Implantando Tailscale para VPN Zero Trust

Visão Geral

Tailscale é uma VPN em malha (mesh) com zero trust, construída sobre o WireGuard, que cria conexões criptografadas ponto a ponto entre dispositivos sem a necessidade de servidores VPN tradicionais ou configurações de rede complexas. Cada conexão em uma rede Tailscale (tailnet) é criptografada de ponta a ponta usando o framework de protocolo Noise do WireGuard com troca de chaves Curve25519. O Tailscale implementa redes com zero trust autenticando cada solicitação de conexão através de provedores de identidade, aplicando Listas de Controle de Acesso (ACLs) granulares e suportando recursos como nós de saída (exit nodes), roteadores de sub-rede (subnet routers), MagicDNS e Tailscale SSH. Para organizações que preferem infraestrutura auto-hospedada, o Headscale fornece uma implementação de código aberto do servidor de controle do Tailscale.

Quando Usar

• Ao implantar ou configurar o Tailscale para capacidades de VPN zero trust em seu ambiente.
• Ao estabelecer controles de segurança alinhados a requisitos de conformidade.
• Ao construir ou melhorar a arquitetura de segurança para este domínio.
• Ao realizar avaliações de segurança que exigem esta implementação.

Pré-requisitos

• Provedor de identidade (Okta, Azure AD, Google Workspace, GitHub ou compatível com OIDC).
• Dispositivos executando sistemas operacionais suportados (Linux, Windows, macOS, iOS, Android, FreeBSD).
• Acesso administrativo para configurar regras de DNS e firewall.
• Compreensão dos fundamentos do protocolo WireGuard.
• Documentação de planejamento de rede para requisitos de roteamento de sub-rede.

Arquitetura

                    Tailscale Coordination Server
                    (or self-hosted Headscale)
                           |
                    Key Distribution
                    & NAT Traversal
                           |
         +-----------------+-----------------+
         |                 |                 |
    +----+----+      +----+----+      +----+----+
    | Node A  |<---->| Node B  |<---->| Node C  |
    | (Linux) |      | (macOS) |      |(Windows)|
    +---------+      +---------+      +---------+
    WireGuard         WireGuard        WireGuard
    Encrypted         Encrypted        Encrypted
    P2P Tunnel        P2P Tunnel       P2P Tunnel

    Each node connects directly to every other node.
    DERP relay servers used only when direct P2P fails.

Instalação e Configuração

Instalação no Linux

# Add Tailscale repository and install
curl -fsSL https://tailscale.com/install.sh | sh

# Start Tailscale and authenticate
sudo tailscale up

# Check connection status
tailscale status

# View assigned IP address
tailscale ip -4
tailscale ip -6

Instalação no Windows / macOS

# Windows: Download from https://tailscale.com/download/windows
# macOS: Install via Homebrew
brew install --cask tailscale

# Or download from https://tailscale.com/download/mac

Implantação com Docker

# docker-compose.yml for Tailscale sidecar
version: '3.8'
services:
  tailscale:
    image: tailscale/tailscale:latest
    container_name: tailscale
    hostname: my-service
    environment:
      - TS_AUTHKEY=tskey-auth-xxxxx  # Pre-auth key
      - TS_STATE_DIR=/var/lib/tailscale
      - TS_EXTRA_ARGS=--advertise-tags=tag:container
    volumes:
      - tailscale-state:/var/lib/tailscale
      - /dev/net/tun:/dev/net/tun
    cap_add:
      - net_admin
      - sys_module
    restart: unless-stopped

volumes:
  tailscale-state:

Implantação com Kubernetes

# Tailscale operator for Kubernetes
apiVersion: v1
kind: Secret
metadata:
  name: tailscale-auth
  namespace: tailscale
type: Opaque
stringData:
  TS_AUTHKEY: "tskey-auth-xxxxx"
---
apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: tailscale
  namespace: tailscale
spec:
  selector:
    matchLabels:
      app: tailscale
  template:
    metadata:
      labels:
        app: tailscale
    spec:
      containers:
      - name: tailscale
        image: tailscale/tailscale:latest
        env:
        - name: TS_AUTHKEY
          valueFrom:
            secretKeyRef:
              name: tailscale-auth
              key: TS_AUTHKEY
        - name: TS_KUBE_SECRET
          value: tailscale-state
        - name: TS_USERSPACE
          value: "true"
        securityContext:
          capabilities:
            add: ["NET_ADMIN"]

Listas de Controle de Acesso (ACLs)

As ACLs do Tailscale definem quem pode acessar o quê dentro da sua tailnet usando um formato JSON declarativo. A política padrão é "negar tudo" (deny-all), tornando-a zero trust por design.

{
  "acls": [

…