tag:text.Baldanders.info,2021-10-31:/tags 2021-10-31T15:42:53+09:00 帰ってきた「しっぽのさきっちょ」 https://text.baldanders.info/images/avatar.jpg https://text.baldanders.info/images/avatar.jpg tag:text.Baldanders.info,2021-10-31:/remark/2021/10/tailscale-with-synology-nas/ 2021-10-31T06:42:53+00:00 2024-04-18T10:42:05+00:00

いよいよ Tailscale に手を出すことにした。

Spiegel https://baldanders.info/profile/ <p><a href="https://text.baldanders.info/remark/2021/10/nas/" target="_blank" title="秋 NAS は俺に喰わせろ！">前回</a>からチマチマ作業して，ようやく中身の整理と Git Server の設定までできた。 <a href="https://text.baldanders.info/remark/2018/04/nas/" target="_blank" title="NAS を導入した">以前まで使ってた簡易 NAS</a> では無造作にバックアップを取ってたので，特に音楽ファイルと写真ファイルの整理で時間がかかってしまったよ。</p> <p>写真ファイルは8K個くらいあったんだけど，この規模だとダブりとか確認しようがないし，途中で面倒くさくなって全部 <a href="https://www.synology.com/ja-jp/DSM70/SynologyPhotos" target="_blank">Synology Photos</a> サービスに突っ込んでしまった。</p> <p>一方で音楽ファイルは2.3K個ほど。 これは普通だよね。 アルバム換算で160枚分程度だし。</p> <p>で，まぁ，そんなこんなで落ち着いて運用できるようになったので，いよいよ <a href="https://tailscale.com/" target="_blank" title="Tailscale · Best VPN Service for Secure Networks">Tailscale</a> に手を出すことにした。</p> <h2>Tailscale とは</h2> <p><a href="https://tailscale.com/" target="_blank" title="Tailscale · Best VPN Service for Secure Networks">Tailscale</a> とは VPN (Virtual Private Network) 実装のひとつである。</p> <p>なお，この記事では VPN を物理的な回線・ネットワークの上に構築された「<ruby><rb>実質的な網</rb><rp> (</rp><rt>virtual network</rt><rp>) </rp></ruby>」であると定義し，以下の機能を持つものとして話を進める。</p> <ul> <li>カプセル化とトンネリング</li> <li>経路の暗号化</li> <li>認証とアクセス制御</li> </ul> <p>旧来の VPN は，拠点間 VPN であれリモートアクセスであれ「<a href="https://baldanders.info/blog/000773/" target="_blank" title="VPN に関する基礎学習">バイパス型</a>」であれ，出口ノードがネットワークそのものになっているのが特徴である。</p> <figure lang="en"> <blockquote class="nobox lightmode" style='margin:0 auto;text-align:center;' cite="https://tailscale.com/"> <a href="https://tailscale.com/"><img src="./home-network-before.svg" srcset="./home-network-before.svg 630w" sizes="(min-width:600px) 500px, 80vw" alt="Tailscale · Best VPN Service for Secure Networks" loading="lazy"></a> </blockquote> <figcaption><div>via <q><a href="https://tailscale.com/">Tailscale · Best VPN Service for Secure Networks</a></q></div></figcaption> </figure> <p>これに対して <a href="https://tailscale.com/" target="_blank" title="Tailscale · Best VPN Service for Secure Networks">Tailscale</a> では機器間を直接つないでいるのが特徴と言える<sup id="fnref:1"><a href="#fn:1" class="footnote-ref" role="doc-noteref">1</a></sup>。</p> <figure lang="en"> <blockquote class="nobox lightmode" style='margin:0 auto;text-align:center;' cite="https://tailscale.com/"> <a href="https://tailscale.com/"><img src="./home-network-after.svg" srcset="./home-network-after.svg 630w" sizes="(min-width:600px) 500px, 80vw" alt="Tailscale · Best VPN Service for Secure Networks" loading="lazy"></a> </blockquote> <figcaption><div>via <q><a href="https://tailscale.com/">Tailscale · Best VPN Service for Secure Networks</a></q></div></figcaption> </figure> <p><a href="https://tailscale.com/" target="_blank" title="Tailscale · Best VPN Service for Secure Networks">Tailscale</a> の実装は <a href="https://www.wireguard.com/" target="_blank" title="WireGuard: fast, modern, secure VPN tunnel">WireGuard</a> 技術を用いており，サービスとしての <a href="https://tailscale.com/" target="_blank" title="Tailscale · Best VPN Service for Secure Networks">tailscale</a>.com は接続機器のコンフィグレーションを管理するのみで通信そのものには関与しない。 <a href="https://text.baldanders.info/remark/2021/08/apples-mass-surveillance-plans/" target="_blank">正しく E2E 暗号化通信</a>というわけだ（笑）</p> <p>2021-10-31 現在，個人ユーザは20接続までの制限付きで無料で利用できる。 また年48USDほど払えば100接続まではいけるらしい。 企業またはチームとして利用する場合はユーザごとに接続先を制御する必要があるだろうし，そのための料金プランも用意されているようだ。</p> <figure lang="en"> <blockquote class="nobox" style='margin:0 auto;text-align:center;' cite="https://tailscale.com/pricing/"> <a href="https://tailscale.com/pricing/"><img src="./price-of-tailscale.png" srcset="./price-of-tailscale.png 1357w" sizes="(min-width:600px) 500px, 80vw" alt="Pricing · Tailscale" loading="lazy"></a> </blockquote> <figcaption><div>via <q><a href="https://tailscale.com/pricing/">Pricing · Tailscale</a></q></div></figcaption> </figure> <p>旧来の VPN はいわゆる ZTA (Zero Trust Architecture) とは相性が悪いと言われているが <a href="https://tailscale.com/" target="_blank" title="Tailscale · Best VPN Service for Secure Networks">Tailscale</a> を使って機器単位でアクセス制御できるのであれば ZTA にも組み込みやすいだろう。 個人的にはスマート・ホームなど IoT 機器こそ <a href="https://tailscale.com/" target="_blank" title="Tailscale · Best VPN Service for Secure Networks">Tailscale</a> に対応してもらいたいよなぁ。</p> <p>ちなみに <a href="https://tailscale.com/" target="_blank" title="Tailscale · Best VPN Service for Secure Networks">Tailscale</a> の基本ロジックは <a href="https://go.dev/" target="_blank">Go</a> で書かれている。 まぁ <a href="https://www.wireguard.com/" target="_blank" title="WireGuard: fast, modern, secure VPN tunnel">WireGuard</a> のユーザランド実装が <a href="https://go.dev/" target="_blank">Go</a> だしね。</p> <h2>Synology NAS に Tailscale をインストールする</h2> <p>今回，私が導入した Synology NAS には <a href="https://tailscale.com/kb/1131/synology/" target="_blank" title="Access Synology NAS from anywhere · Tailscale">Tailscale パッケージ</a>が用意されおり，パッケージセンターからインストールできる。</p> <figure style='margin:0 auto;text-align:center;'><a href="./tailscale-in-synology-nas.png"><img src="./tailscale-in-synology-nas.png" srcset="./tailscale-in-synology-nas.png 801w" sizes="(min-width:600px) 500px, 80vw" alt="" loading="lazy"></a></figure> <p>これは現在 GitHub で <a href="https://tailscale.com/" target="_blank" title="Tailscale · Best VPN Service for Secure Networks">Tailscale</a> 公式のリポジトリとして運営されているようだ。</p> <ul> <li><a href="https://github.com/tailscale/tailscale-synology" target="_blank" title="tailscale/tailscale-synology: Synology packages for tailscale.com">tailscale/tailscale-synology: Synology packages for tailscale.com</a></li> </ul> <p>さっそくインストールしてパッケージを開くと</p> <figure style='margin:0 auto;text-align:center;'><a href="./login.png"><img src="./login.png" srcset="./login.png 567w" sizes="(min-width:600px) 500px, 80vw" alt="" loading="lazy"></a></figure> <p>てな感じにログインを促す画面が開く。 早速 <code>[Log In]</code> ボタンを押すとブラウザの <a href="https://tailscale.com/" target="_blank" title="Tailscale · Best VPN Service for Secure Networks">tailscale</a>.com のサインイン・ページが開く。</p> <figure style='margin:0 auto;text-align:center;'><a href="./signin-by-tailscale.png"><img src="./signin-by-tailscale.png" srcset="./signin-by-tailscale.png 500w" sizes="(min-width:600px) 500px, 80vw" alt="" loading="lazy"></a></figure> <p>おっ GitHub アカウントが使えるのか。 よしよし。</p> <p>このページで認証が完了したら再び <a href="https://tailscale.com/kb/1131/synology/" target="_blank" title="Access Synology NAS from anywhere · Tailscale">Tailscale パッケージ</a>を開いて</p> <figure style='margin:0 auto;text-align:center;'><a href="./connected-2.png"><img src="./connected-2.png" srcset="./connected-2.png 566w" sizes="(min-width:600px) 500px, 80vw" alt="" loading="lazy"></a></figure> <p>てな感じに表示されれば接続完了である。 うん，簡単簡単。</p> <p>なお IP アドレスの <code>100.64.0.0/10</code> 領域は Carrier-Grade NAT の “Shared Address Space” (<a href="https://datatracker.ietf.org/doc/html/rfc6598" target="_blank" title="IANA-Reserved IPv4 Prefix for Shared Address Space">RFC 6598</a>) として確保されているものらしい。 こんなん使って大丈夫か？ と思うが，まぁユーザ側が気にすることではあるまい。</p> <h2>tailscale-synology のアップデート</h2> <p>Synology NAS から見て <a href="https://github.com/tailscale/tailscale-synology" target="_blank" title="tailscale/tailscale-synology: Synology packages for tailscale.com">tailscale-synology</a> はサードパーティ製品なので自動アップデートに対応してないらしい。 故に GitHub の <a href="https://github.com/tailscale/tailscale-synology" target="_blank" title="tailscale/tailscale-synology: Synology packages for tailscale.com">tailscale/tailscale-synology</a> リポジトリのリリース情報に注意して手動でアップデートを行う必要がある。</p> <p>インストール後のパッケージセンターの表示を見ると</p> <figure style='margin:0 auto;text-align:center;'><a href="./tailscale-package-center-1.png"><img src="./tailscale-package-center-1.png" srcset="./tailscale-package-center-1.png 909w" sizes="(min-width:600px) 500px, 80vw" alt="" loading="lazy"></a></figure> <p>となっている。 2021-10-31 時点の最新は <a href="https://github.com/tailscale/tailscale-synology/releases/tag/v1.16.2" target="_blank" title="Release v1.16.2: update to 1.16.2 · tailscale/tailscale-synology">v1.16.2</a> なのでちょっと古いようだ。</p> <p>“<a href="https://github.com/SynoCommunity/spksrc/wiki/Architecture-per-Synology-model" target="_blank" title="Architecture per Synology model · SynoCommunity/spksrc Wiki">List of spksrc architecture per Synology model</a>” によると <a href="https://www.synology.com/ja-jp/products/DS220j" target="_blank" title="DS220j | Synology Inc.">DS220j</a> は “rtd1296 (armv8)” だそうなので <code>tailscale-armv8-1.16.2-2013-dsm7.spk</code> ファイルをダウンロードして適用すればいいのかな。 やってみよう。</p> <p>上の画面の右上にある <code>[手動インストール]</code> ボタンを押して「パッケージのアップロード」を開く。</p> <figure style='margin:0 auto;text-align:center;'><a href="./upload-tailscale-package-1.png"><img src="./upload-tailscale-package-1.png" srcset="./upload-tailscale-package-1.png 707w" sizes="(min-width:600px) 500px, 80vw" alt="" loading="lazy"></a></figure> <p>ここで先ほどダウンロードしたファイルを指定して <code>[次へ]</code> ボタンを押すと</p> <figure style='margin:0 auto;text-align:center;'><a href="./upload-tailscale-package-3.png"><img src="./upload-tailscale-package-3.png" srcset="./upload-tailscale-package-3.png 705w" sizes="(min-width:600px) 500px, 80vw" alt="" loading="lazy"></a></figure> <p>と警告が出るが，ビビりつつ <code>[同意する]</code> ボタンを押す。 すると「設定の確認」が出るので</p> <figure style='margin:0 auto;text-align:center;'><a href="./upload-tailscale-package-4.png"><img src="./upload-tailscale-package-4.png" srcset="./upload-tailscale-package-4.png 707w" sizes="(min-width:600px) 500px, 80vw" alt="" loading="lazy"></a></figure> <p><code>[完了]</code> ボタンを押す。 アップデートが完了すると，先ほどのパッケージセンターの表示が</p> <figure style='margin:0 auto;text-align:center;'><a href="./tailscale-package-center-2.png"><img src="./tailscale-package-center-2.png" srcset="./tailscale-package-center-2.png 909w" sizes="(min-width:600px) 500px, 80vw" alt="" loading="lazy"></a></figure> <p>とバージョンが上がっていることがわかる。</p> <p>よーし，うむうむ，よーし。</p> <h2 id="android">Android 端末に Tailscale をインストールする</h2> <p>次は手持ちの Android 機に <a href="https://tailscale.com/" target="_blank" title="Tailscale · Best VPN Service for Secure Networks">Tailscale</a> をインストールして，外から前節で設定した Synology NAS にアクセスしてみる。</p> <p>Andorid 版 <a href="https://tailscale.com/" target="_blank" title="Tailscale · Best VPN Service for Secure Networks">Tailscale</a> は Google Play Store からインストールできる。</p> <figure style='margin:0 auto;text-align:center;'><a href="./tailscale-in-google-play-store.png"><img src="./tailscale-in-google-play-store.png" srcset="./tailscale-in-google-play-store.png 1024w" sizes="(min-width:600px) 500px, 80vw" alt="" loading="lazy"></a></figure> <p>いや，3歳は無理やろ（笑）</p> <p>インストールを完了しアプリを開くとサインイン画面になる。</p> <figure style='margin:0 auto;text-align:center;'><a href="./signin-by-tailscale-android.png"><img src="./signin-by-tailscale-android.png" srcset="./signin-by-tailscale-android.png 1024w" sizes="(min-width:600px) 500px, 80vw" alt="" loading="lazy"></a></figure> <p>「あれ？ Google だけ？」と一瞬思ったが，焦らず <code>[Sign in with Other]</code> ボタンを押すと NAS のときと同じ <a href="https://tailscale.com/" target="_blank" title="Tailscale · Best VPN Service for Secure Networks">tailscale</a>.com のサインイン・ページが開く。</p> <figure style='margin:0 auto;text-align:center;'><a href="./signin-by-tailscale-browser.png"><img src="./signin-by-tailscale-browser.png" srcset="./signin-by-tailscale-browser.png 1024w" sizes="(min-width:600px) 500px, 80vw" alt="" loading="lazy"></a></figure> <p>Google 以外ならこちらのページで認証を行うとよい。 認証が完了すると</p> <figure style='margin:0 auto;text-align:center;'><a href="./connected-by-android-2.png"><img src="./connected-by-android-2.png" srcset="./connected-by-android-2.png 1024w" sizes="(min-width:600px) 500px, 80vw" alt="" loading="lazy"></a></figure> <p>などと表示される。 自機以外に先程の NAS も表示されているのが分かるだろうか。 なお <a href="https://tailscale.com/" target="_blank" title="Tailscale · Best VPN Service for Secure Networks">Tailscale</a> で接続済みの機器は，ブラウザでも<a href="https://login.tailscale.com/admin/machines" target="_blank">機器一覧ページ</a>で確認することができる。</p> <p>この状態で <a href="https://play.google.com/store/apps/details?id=com.skyjos.apps.fileexplorer" target="_blank" title="File Explorer Pro - file manager and file transfer - Google Play">FE File Explorer Pro</a> を使ってアプリに表示されている IP アドレスに対して SMB 接続を確認できた。 めでたし！</p> <p>ちなみに私は「<a href="https://baldanders.info/blog/000773/" target="_blank" title="VPN に関する基礎学習">バイパス型 VPN</a>」として F-Secure 社の <a href="https://www.f-secure.com/en/home/products/freedome" target="_blank" title="F-Secure FREEDOME VPN — Secure and private browsing | F-Secure">FREEDOME VPN</a> を購入して使っているが，これを起動した状態で <a href="https://tailscale.com/" target="_blank" title="Tailscale · Best VPN Service for Secure Networks">Tailscale</a> を有効にしても問題なく相手機器に接続できた。 よかった，よかった。</p> <h2>ブックマーク</h2> <ul> <li> <p><a href="https://tailscale.com/blog/tailscale-v1.16/" target="_blank">Tailscale v1.16 · Tailscale</a></p> </li> <li> <p><a href="https://tailscale.com/kb/1013/sso-providers/" target="_blank">Supported SSO identity providers (Google, AzureAD, GitHub, Okta, etc) · Tailscale</a></p> </li> <li> <p><a href="https://tailscale.com/kb/1152/synology-outbound/" target="_blank">Enabling Synology outbound connections · Tailscale</a></p> </li> <li> <p><a href="https://tailscale.com/blog/github-codespaces/" target="_blank">Tailscale for developers: Connect to your resources from GitHub Codespaces · Tailscale</a></p> </li> <li> <p><a href="https://internet.watch.impress.co.jp/docs/column/shimizu/1303751.html" target="_blank">100台まで無料のVPNサービス「tailscale」、リンクだけでマシンのシェアも可能!?【イニシャルB】 - INTERNET Watch</a></p> </li> <li> <p><a href="https://blog.tsukumijima.net/article/tailscale-vpn/" target="_blank">Tailscale VPN を使ってみたので感想 | つくみ島だより</a></p> </li> <li> <p><a href="https://4b-media.net/tailscale/" target="_blank">リモートワーク向けにセキュアなVPNを構築【tailscale】 | 4b-media</a></p> </li> <li> <p><a href="https://tailscale.com/blog/tailscale-ssh-ga" target="_blank">Tailscale SSH is now Generally Available</a></p> <ul> <li><a href="https://www.publickey1.jp/blog/24/tailscale_sshsshvscode.html" target="_blank">「Tailscale SSH」が正式版に到達。面倒な鍵管理が不要のSSH、VSCode拡張機能でリモートファイルも編集可能 － Publickey</a></li> </ul> </li> <li> <p><a href="https://text.baldanders.info/remark/2020/07/vpn-as-a-gatekeeper/" target="_blank">「門番」としての VPN</a></p> </li> <li> <p><a href="https://text.baldanders.info/remark/2020/09/nist-sp-800-207-zero-trust-architecture/" target="_blank">NIST SP 800-207: “Zero Trust Architecture”</a></p> </li> </ul> <div class="footnotes" role="doc-endnotes"> <hr> <ol> <li id="fn:1"> <p><a href="https://tailscale.com/" target="_blank" title="Tailscale · Best VPN Service for Secure Networks">Tailscale</a> 接続先機器を出口ノードとしてネットワークにアクセスすることは可能，<a href="https://tailscale.com/kb/1019/subnets/" target="_blank" title="Subnet routers and traffic relay nodes · Tailscale">らしい</a>。&#160;<a href="#fnref:1" class="footnote-backref" role="doc-backlink">&#x21a9;&#xfe0e;</a></p> </li> </ol> </div>