Tailscale'i yakından tanıyın: cihazlar birbirine nasıl doğrudan bağlanır

Klasik VPN yıldız biçimindedir: Bütün cihazlar tek bir VPN sunucusuna bağlanır; iki cihaz konuşmak istediğinde trafik önce sunucuya gider, sonra geri döner. Sunucu hem darboğazdır hem de tek arıza noktası: O yavaşlarsa herkes yavaşlar, o çökerse herkesin bağlantısı kopar.

Tailscale ağ (mesh) biçimindedir: Her iki cihaz arasında ayrı, doğrudan bir tünel vardır. Telefonunuz evdeki NAS'a eriştiğinde trafik telefondan doğrudan NAS'a, ikisi arasındaki en kısa yoldan gider. Bütün trafiği tek başına taşıyan bir makine yoktur.

Mesh'in bedeli yönetim karmaşıklığıdır: On cihazın her biri birbirine bağlanınca kırk beş tünel eder; her biri için anahtar değiş tokuşu yapılmalı, karşı tarafın güncel adresi bilinmelidir. Bunu elle yürütmek gerçekçi değil; Tailscale'in bütün işi bunu otomatikleştirmektir.

Tailscale kurulan her cihaz kendi anahtar çiftini üretir; özel anahtar hiçbir zaman cihazdan çıkmaz, açık anahtar ise kontrol sunucusuna (Tailscale'in deyişiyle coordination server) verilir. Hesabınızla giriş yaptığınızda kontrol sunucusu “bu cihaz kime ait” bilgisini öğrenir.

Kontrol sunucusunun elinde bir tablo vardır: her cihazın açık anahtarı, aldığı iç ağ adresi, şu an hangi ağ adresinden ulaşılabildiği ve erişim kurallarına göre kimin kime bağlanabileceği. Erişim hakkınız olan satırları cihazınıza gönderir; bir cihaz çevrimiçi ya da çevrimdışı olduğunda veya ağ değiştirdiğinde tablo güncellenir ve ilgili cihazlara yeniden iletilir.

Kontrol sunucusu trafiğinizi aktarmaz ve özel anahtarlara sahip değildir; bu yüzden cihazlar arasındaki iletişimi çözemez. Sadece rehber ve giriş kartı dağıtan bir resepsiyon gibidir: Karşı tarafın nerede olduğunu ve içeri girip giremeyeceğinizi söyler, içeride ne konuşulduğunu duymaz.

Giriş, zaten kullandığınız hesap sistemiyle yapılır (tek oturum açma, SSO); ayrı bir VPN parolası yoktur. Cihaz anahtarlarının süresi düzenli olarak dolar ve yeniden giriş yapıp onaylamanız gerekir; kaybolan bir cihazı yönetim panelinden silerseniz erişimi biter.

Veriyi asıl taşıyan WireGuard'dır. Bir cihaz öbür cihazın açık anahtarını aldıktan sonra onunla şifreli bir tünel kurabilir; tünelin iki ucu birbirinin açık anahtarını tanır, aradaki hiç kimse trafiği okuyamaz ya da değiştiremez.

Tailscale, WireGuard'ın şifreleme kısmını değiştirmez; WireGuard'ın kendisinin ilgilenmediği işleri yapar: anahtarların nasıl dağıtılacağı, adreslerin nasıl atanacağı, ağ değiştiren cihazların birbirini nasıl yeniden bulacağı. WireGuard'ın çalışma mantığı için: WireGuard'ı yakından tanıyın.

Bu ağda her cihazın sabit bir iç ağ adresi vardır (100 ile başlayan aralık); cihaz evdeki genişbanta, şirket ağına ya da mobil veriye bağlı olsun, bu adres değişmez. Böylece evdeki NAS'a hep aynı adresle erişebilirsiniz. MagicDNS ile adres yerine doğrudan cihaz adını da kullanabilirsiniz.

Evdeki bilgisayarın genel bir adresi yoktur; internete çıkarken router üzerinden adres dönüştürmeden (NAT) geçer. Router yalnızca “içeriden başlatılan” bağlantılara izin verir, dışarıdan kapıyı çalanları geri çevirir. İki cihaz da kendi router'ının arkasındaysa hiçbiri öbürünün kapısını önce açtıramaz; noktadan noktaya bağlantının zorluğu budur.

Tailscale bunu üç adımda çözer. Önce her cihaz internetteki bir sunucuya “beni hangi adres ve porttan görüyorsun” diye sorar; böylece router'ın dışında nasıl göründüğünü öğrenir (bu tür hizmete STUN denir). İkinci adımda iki cihaz bu dış adresleri kontrol sunucusu aracılığıyla paylaşır. Üçüncü adımda iki taraf aynı anda birbirinin dış adresine paket gönderir: Her router bunu “içeriden başlatılmış” sayar ve dönüş için bir aralık açar; karşı tarafın paketleri tam bu aralıktan girer ve bağlantı kurulur. Buna “NAT delme” (hole punching) denir.

NAT delme UDP kullanır. Ev router'larının çoğunda başarılı olur; ama bazı ağlarda adres dönüştürme çok katıdır (her yeni hedef için başka bir dış port kullanılır) ya da UDP tamamen kapalıdır, o zaman delik açılamaz.

NAT delmenin başarısı garanti değildir; bu yüzden Tailscale, DERP adlı bir grup aktarma (relay) sunucusu bulundurur. İki cihaz o an doğrudan bağlanamazsa ikisi de aynı DERP sunucusuna bağlanır ve şifreli paketleri o karşıya iletir. DERP, HTTPS (TCP 443) kullanır; neredeyse her ağ buna izin verir.

Aktarma sunucusu, WireGuard ile zaten şifrelenmiş paketleri taşır; DERP'in anahtarı yoktur, yalnızca “kim kime, ne büyüklükte” gönderiyor onu görür, içeriği göremez.

Bağlantı hep aktarmayla başlar: İki cihaz çevrimiçi olur olmaz önce DERP üzerinden konuşur, böylece hemen iletişim kurulur; arka planda NAT delme denenir, doğrudan bağlantı kurulunca sessizce ona geçilir ve bu sırada bağlantı kopmaz. Bu yüzden ilk birkaç saniye gecikmenin biraz yüksek olup sonra düşmesi normaldir.

Bağlantı aktarmada kalırsa hız ve gecikme, o sunucunun size uzaklığına ve ne kadar meşgul olduğuna bağlıdır; genellikle doğrudan bağlantıdan yavaştır. Tailscale istemcisinde bir bağlantının doğrudan mı (direct) yoksa aktarma üzerinden mi (relay) gittiğini görebilirsiniz.

• Çıkış düğümü (exit node): Bir cihazı çıkış olarak belirlediğinizde öteki cihazlarınızın bütün internet trafiği şifrelenip önce ona gider, sonra onun ağından dışarı çıkar. Etkisi klasik VPN ile aynıdır; dışarıya çıkış düğümünün adresi görünür. Çıkış düğümü evdeki kendi bilgisayarınız da olabilir, bir hizmet sağlayıcının sunucusu da.
• Alt ağ yönlendirme (subnet router): Tailscale kurulu bir cihaz, bulunduğu yerel ağın tamamı için aracılık eder. Yazıcı, kamera, eski NAS gibi Tailscale kurulamayan cihazlara onun üzerinden erişilir.
• Erişim denetimi (ACL): Varsayılan olarak size ait cihazlar birbirine erişebilir; ekip kullanımında hangi kişinin ve hangi cihazın hangi portlara erişebileceğini kurallarla belirleyebilirsiniz. Kuralları kontrol sunucusu dağıtır, her cihaz kendisi uygular.
• MagicDNS: Her cihaza bir ad verir; 100 ile başlayan adresi ezberlemeniz gerekmez.

• WireGuard ile: WireGuard tek bir tünelin protokolüdür; yalnızca iki ucun nasıl şifreli konuşacağıyla ilgilenir, her uçtaki anahtarı ve karşı tarafın adresini elle ayarlamanız gerekir. Tailscale onun üzerine kurulu eksiksiz bir sistemdir; girişi, anahtar dağıtımını, adres atamayı, NAT geçişini ve aktarmayı sizin yerinize yapar.
• Klasik VPN hizmetleriyle: Klasik VPN'de “bütün trafik tek bir sunucuya gider” ve amaç çıkış noktasını değiştirmektir; Tailscale'de amaç “cihazların birbirine erişmesi”dir, çıkış değiştirmek yalnızca ek bir özelliktir (çıkış düğümü).
• Port yönlendirme ve tünel araçlarıyla (frp, ngrok gibi): Bunlar iç ağdaki bir portu internete açar; adresi bilen herkes erişebilir, güvenlik o hizmetin kendisine kalır. Tailscale hiçbir portu dışarı açmaz; yalnızca size ait ve giriş yapmış cihazlar içeri girebilir.
• ZeroTier ile: Fikir benzer, ikisi de otomatik ağ kurar; ZeroTier kendi protokolünü kullanır ve 2. katman bir ağ taklit eder, Tailscale ise WireGuard kullanır ve 3. katmanda çalışır.

Tailscale'in istemcisi açık kaynaktır, kontrol sunucusu ise şirketin işlettiği bir hizmettir. Headscale, topluluğun yazdığı açık kaynak bir kontrol sunucusudur ve aynı protokolü uygular; resmî istemci ona bağlanacak şekilde ayarlanabilir. Böylece cihaz listesi, anahtar dizini ve erişim kuralları sizin elinizde olur.

İstemcideki “Use custom server / Use an alternate server” (özel kontrol sunucusu kullan) seçeneği bunun içindir: Bir adres girersiniz, istemci artık Tailscale şirketinin sunucusuna değil, belirttiğiniz sunucuya bağlanır.

Kendi sunucunuza geçtiğinizde giriş yöntemi, kaç cihaz bağlanabileceği ve hangi çıkış düğümlerinin olacağı o kontrol sunucusunu işleten tarafından belirlenir; Tailscale'in resmî ücretsiz kotasıyla ve ücretli paketleriyle ilgisi kalmaz.

• NAT delme UDP'ye dayanır. Çin'de birçok genişbant UDP'yi yavaşlatır; operatörlerin büyük iç ağları (çok katmanlı adres dönüştürme) da delmeyi zorlaştırır, bu yüzden aktarma kullanma ihtimali yurt dışına göre yüksektir.
• Aktarmada hız, aktarma sunucusunun nerede olduğuna bağlıdır. Sunucu uzaksa gecikme yüksektir; Tailscale deneyiminin Çin'de bu kadar değişken olmasının ana nedeni budur.
• WireGuard paketlerinin biçimi sabittir ve gizlenmez; denetimin sıkı olduğu ağlarda tanınıp yavaşlatılabilir. Tailscale bir ağ kurma aracıdır, engelleri aşmak için tasarlanmamıştır.
• Telefonda sürekli açık tutmak sorun değildir: Trafik yokken tünel neredeyse hiç pil harcamaz; Wi‑Fi ile mobil veri arasında geçişte bağlantı kendiliğinden geri gelir.

LeoTun'in “Özel ağ” bölümü Tailscale'in resmî istemcisini kullanır ve onu bizim işlettiğimiz kontrol sunucusuna bağlar: Bu sitenin hesabıyla bir kez giriş yaparsınız, cihaz hep çevrimiçi kalır; çeşitli bölgelerde çıkış düğümleri sunuyoruz, istemcideki Exit Node (çıkış düğümü) menüsünden bölge seçerek çıkışı değiştirirsiniz, yapılandırmayı yeniden içe aktarmanız gerekmez; aynı hesaptaki telefon, bilgisayar ve NAS birbirine doğrudan erişebilir.

Giriş bu sitenin kontrol sunucusuna yapıldığı için cihaz sayısı bu sitedeki paketinize göre hesaplanır; Tailscale'in resmî hesabı ve kotasıyla ilgisi yoktur. Cihazda daha önce resmî Tailscale hesabıyla giriş yapılmışsa önce çıkış yapıp sonra bu sitenin hesabıyla girin. Resimli kurulum ve giriş adımları: Özel ağ (Tailscale) nedir; giriş noktası Özel ağ sayfası.

Bulunduğunuz ağ UDP'yi kısıtlıyor ve Özel ağ hem yavaş hem kararsızsa aynı hesapla başka bir bağlantı yöntemine geçebilirsiniz: Hangi bağlantı yöntemi hangi duruma uyar.