Nhiều máy chủ, một mạng riêng, không mở cổng nào

Mình có vài máy chủ đặt ở các vùng khác nhau. Chúng không có gì chung ngoài việc cùng nằm trong một mạng Tailscale, và như vậy là đủ.

Thiết lập#

Cài Tailscale, đăng nhập một lần, bật Tailscale SSH. Từ đó, từ máy chính:

ssh user@<tên-máy>
sudo -n systemctl status <dịch-vụ>

Không khóa riêng cần quản lý, không cổng SSH nào mở ra internet. Danh tính của người gõ lệnh chính là tài khoản đăng nhập vào mạng.

Quy tắc mình tự đặt#

• Một máy là nơi điều khiển. Các máy còn lại chỉ nhận lệnh.
• sudo -n cho lệnh cần quyền cao. Nếu cần mật khẩu thì lệnh thất bại ngay, không treo chờ.
• Đường mặc định luôn là Tailscale. Mọi đường khác chỉ để cứu hộ.

Thứ mình nhận được#

Cảm giác các máy ở xa nhau mà gõ lệnh như trong cùng một phòng. Quan trọng hơn cả là bề mặt tấn công nhỏ đi: không có cổng SSH nào hướng ra internet để người lạ dò.