئی output نہیں دکھاتا، اور کسی بھی machine کے logs میں error درج نہیں ہوتا۔ Machines page کھولیں اور Use as exit node فعال کریں۔

Client نے اسے منتخب نہیں کیا۔ منظوری کے بعد یہ node tailnet کے لیے دستیاب ہو جاتا ہے۔ ہر device پر selection الگ سے کرنی ہوتی ہے۔ sudo tailscale set --exit-node=<name> دوبارہ چلائیں، پھر curl -4 https://ifconfig.me دوبارہ چیک کریں۔

Forwarding بند ہے۔ اس کی مخصوص علامت یہ ہے: tailscale ping <vps> کامیاب ہوتا ہے، tunnel واضح طور پر فعال ہوتا ہے، لیکن ہر بیرونی address timeout ہو جاتا ہے۔ sysctl net.ipv4.ip_forward کی قدر 0 ہوتی ہے۔ sysctl file درست کریں، پھر sudo sysctl -p /etc/sysctl.d/99-tailscale.conf چلائیں۔

Firewall forwarded packets کو روک رہا ہے۔ tailscaled اپنی ts-forward chain شامل کرتا ہے، اور صاف VPS پر یہ کافی ہوتا ہے۔ لیکن پہلے سے ufw یا Docker چلانے والے server پر FORWARD policy DROP ہو سکتی ہے اور rules Tailscale کے rules سے پہلے لاگو ہو سکتے ہیں۔ اندازہ نہ لگائیں کہ مسئلہ کس rule میں ہے: Client کے page load کرنے کی کوشش کے دوران sudo iptables -L FORWARD -n -v چلائیں اور دیکھیں کہ کون سے counters تبدیل ہوتے ہیں۔ ufw والے server پر عام حل /etc/default/ufw میں DEFAULT_FORWARD_POLICY="ACCEPT" شامل کرنا، پھر sudo ufw reload چلانا ہے۔ اپنے provider کا network firewall بھی control panel میں چیک کریں، کیونکہ وہ server پر چلنے والی ہر چیز سے الگ control ہے۔

یہ کام کرتا ہے، لیکن رفتار کم ہے۔ دونوں machines پر tailscale netcheck چلائیں۔ اگر output میں UDP blocked دکھائی دے تو دونوں devices براہ راست path قائم نہیں کر سکتے اور DERP relay پر منتقل ہو جاتے ہیں، جس سے ہر connection میں latency بڑھ جاتی ہے۔ Provider کے network firewall میں VPS کے لیے port 41641 پر inbound UDP کی اجازت دینے سے عموماً direct path بحال ہو جاتا ہے۔

Tailscale کے coordination server کو کب چھوڑیں

اوپر بیان کیا گیا پورا طریقہ key exchange اور آپ کی جانب سے کی گئی approval کے لیے Tailscale کے hosted coordination server پر منحصر ہے۔ آپ کا network traffic پھر بھی laptop سے VPS تک براہ راست جاتا ہے، اور coordination server اسے کبھی منتقل نہیں کرتا۔ تاہم، یہی server طے کرتا ہے کہ کون tailnet میں شامل ہو سکتا ہے اور ہر device کن مقامات تک پہنچ سکتی ہے۔ اگر آپ اسی dependency کو ختم کرنا چاہتے ہیں تو Headscale کو اپنے Tailscale control server کے طور پر چلائیں اور دونوں clients کو اس کی طرف point کریں۔ اس کے بعد exit node کے steps وہی رہتے ہیں، لیکن route approval hosted console کے بجائے Headscale کی command line سے کی جاتی ہے۔ Headscale control plane کو تبدیل کرتا ہے، جبکہ آپ Tailscale clients ہی استعمال کرتے رہتے ہیں۔ اگر آپ پورا stack خود چلانا چاہتے ہیں تو NetBird اپنا coordination server اور ایسے clients فراہم کرتا ہے جنہیں آپ ایک VPS پر host کر سکتے ہیں۔

FAQ

میرا exit node منتخب کرنے کے بعد بھی traffic میرے مقامی connection سے کیوں جا رہا ہے؟

اس کی دو عام وجوہات ہیں۔ exit node کا اعلان کیا گیا تھا، لیکن اسے approve نہیں کیا گیا: admin console میں Machines page کھولیں، VPS تلاش کریں، Edit route settings منتخب کریں، اور Use as exit node فعال کریں۔ Approval console میں ایک toggle سے ہوتا ہے؛ server پر کوئی command یہ کام نہیں کرتی۔ دوسری وجہ مختلف نظر آتی ہے: IP forwarding بند ہے، اس لیے tunnel قائم ہو جاتا ہے، tailscale ping سے VPS تک رسائی ممکن ہوتی ہے، لیکن ہر بیرونی address کا connection timeout ہو جاتا ہے۔ sysctl net.ipv4.ip_forward سے جانچ کریں؛ اس کی قدر 1 ہونی چاہیے۔

کیا مجھے ہر بار exit node کو دستی طور پر approve کرنا ہوگا؟

یہ toggle ہر machine کے لیے صرف ایک بار فعال کرنا ہوتا ہے۔ اگر آپ VPS کو بار بار rebuild کرتے ہیں تو اپنی tailnet policy file میں autoApprovers block شامل کریں، جس میں "exitNode": ["tag:exit"] ہو، tagOwners کے تحت tag:exit کی تعریف کریں، اور --advertise-tags=tag:exit کے ساتھ node کو فعال کریں۔ tagged device کی ملکیت آپ کے user account کے بجائے tailnet کے پاس ہوتی ہے، اس لیے اس پر لاگو access rules بھی تبدیل ہو جاتے ہیں۔

exit node فعال ہونے پر میرا laptop کون سا DNS server استعمال کرتا ہے؟

خود exit node۔ exit node استعمال کرنے والا device تمام DNS queries وہاں بھیجتا ہے، اور اس سے tailnet کے لیے مقرر global اور split DNS nameservers override ہو جاتے ہیں۔ اس طرح مقامی network ان ناموں کو نہیں دیکھ سکتا جنہیں آپ resolve کرتے ہیں۔ اگر آپ ایک tailnet nameserver کو برقرار رکھنا چاہتے ہیں تو admin console کے DNS page پر اس کے لیے Use with exit node فعال کریں۔ MagicDNS names پھر بھی resolve ہوتے ہیں، کیونکہ Tailscale client انہیں مقامی طور پر 100.100.100.100 پر resolve کرتا ہے۔

کیا ایک VPS بیک وقت exit node اور subnet router بن سکتا ہے؟

ہاں۔ sudo tailscale set --advertise-exit-node اور sudo tailscale set --advertise-routes=10.0.0.0/24 الگ الگ کام کرتے ہیں، اور Edit route settings کے تحت ہر ایک کے لیے الگ approval toggle ہوتا ہے۔ VPS پر دونوں کے لیے IP forwarding فعال ہونا ضروری ہے۔ ایسے range کا اعلان نہ کریں جو آپ کے laptop کے home network سے مطابقت رکھتا ہو، کیونکہ advertised route default route سے زیادہ specific ہوتی ہے اور آپ کے مقامی devices تک رسائی ختم ہو جاتی ہے۔

کیا exit node میرے VPS provider سے میرا traffic چھپا دیتا ہے؟

نہیں۔ tunnel VPS پر ختم ہوتا ہے، اس لیے traffic server سے اس format میں روانہ ہوتا ہے جس کی destination کو ضرورت ہو، اور جہاں site خود encrypted نہ ہو وہاں provider اسے واضح حالت میں منتقل کرتا ہے۔ exit node اس مقام کو تبدیل کرتا ہے جہاں آپ کا traffic internet سے جڑتا ہے: اس network کے بجائے جس سے آپ منسلک ہیں، وہ server استعمال ہوتا ہے جسے آپ rent کرتے ہیں۔ یہ آپ کی browsing کو café Wi-Fi اور آپ کے home ISP سے چھپاتا ہے، لیکن اسی browsing کو آپ کے VPS provider کے سامنے آپ کے account name کے ساتھ ظاہر کرتا ہے۔