Cara Kerja Tailscale: Bagaimana Perangkat Tersambung Langsung

VPN biasa berbentuk bintang: semua perangkat tersambung ke satu server VPN, dan kalau dua perangkat ingin berkomunikasi, lalu lintasnya ke server dulu baru kembali. Server itu menjadi hambatan sekaligus titik tunggal: kalau lambat, semua ikut lambat; kalau mati, semua terputus.

Tailscale berbentuk jaring (mesh): setiap pasang perangkat punya terowongan langsungnya sendiri. Saat ponsel membuka NAS di rumah, lalu lintasnya langsung dari ponsel ke NAS, lewat jalur terpendek di antara keduanya. Tidak ada satu mesin pun yang menanggung semua lalu lintas.

Harga dari bentuk jaring adalah pengelolaan yang rumit: sepuluh perangkat yang saling tersambung berarti empat puluh lima terowongan, dan masing-masing harus bertukar kunci serta tahu alamat pihak lain saat ini. Mengurusnya manual tidak realistis; seluruh pekerjaan Tailscale adalah mengotomatiskan hal itu.

Setelah Tailscale terpasang, tiap perangkat membuat sepasang kunci sendiri. Kunci privat selalu tinggal di perangkat, kunci publik diserahkan ke server kontrol (Tailscale menyebutnya coordination server). Begitu Anda login, server kontrol tahu “perangkat ini milik siapa”.

Server kontrol memegang sebuah tabel: kunci publik tiap perangkat, alamat internal yang diberikan, alamat jaringan tempat perangkat itu saat ini bisa ditemukan, dan aturan akses siapa boleh tersambung ke siapa. Baris-baris yang boleh Anda akses dikirim ke perangkat Anda. Setiap kali ada perangkat yang online, offline, atau pindah jaringan, tabelnya diperbarui lalu dikirim ke perangkat yang terkait.

Server kontrol tidak meneruskan lalu lintas Anda dan tidak memegang kunci privat, jadi ia tidak bisa membuka komunikasi antarperangkat. Ia seperti resepsionis yang hanya membagikan buku telepon dan kartu akses: memberi tahu di mana pihak lain dan apakah Anda boleh masuk; apa yang dibicarakan di dalam, ia tidak ikut mendengar.

Login memakai sistem akun yang sudah Anda punya (single sign-on), bukan kata sandi VPN tersendiri; kunci perangkat kedaluwarsa secara berkala dan perlu login ulang untuk konfirmasi, dan perangkat yang hilang cukup dihapus di panel admin agar kehilangan akses.

Yang benar-benar mengirim data adalah WireGuard. Setelah sebuah perangkat mendapat kunci publik perangkat lain, keduanya bisa membangun terowongan terenkripsi; tiap ujung mengenali kunci publik pihak lain, dan siapa pun di tengah tidak bisa membaca maupun mengubahnya.

Tailscale tidak mengubah bagian enkripsi WireGuard. Yang dikerjakannya adalah hal-hal yang tidak diurus WireGuard sendiri: bagaimana kunci dibagikan, bagaimana alamat diberikan, dan bagaimana perangkat saling menemukan lagi setelah pindah jaringan. Cara kerja WireGuard dibahas di Mengenal WireGuard.

Di jaringan ini tiap perangkat punya alamat internal tetap (yang diawali 100), dan alamat itu tidak berubah entah perangkat sedang memakai internet rumah, jaringan kantor, atau data seluler. Jadi Anda bisa selalu membuka NAS di rumah dengan alamat yang sama. Dengan MagicDNS, Anda bahkan bisa memakai nama perangkat.

Komputer di rumah tidak punya alamat publik; untuk keluar ke internet ia lewat router yang melakukan penerjemahan alamat (NAT). Router hanya meloloskan koneksi yang “dimulai dari dalam”, sedangkan yang datang mengetuk dari luar selalu ditolak. Kalau dua perangkat sama-sama di balik routernya masing-masing, tidak ada yang bisa mengetuk pintu pihak lain lebih dulu; inilah sulitnya koneksi langsung.

Cara Tailscale ada tiga langkah. Pertama, tiap perangkat bertanya ke sebuah server publik “dari alamat dan port mana saya terlihat keluar”, sehingga ia tahu bagaimana wujudnya di luar router (layanan seperti ini disebut STUN). Kedua, kedua perangkat bertukar alamat luar itu lewat server kontrol. Ketiga, kedua pihak serentak mengirim paket ke alamat luar pihak lain: router masing-masing melihatnya sebagai “dimulai dari dalam” dan membuka celah untuk balasan, paket dari kedua sisi masuk lewat celah itu, dan koneksinya tersambung. Inilah yang biasa disebut hole punching.

Hole punching memakai UDP. Kebanyakan router rumahan bisa ditembus; tetapi ada jaringan yang cara penerjemahan alamatnya sangat ketat (setiap tujuan baru mendapat port luar yang berbeda), atau yang memblokir UDP sama sekali, dan di situ hole punching gagal.

Hole punching tidak selalu berhasil, jadi Tailscale menyiapkan sejumlah server relay bernama DERP. Kalau dua perangkat belum bisa tersambung langsung, keduanya tersambung ke DERP yang sama, dan DERP meneruskan paket terenkripsi ke pihak lain. DERP berjalan di atas HTTPS (TCP 443), yang diloloskan hampir semua jaringan.

Yang diteruskan relay adalah paket yang sudah dienkripsi WireGuard. DERP tidak punya kuncinya, jadi ia hanya melihat “siapa mengirim ke siapa, berapa besar”, bukan isinya.

Koneksi selalu dimulai lewat relay: begitu dua perangkat online, mereka berbicara lewat DERP dulu supaya langsung tersambung, sementara di latar belakang mencoba hole punching; begitu koneksi langsung berhasil, lalu lintas diam-diam dipindahkan tanpa memutus koneksi. Jadi kalau beberapa detik pertama latensinya agak tinggi lalu turun, itu normal.

Kalau terus tertahan di relay, kecepatan dan latensi tergantung seberapa jauh dan seberapa sibuk relay itu, biasanya lebih lambat daripada koneksi langsung. Di aplikasi Tailscale terlihat apakah koneksi saat ini langsung (direct) atau lewat relay (relay).

• Exit node: setelah satu perangkat ditetapkan sebagai titik keluar, semua lalu lintas internet dari perangkat Anda yang lain dikirim terenkripsi ke sana dulu, lalu keluar dari jaringannya. Hasilnya sama dengan VPN biasa: yang terlihat dari luar adalah alamat exit node. Exit node bisa komputer di rumah Anda sendiri, bisa juga server dari penyedia layanan.
• Subnet router: satu perangkat yang terpasang Tailscale menjadi perantara untuk seluruh jaringan lokal tempat ia berada. Printer, kamera, NAS lama, dan perangkat lain yang tidak bisa dipasangi Tailscale bisa diakses lewat perangkat itu.
• Kontrol akses (ACL): secara bawaan semua perangkat milik Anda bisa saling akses; untuk tim, Anda bisa menulis aturan siapa dan perangkat mana boleh mengakses port mana. Aturan dikirim oleh server kontrol dan dijalankan oleh tiap perangkat.
• MagicDNS: memberi nama untuk tiap perangkat, jadi Anda tidak perlu menghafal alamat yang diawali 100.

• Dengan WireGuard: WireGuard adalah protokol untuk satu terowongan, hanya mengurus cara kedua ujung berkomunikasi terenkripsi; kunci tiap ujung dan alamat pihak lain harus Anda atur sendiri secara manual. Tailscale adalah sistem lengkap di atasnya yang mengurus login, pembagian kunci, pemberian alamat, NAT traversal, dan relay untuk Anda.
• Dengan layanan VPN biasa: VPN biasa berarti “semua lalu lintas ke satu server”, fokusnya mengganti titik keluar; fokus Tailscale adalah “perangkat saling terhubung”, sedangkan mengganti titik keluar hanya fitur tambahan (exit node).
• Dengan alat port forwarding/tunneling (seperti frp): alat semacam ini membuka port tertentu dari jaringan lokal ke internet publik, sehingga siapa pun yang tahu alamatnya bisa mengakses, dan keamanannya bergantung pada layanan itu sendiri; Tailscale tidak membuka port apa pun, hanya perangkat milik Anda yang sudah login yang bisa masuk.
• Dengan ZeroTier: idenya mirip, sama-sama membangun jaringan otomatis; ZeroTier memakai protokolnya sendiri dan meniru jaringan layer 2, sedangkan Tailscale memakai WireGuard dan bekerja di layer 3.

Aplikasi Tailscale bersifat open source, sedangkan server kontrolnya adalah layanan yang dijalankan perusahaan Tailscale. Headscale adalah server kontrol open source buatan komunitas yang menerapkan protokol yang sama, dan aplikasi resmi bisa diarahkan ke sana. Dengan begitu daftar perangkat, direktori kunci, dan aturan akses ada di tangan Anda sendiri.

Opsi “Use custom server / Use an alternate server” (pakai server kontrol lain) di aplikasi memang disediakan untuk itu: isi sebuah alamat, dan aplikasi tidak lagi tersambung ke server perusahaan Tailscale, melainkan ke server yang Anda tentukan.

Setelah memakai server sendiri, cara login, jumlah perangkat yang boleh tersambung, dan exit node apa saja yang tersedia ditentukan oleh pengelola server kontrol itu, dan tidak ada hubungannya dengan kuota gratis maupun paket berbayar resmi Tailscale.

• Hole punching bergantung pada UDP. Banyak internet rumah di China membatasi kecepatan UDP, dan jaringan internal besar milik operator (NAT berlapis) membuat hole punching makin sulit, jadi peluang lewat relay lebih tinggi daripada di luar China.
• Saat lewat relay, kecepatan tergantung letak relay-nya. Relay yang jauh berarti latensi tinggi; inilah alasan utama pengalaman memakai Tailscale di China sangat bervariasi.
• Format paket WireGuard tetap dan tidak disamarkan, jadi di jaringan dengan pemeriksaan ketat bisa dikenali dan dibatasi kecepatannya. Tailscale adalah alat untuk membangun jaringan, bukan dirancang untuk menembus blokir.
• Menyalakannya terus di ponsel tidak masalah: terowongan yang tidak dipakai hampir tidak menguras baterai, dan koneksi pulih sendiri saat berpindah antara Wi‑Fi dan data seluler.

Bagian “Privat” di LeoTun memakai aplikasi resmi Tailscale yang disambungkan ke server kontrol yang kami jalankan sendiri: login sekali dengan akun situs ini, dan perangkat tetap online; kami menyediakan exit node di berbagai wilayah, dan Anda cukup memilih wilayah di menu Exit Node pada aplikasi untuk mengganti titik keluar tanpa mengimpor ulang konfigurasi; ponsel, komputer, dan NAS dalam satu akun bisa saling akses langsung.

Karena yang dipakai adalah server kontrol situs ini, jumlah perangkat dihitung sesuai paket akun di situs ini, tidak ada hubungannya dengan akun dan kuota resmi Tailscale; kalau perangkat sudah login ke akun resmi Tailscale, logout dulu lalu login dengan akun situs ini. Langkah pemasangan dan login bergambar ada di Apa itu Privat (Tailscale), dan pintu masuknya di halaman Privat.

Kalau jaringan Anda membatasi UDP dan Privat terasa lambat dan tidak stabil, akun yang sama bisa beralih ke cara koneksi lain; lihat Cara koneksi mana yang cocok untuk situasi apa.