संबंधित गाइड
Tailscale को गहराई से समझें: डिवाइस आपस में सीधे कैसे जुड़ते हैं
अपडेट किया गया
Tailscale का काम एक वाक्य में: आपके हर डिवाइस को एक तय प्राइवेट पता मिलता है, और फिर डिवाइस आपस में सीधे WireGuard की एन्क्रिप्टेड टनल बना लेते हैं, किसी बीच के सर्वर से होकर नहीं। यह नेटवर्क सिस्टम को दो हिस्सों में बाँटता है: कंट्रोल प्लेन सिर्फ़ पहचान करता है, चाबियाँ बाँटता है और हर डिवाइस को बताता है कि “बाक़ी डिवाइस इस वक़्त कहाँ हैं”; डेटा प्लेन डिवाइसों के बीच सीधा एन्क्रिप्टेड कनेक्शन है, और आपका ट्रैफ़िक कंट्रोल सर्वर से होकर नहीं जाता। मुश्किल यह है कि घर और ऑफ़िस के डिवाइस राउटर के पीछे छिपे होते हैं और उनके पास पब्लिक पता नहीं होता; Tailscale NAT ट्रैवर्सल से उन्हें सीधे जोड़ता है, और बिल्कुल न जुड़ें तो रिले से काम चलाता है। नीचे इसी क्रम में बात करेंगे।
पारंपरिक VPN और Tailscale का फ़र्क़: स्टार बनाम मेश
पारंपरिक VPN स्टार जैसा होता है: सारे डिवाइस एक VPN सर्वर से जुड़ते हैं, और दो डिवाइस को आपस में बात करनी हो तो ट्रैफ़िक पहले सर्वर तक जाता है, फिर लौटता है। सर्वर बॉटलनेक भी है और कमज़ोर कड़ी भी: वह धीमा तो सब धीमे, वह बंद तो सब कटे।
Tailscale मेश (जाल) जैसा है: हर दो डिवाइस के बीच अपनी सीधी टनल होती है। फ़ोन से घर का NAS खोलें, तो ट्रैफ़िक फ़ोन से सीधे NAS तक जाता है, दोनों के बीच के सबसे छोटे रास्ते से। कोई एक मशीन सारा ट्रैफ़िक नहीं ढोती।
मेश की क़ीमत है मैनेजमेंट की उलझन: दस डिवाइस आपस में जुड़ें तो पैंतालीस टनल बनती हैं, हर एक में चाबियों की अदला-बदली और दूसरी तरफ़ का मौजूदा पता जानना ज़रूरी है। हाथ से यह संभालना नामुमकिन है; Tailscale का पूरा काम इसी को ऑटोमैटिक बनाना है।
कंट्रोल प्लेन: सिर्फ़ चाबियाँ और पता-सूची, ट्रैफ़िक को छूता नहीं
Tailscale इंस्टॉल होते ही हर डिवाइस अपनी चाबियों की एक जोड़ी बनाता है। प्राइवेट की हमेशा डिवाइस पर ही रहती है, पब्लिक की कंट्रोल सर्वर को दी जाती है (Tailscale इसे coordination server कहता है)। आप अकाउंट से लॉग इन करते हैं, तो कंट्रोल सर्वर जान जाता है कि “यह डिवाइस किसका है”।
कंट्रोल सर्वर के पास एक तालिका होती है: हर डिवाइस की पब्लिक की, उसे मिला प्राइवेट पता, वह इस समय किस नेटवर्क पते पर मिल सकता है, और एक्सेस नियम कि कौन किससे जुड़ सकता है। जिन पंक्तियों तक आपकी पहुँच है, वह उन्हें आपके डिवाइस को भेज देता है। कोई भी डिवाइस ऑनलाइन हो, ऑफ़लाइन हो या नेटवर्क बदले, तालिका अपडेट होती है और संबंधित डिवाइसों तक पहुँच जाती है।
कंट्रोल सर्वर आपका ट्रैफ़िक आगे नहीं भेजता और उसके पास प्राइवेट की भी नहीं, इसलिए वह डिवाइसों की आपसी बातचीत खोल नहीं सकता। इसे ऐसे रिसेप्शन डेस्क की तरह समझें जो बस फ़ोनबुक और एक्सेस कार्ड देता है: बताता है कि सामने वाला कहाँ है और आप अंदर जा सकते हैं या नहीं, पर अंदर क्या बात हुई, वहाँ वह मौजूद नहीं।
लॉग इन आपके पहले से मौजूद अकाउंट सिस्टम (सिंगल साइन-ऑन) से होता है, अलग VPN पासवर्ड नहीं बनता; डिवाइस की चाबियाँ समय-समय पर एक्सपायर होती हैं और दोबारा लॉग इन से पुष्टि करनी पड़ती है; खोया हुआ डिवाइस एडमिन पैनल से हटा दें तो उसकी पहुँच ख़त्म।
डेटा प्लेन: डिवाइसों के बीच WireGuard टनल
असल में डेटा WireGuard ढोता है। किसी डिवाइस को दूसरे की पब्लिक की मिल जाए, तो वह उसके साथ एन्क्रिप्टेड टनल बना सकता है; टनल के दोनों सिरे एक-दूसरे की पब्लिक की पहचानते हैं, और बीच में कोई न उसे पढ़ सकता है, न बदल सकता है।
Tailscale ने WireGuard के एन्क्रिप्शन वाले हिस्से में कोई बदलाव नहीं किया; वह वे काम करता है जो WireGuard ख़ुद नहीं करता: चाबियाँ कैसे बँटें, पते कैसे मिलें, और नेटवर्क बदलने पर डिवाइस एक-दूसरे को दोबारा कैसे ढूँढें। WireGuard कैसे काम करता है, यह WireGuard को गहराई से समझें में है।
इस नेटवर्क में हर डिवाइस का एक तय प्राइवेट पता होता है (100 से शुरू होने वाली रेंज), और डिवाइस घर के ब्रॉडबैंड पर हो, ऑफ़िस नेटवर्क पर या मोबाइल डेटा पर, यह पता नहीं बदलता। इसलिए घर का NAS आप हमेशा एक ही पते से खोल सकते हैं। MagicDNS के साथ डिवाइस के नाम से भी खोल सकते हैं।
NAT ट्रैवर्सल: दोनों राउटर के पीछे हों, तो सीधे कैसे जुड़ें
घर के कंप्यूटर के पास पब्लिक पता नहीं होता; बाहर जाने के लिए उसे राउटर के पता-बदलाव (NAT) से होकर जाना पड़ता है। राउटर सिर्फ़ वही कनेक्शन आने देता है जो “अंदर से पहले शुरू हुआ हो”; बाहर से कोई ख़ुद दरवाज़ा खटखटाए तो रोक देता है। दोनों डिवाइस अपने-अपने राउटर के पीछे हों, तो कोई भी पहले दूसरे का दरवाज़ा नहीं खोल सकता; सीधे कनेक्शन की यही मुश्किल है।
Tailscale इसे तीन क़दम में हल करता है। पहला, हर डिवाइस इंटरनेट पर एक सर्वर से पूछता है “तुम्हें मैं किस पते और किस पोर्ट से आता दिख रहा हूँ”, ताकि उसे पता चले कि राउटर के बाहर वह कैसा दिखता है (ऐसी सर्विस को STUN कहते हैं)। दूसरा, दोनों डिवाइस कंट्रोल सर्वर के ज़रिए यह बाहरी पता आपस में बदलते हैं। तीसरा, दोनों एक साथ एक-दूसरे के बाहरी पते पर पैकेट भेजते हैं: हर राउटर देखता है कि “अंदर से पहले भेजा गया”, तो लौटने वाले ट्रैफ़िक के लिए रास्ता खोल देता है, और दूसरी तरफ़ के पैकेट ठीक उसी रास्ते से अंदर आ जाते हैं; कनेक्शन बन गया। इसी को “होल पंचिंग” कहते हैं।
होल पंचिंग UDP पर चलती है। ज़्यादातर घरेलू राउटर पर यह सफल होती है; पर कुछ नेटवर्क में पता-बदलाव बहुत सख़्त होता है (हर नए ठिकाने के लिए नया बाहरी पोर्ट), या UDP पूरी तरह बंद होता है, और तब यह नहीं हो पाती।
DERP रिले: सीधे न जुड़ें तो बीच में कौन संभालता है
होल पंचिंग की गारंटी नहीं, इसलिए Tailscale के पास रिले सर्वर का एक समूह है, जिसे DERP कहते हैं। दो डिवाइस अभी सीधे न जुड़ पाएँ, तो दोनों एक ही DERP से जुड़ते हैं और वह एन्क्रिप्टेड पैकेट एक से दूसरे तक पहुँचाता है। DERP HTTPS (TCP 443) पर चलता है, जिसे लगभग हर नेटवर्क आने देता है।
रिले जो पैकेट आगे भेजता है वे पहले से WireGuard से एन्क्रिप्टेड होते हैं; DERP के पास चाबी नहीं, उसे सिर्फ़ “किसने किसे भेजा, कितना बड़ा” दिखता है, अंदर का कंटेंट नहीं।
कनेक्शन हमेशा रिले से शुरू होता है: दोनों डिवाइस ऑनलाइन होते ही पहले DERP के ज़रिए बात करते हैं, ताकि फ़ौरन जुड़ जाएँ; साथ ही पीछे होल पंचिंग की कोशिश चलती है, और सीधा कनेक्शन बनते ही चुपचाप उस पर आ जाते हैं, बिना कनेक्शन टूटे। इसलिए जुड़ने के शुरुआती कुछ सेकंड लेटेंसी थोड़ी ज़्यादा रहना और फिर घट जाना सामान्य है।
अगर कनेक्शन रिले पर ही अटका रहे, तो स्पीड और लेटेंसी इस पर निर्भर है कि वह रिले आपसे कितना दूर और कितना व्यस्त है; आमतौर पर सीधे कनेक्शन से धीमा। Tailscale क्लाइंट में दिखता है कि मौजूदा कनेक्शन सीधा (direct) है या रिले (relay) से।
एग्ज़िट नोड और सबनेट राउटर: सिर्फ़ डिवाइसों का आपसी जुड़ाव नहीं
- एग्ज़िट नोड (exit node): किसी एक डिवाइस को एग्ज़िट बना दें, तो बाक़ी डिवाइसों का सारा इंटरनेट ट्रैफ़िक पहले एन्क्रिप्ट होकर उसके पास जाता है, फिर उसके नेटवर्क से बाहर निकलता है। असर पारंपरिक VPN जैसा: बाहर दुनिया को एग्ज़िट नोड का पता दिखता है। एग्ज़िट नोड आपके घर का कंप्यूटर भी हो सकता है, और सर्विस प्रोवाइडर का सर्वर भी।
- सबनेट राउटर (subnet router): Tailscale वाला एक डिवाइस अपने पूरे लोकल नेटवर्क की ओर से काम करता है। प्रिंटर, कैमरा, पुराना NAS जैसे डिवाइस जिन पर Tailscale इंस्टॉल नहीं हो सकता, उसके ज़रिए पहुँच में आ जाते हैं।
- एक्सेस कंट्रोल (ACL): डिफ़ॉल्ट रूप से आपके सारे डिवाइस एक-दूसरे तक पहुँच सकते हैं; टीम में इस्तेमाल हो तो नियम लिख सकते हैं कि कौन व्यक्ति या कौन डिवाइस किन पोर्ट तक पहुँचे। नियम कंट्रोल सर्वर भेजता है, लागू हर डिवाइस ख़ुद करता है।
- MagicDNS: हर डिवाइस को एक नाम मिलता है, ताकि 100 से शुरू होने वाला पता याद न रखना पड़े।
WireGuard और पारंपरिक VPN से इसका रिश्ता
- WireGuard से: WireGuard एक टनल का प्रोटोकॉल है, जो सिर्फ़ यह देखता है कि दो सिरे एन्क्रिप्टेड बात कैसे करें; हर सिरे की चाबी और दूसरे का पता आपको हाथ से भरना पड़ता है। Tailscale उसके ऊपर बना पूरा सिस्टम है, जो लॉग इन, चाबियाँ बाँटना, पते देना, NAT ट्रैवर्सल और रिले आपके लिए करता है।
- पारंपरिक VPN सर्विस से: पारंपरिक VPN में “सारा ट्रैफ़िक एक सर्वर पर”, और मक़सद होता है बाहर निकलने की जगह बदलना; Tailscale का मक़सद है “डिवाइस आपस में जुड़ें”, निकलने की जगह बदलना उसका एक अतिरिक्त फ़ीचर (एग्ज़िट नोड) भर है।
- पोर्ट फ़ॉरवर्डिंग / टनलिंग टूल (जैसे frp या Oray का Peanut Shell) से: ये लोकल नेटवर्क का कोई पोर्ट पब्लिक इंटरनेट पर खोल देते हैं, पता जानने वाला कोई भी उस तक पहुँच सकता है, और सुरक्षा उस सर्विस के भरोसे रहती है; Tailscale कोई पोर्ट नहीं खोलता, सिर्फ़ आपके लॉग इन किए डिवाइस अंदर आ सकते हैं।
- ZeroTier से: सोच मिलती-जुलती है, दोनों ऑटोमैटिक नेटवर्क बनाते हैं; ZeroTier अपना प्रोटोकॉल इस्तेमाल करता है और लेयर 2 नेटवर्क की नक़ल करता है, जबकि Tailscale WireGuard पर लेयर 3 में काम करता है।
Headscale और अपना कंट्रोल सर्वर
Tailscale का क्लाइंट ओपन-सोर्स है, और कंट्रोल सर्वर उसकी कंपनी की चलाई सर्विस है। Headscale कम्युनिटी का बनाया ओपन-सोर्स कंट्रोल सर्वर है, जो वही प्रोटोकॉल लागू करता है, और आधिकारिक क्लाइंट को उससे जोड़ा जा सकता है। इस तरह डिवाइस लिस्ट, चाबियों की डायरेक्टरी और एक्सेस नियम आपके हाथ में रहते हैं।
क्लाइंट में जो “Use custom server / Use an alternate server” (अपना कंट्रोल सर्वर इस्तेमाल करें) विकल्प है, वह इसी के लिए है: एक पता भरें, और क्लाइंट Tailscale कंपनी के सर्वर की जगह आपके बताए सर्वर से जुड़ेगा।
अपना सर्वर चलाने पर अकाउंट से लॉग इन कैसे हो, कितने डिवाइस जुड़ें, कौन-से एग्ज़िट नोड हों, यह सब उस कंट्रोल सर्वर को चलाने वाला तय करता है; Tailscale के फ़्री कोटा और पेड प्लान से इसका कोई लेना-देना नहीं।
चीन के नेटवर्क पर इस्तेमाल करते समय ध्यान रखें
- होल पंचिंग UDP पर निर्भर है। चीन में कई ब्रॉडबैंड UDP की स्पीड सीमित करते हैं, और ऑपरेटरों के बड़े अंदरूनी नेटवर्क (कई परतों वाला पता-बदलाव) होल पंचिंग को और मुश्किल बनाते हैं, इसलिए वहाँ रिले पर जाने की संभावना विदेश से ज़्यादा है।
- रिले पर स्पीड इस पर निर्भर है कि रिले कहाँ है। रिले दूर हो तो लेटेंसी ज़्यादा; चीन में Tailscale का अनुभव इतना अलग-अलग होने की मुख्य वजह यही है।
- WireGuard के पैकेट का फ़ॉर्मेट तय है, उसे छिपाया नहीं गया, इसलिए सख़्त जाँच वाले नेटवर्क में पहचाना और धीमा किया जा सकता है। यह नेटवर्क जोड़ने का टूल है, पाबंदी पार करने के लिए नहीं बना।
- फ़ोन पर हमेशा चालू रखने में कोई दिक़्क़त नहीं: ट्रैफ़िक न हो तो टनल लगभग बैटरी नहीं खाती, और Wi‑Fi से मोबाइल डेटा पर जाने पर कनेक्शन ख़ुद लौट आता है।
LeoTun का निजी नेटवर्क इसे कैसे इस्तेमाल करता है
LeoTun का “निजी” सेक्शन Tailscale का आधिकारिक क्लाइंट ही इस्तेमाल करता है, जो हमारे अपने चलाए कंट्रोल सर्वर से जुड़ा है: इस साइट के अकाउंट से एक बार लॉग इन करें, डिवाइस हमेशा ऑनलाइन रहता है; हम हर रीजन में एग्ज़िट नोड देते हैं, क्लाइंट के Exit Node मेन्यू में रीजन चुनकर निकलने की जगह बदल लें, कॉन्फ़िगरेशन दोबारा इंपोर्ट नहीं करना; एक ही अकाउंट के फ़ोन, कंप्यूटर और NAS एक-दूसरे तक सीधे पहुँच सकते हैं।
चूँकि लॉग इन इस साइट के कंट्रोल सर्वर पर होता है, डिवाइस की गिनती इस साइट के प्लान से होती है, Tailscale के आधिकारिक अकाउंट या कोटा से नहीं; अगर डिवाइस पर पहले Tailscale का आधिकारिक अकाउंट लॉग इन है, तो पहले उससे लॉग आउट करें, फिर इस साइट वाले से लॉग इन करें। इंस्टॉल और लॉग इन के स्टेप तस्वीरों के साथ निजी नेटवर्क (Tailscale) क्या है में हैं, और शुरुआत निजी पेज से होती है।
अगर आपका नेटवर्क UDP पर पाबंदी लगाता है और निजी नेटवर्क धीमा व अस्थिर है, तो उसी अकाउंट से कोई दूसरा कनेक्शन तरीक़ा अपनाएँ; कौन-सा कनेक्शन तरीक़ा किस हालात के लिए सही है देखें।
FAQ
क्या Tailscale के सर्वर मेरा ट्रैफ़िक देख सकते हैं?
कंटेंट नहीं देख सकते। कंट्रोल सर्वर सिर्फ़ पब्लिक की, डिवाइस लिस्ट और एक्सेस नियम रखता है, प्राइवेट की डिवाइस से बाहर नहीं जाती; रिले सर्वर पहले से एन्क्रिप्टेड पैकेट आगे भेजते हैं और उनके पास चाबी नहीं। उन्हें मेटाडेटा दिखता है: कौन-सा डिवाइस ऑनलाइन है, किससे कनेक्शन बना।
Tailscale और WireGuard का आपस में क्या रिश्ता है?
WireGuard नीचे का एन्क्रिप्टेड टनल प्रोटोकॉल है; Tailscale उसके ऊपर अकाउंट लॉग इन, चाबियाँ बाँटना, पते देना, NAT ट्रैवर्सल और रिले जोड़ता है। यूँ समझें: WireGuard इंजन है, Tailscale वह पूरी गाड़ी जिसमें इंजन लगा है और जिसे सीधे चला सकते हैं।
कभी-कभी सीधा कनेक्शन (direct) न दिखकर रिले (relay) क्यों दिखता है?
इसका मतलब है कि दोनों डिवाइसों के बीच होल पंचिंग नहीं हो पाई; आम वजह है किसी एक तरफ़ के नेटवर्क में UDP बंद होना, या पता-बदलाव का बहुत सख़्त होना। रिले पर भी सब चलता है, बस स्पीड रिले की जगह पर निर्भर करती है। दूसरा नेटवर्क (जैसे फ़ोन हॉटस्पॉट) आज़माएँ, अक्सर सीधा कनेक्शन बन जाता है।
DERP क्या है?
Tailscale का रिले सर्वर। दो डिवाइस सीधे न जुड़ पाएँ, तो यह एन्क्रिप्टेड पैकेट आगे पहुँचाता है; डिवाइस ऑनलाइन होते ही पहला संपर्क भी इसी के ज़रिए होता है। यह HTTPS पर चलता है, इसलिए उन नेटवर्क में भी चल जाता है जो सिर्फ़ वेब ट्रैफ़िक आने देते हैं।
एग्ज़िट नोड और आम VPN में क्या फ़र्क़ है?
असर एक जैसा है: सारा इंटरनेट ट्रैफ़िक किसी दूसरी जगह से बाहर निकलता है। फ़र्क़ यह है कि एग्ज़िट नोड नेटवर्क का ही एक डिवाइस है, जिसे मेन्यू से कभी भी दूसरे में बदल सकते हैं या बंद कर सकते हैं; बदलते समय कुछ दोबारा सेट नहीं करना, और डिवाइसों का आपसी जुड़ाव भी नहीं टूटता।
Headscale क्या है?
Tailscale कंट्रोल सर्वर का एक ओपन-सोर्स रूप। आधिकारिक क्लाइंट में कंट्रोल सर्वर का पता इसका डाल दें, तो आपके अपने क़ब्ज़े वाला नेटवर्क सिस्टम मिल जाता है; डेटा अब भी WireGuard से जाता है और क्लाइंट भी आधिकारिक ही रहता है।
क्या Tailscale से चीन की इंटरनेट पाबंदी पार हो सकती है?
यह असल में नेटवर्क जोड़ने का टूल है: ट्रैफ़िक चीन के बाहर से तभी निकलता है जब आपके नेटवर्क में चीन के बाहर का कोई डिवाइस हो और उसे एग्ज़िट नोड बनाया गया हो। इसका ट्रैफ़िक छिपाया नहीं जाता, इसलिए UDP पर पाबंदी वाले नेटवर्क में ज़रूरी नहीं कि ठीक चले। भरोसेमंद अंतरराष्ट्रीय लाइन चाहिए तो कौन-सा कनेक्शन तरीक़ा किस हालात के लिए सही है में बाक़ी तरीक़े देखें।