Headscale 与 Derper 容器化部署指南

version: '3.8'
services:
  derper:
    image: fredliang/derper:v1.84.2
    container_name: derper
    restart: always
    ports:
      - "30443:30443/tcp"   # 自定义 HTTPS 端口
      - "3478:3478/udp"     # STUN 服务
    volumes:
      - /root/nginx-proxy-manager/letsencrypt:/app/certs/letsencrypt:ro
    command:
      - "/app/derper"
      - "--hostname=derp.yourdomain.com"
      - "--certmode=manual"
      - "--certdir=/app/certs/letsencrypt/live/npm-6"
      - "-a=:30443"
      - "--http-port=30080"
      # - "--verify-clients" # 需要部署 tailnetd

# 多阶段构建: 第一阶段编译 Derper
FROM golang:latest AS builder

LABEL org.opencontainers.image.source https://github.com/yangchuansheng/ip_derper

WORKDIR /app

ADD tailscale /app/tailscale

# 构建修改版 derper
RUN cd /app/tailscale/cmd/derper && \
    CGO_ENABLED=0 /usr/local/go/bin/go build -buildvcs=false -ldflags "-s -w" -o /app/derper && \
    cd /app && \
    rm -rf /app/tailscale

# 第二阶段: 创建运行环境
FROM ubuntu:20.04
WORKDIR /app

# 环境变量配置
ENV DERP_ADDR :30443
ENV DERP_HTTP_PORT 30080
ENV STUN_PORT 3478
ENV DERP_HOST=127.0.0.1
ENV DERP_CERTS=/app/certs/
ENV DERP_STUN true
ENV DERP_VERIFY_CLIENTS false

# 安装必要依赖
RUN apt-get update && \
    apt-get install -y openssl curl && \
    apt-get clean && \
    rm -rf /var/lib/apt/lists/*

COPY build_cert.sh /app/
COPY --from=builder /app/derper /app/derper

# 启动命令: 生成自签名证书并启动 derper 服务
CMD bash /app/build_cert.sh $DERP_HOST $DERP_CERTS /app/san.conf && \
    /app/derper -hostname=$DERP_HOST \
    -certmode=manual \
    -certdir=$DERP_CERTS \
    -stun=$DERP_STUN \
    -stun-port $STUN_PORT \
    -a=$DERP_ADDR \
    -http-port=$DERP_HTTP_PORT \
    -verify-clients=$DERP_VERIFY_CLIENTS

#!/bin/bash

CERT_HOST=$1    # 证书的主机名/IP地址
CERT_DIR=$2     # 证书存储目录
CONF_FILE=$3    # OpenSSL配置文件路径

# 创建OpenSSL配置文件，包含SAN(Subject Alternative Name)设置
echo "[req]
default_bits  = 2048
distinguished_name = req_distinguished_name
req_extensions = req_ext
x509_extensions = v3_req
prompt = no

[req_distinguished_name]
countryName = XX
stateOrProvinceName = N/A
localityName = N/A
organizationName = Self-signed certificate
commonName = $CERT_HOST: Self-signed certificate

[req_ext]
subjectAltName = @alt_names

[v3_req]
subjectAltName = @alt_names

[alt_names]
IP.1 = $CERT_HOST
" > "$CONF_FILE"

# 创建证书目录并生成自签名证书，有效期730天(2年)
mkdir -p "$CERT_DIR"
openssl req -x509 -nodes -days 730 -newkey rsa:2048 -keyout "$CERT_DIR/$CERT_HOST.key" -out "$CERT_DIR/$CERT_HOST.crt" -config "$CONF_FILE"

#!/bin/sh

# 检查是否存在自定义 Caddyfile
if [ ! -f /data/Caddyfile ]; then
  echo "未检测到 Caddyfile，使用默认配置"
  cp /staging/Caddyfile /data/Caddyfile
fi

# 启动 Caddy 服务
echo "启动 Caddy 服务..."
/usr/sbin/caddy run --adapter caddyfile --config /data/Caddyfile 2>&1 | sed 's/^/[Caddy] /' &

# 增加等待时间，确保Caddy完全启动
echo "等待Caddy启动完成..."
sleep 5

# 启动 Headscale
echo "启动 Headscale 服务..."
/bin/headscale serve 2>&1 | sed 's/^/[Headscale] /' &

# 等待所有后台进程
wait

{
        skip_install_trust
        auto_https disable_redirects
        http_port {$HTTP_PORT}
        https_port {$HTTPS_PORT}
}

# HTTP 服务配置
:{$HTTP_PORT} {
        # Web UI路径处理
        handle_path /web/* {
                uri strip_prefix /web
                file_server {
                        root /web
                }
        }

        # 其他所有请求代理到headscale
        handle {
                reverse_proxy http://headscale:8080
        }
}

{
        skip_install_trust
        auto_https disable_redirects
        http_port {$HTTP_PORT}
        https_port {$HTTPS_PORT}
}

# HTTP 服务配置
:{$HTTP_PORT} {
        # 专门处理 /web 路径
        handle_path /web/* {
                uri strip_prefix /web
                file_server {
                        root /web
                }
        }
}

# HTTPS 服务配置（使用IP时）
:{$HTTPS_PORT} {
        tls /etc/ssl/certs/letsencrypt/live/npm-6/fullchain.pem /etc/ssl/certs/letsencrypt/live/npm-6/privkey.pem
        reverse_proxy http://headscale:8080
}

{
    "Regions": {
        "901": {
            "RegionID": 901,
            "RegionCode": "My Region",
            "RegionName": "My Region DERP Server",
            "Nodes": [
                {
                    "Name": "derp1",
                    "RegionID": 901,
                    "DERPPort": 30443,
                    "HostName": "derp.yourdomain.com",
                    "IPv4": "YOUR_SERVER_IP",
                    "STUNPort": 3478,
                    "InsecureForTests": false
                }
            ]
        }
    }
}

{
    "Regions": {
        "901": {
            "RegionID": 901,
            "RegionCode": "My Region",
            "RegionName": "My Region DERP Server",
            "Nodes": [
                {
                    "Name": "derp1",
                    "RegionID": 901,
                    "DERPPort": 30443,
                    "HostName": "YOUR_SERVER_IP",
                    "IPv4": "YOUR_SERVER_IP",
                    "STUNPort": 3478,
                    "InsecureForTests": true
                }
            ]
        }
    }
}

# 多阶段构建: 第一阶段编译 Headscale
FROM golang:1.24-bookworm AS build
ARG VERSION=dev
ENV GOPATH=/go
WORKDIR /go/src/headscale

# 安装必要依赖
RUN apt-get update \
  && apt-get install --no-install-recommends --yes less jq \
  && rm -rf /var/lib/apt/lists/* \
  && apt-get clean
RUN mkdir -p /var/run/headscale

# 复制并下载依赖
COPY go.mod go.sum /go/src/headscale/
RUN go mod download

# 复制源码并编译
COPY . .
RUN CGO_ENABLED=0 GOOS=linux go install -ldflags="-s -w -X github.com/juanfont/headscale/cmd/headscale/cli.Version=$VERSION" -a ./cmd/headscale && test -e /go/bin/headscale

# 第二阶段: 创建运行环境
FROM alpine:latest

# 配置 Caddy 服务端口
ENV HTTP_PORT="80"
ENV HTTPS_PORT="443"

# 设置工作目录
WORKDIR /staging
WORKDIR /web
WORKDIR /data

# 复制配置文件
COPY ./Caddyfile /staging/Caddyfile
COPY ./derper.json /web/derper.json
COPY ./init.sh /staging/init.sh

# 安装 Caddy 服务器
RUN sed -i 's/dl-cdn.alpinelinux.org/mirrors.aliyun.com/g' /etc/apk/repositories \
    && apk add --no-cache caddy

# 从构建阶段复制编译好的二进制文件
COPY --from=build /go/bin/headscale /bin/headscale
ENV TZ=Asia/Shanghai

# 创建运行目录
RUN mkdir -p /var/run/headscale

# 暴露 API 端口
EXPOSE 8080/tcp

# 设置启动命令
CMD ["/bin/sh", "/staging/init.sh"]

# 基本配置
server_url: http://<PUBLIC_ENDPOINT>:8080  # 替换为您的公网 IP 或域名
listen_addr: 0.0.0.0:8080  # 监听所有网络接口

# TLS 配置
tls_cert_path: ""
tls_key_path: "/etc/ssl/certs/letsencrypt/live/npm-6/privkey.pem"


# DERP 配置
derp:
  server:
    enabled: false  # 默认禁用内置的 DERP 服务器
  urls:
    - http://localhost/web/derper.json
  paths: []

version: '3'

services:
  headscale:
    image: headscale/headscale:v0.26.1
    container_name: headscale
    restart: unless-stopped
    environment:
      - TZ=Asia/Shanghai
      - HTTPS_PORT=443
      - HTTP_PORT=80
    volumes:
      - ./container-config:/etc/headscale
      - ./container-data/data:/var/lib/headscale
      - ./Caddyfile:/data/Caddyfile
      - ./derper.json:/web/derper.json
      - /root/nginx-proxy-manager/letsencrypt:/etc/ssl/certs/letsencrypt:ro
    ports:
      - "8080:443"
    cap_add:
      - NET_ADMIN
      - SYS_MODULE
    sysctls:
      - net.ipv4.ip_forward=1
    security_opt:
      - no-new-privileges:true

# 指定控制服务器地址（用于自托管 Headscale）
--login-server value       # 控制服务器的基础 URL（默认为 https://controlplane.tailscale.com）

# DNS 配置
--accept-dns=<bool>        # 是否接受从控制面板下发的 DNS 配置（默认为 true）

# 路由相关
--accept-routes=<bool>     # 是否接受其他 Tailscale 节点通告的路由（默认为 false）
--advertise-routes value   # 向其他节点通告路由（用逗号分隔，如 "10.0.0.0/8,192.168.0.0/24"）
--advertise-exit-node      # 将该节点设置为 tailnet 互联网流量的出口节点

# 身份与安全
--auth-key value           # 节点授权密钥，可用于自动注册
--hostname value           # 使用自定义主机名替代操作系统提供的主机名
--shields-up=<bool>        # 阻止入站连接（默认为 false）

# 所有 tailscale login 的参数也适用于 tailscale up
# 另外，tailscale up 特有的重要参数包括：

# 认证相关
--force-reauth=<bool>      # 强制重新认证（警告：会断开 Tailscale 连接，不要在远程 SSH/RDP 会话中使用）

# 出口节点配置
--exit-node value          # 指定用于互联网流量的出口节点（IP 或基本名称）
--exit-node-allow-lan-access=<bool> # 使用出口节点时允许直接访问本地网络（默认为 false）

# 其他选项
--reset=<bool>             # 将未指定的设置重置为默认值（默认为 false）
--ssh=<bool>               # 运行 SSH 服务器，按 tailnet 管理员声明的策略允许访问（默认为 false）
--netfilter-mode value     # 网络过滤模式（可选 on、nodivert、off，默认为 on）
--stateful-filtering=<bool> # 对转发的数据包应用有状态过滤（子网路由器、出口节点等）（默认为 false）

tailscale up \
--advertise-routes 192.168.1.0/24 \
--advertise-exit-node \
--reset \
--force-reauth \
--accept-dns=true \
--accept-routes=true \
--snat-subnet-routes=true \
--exit-node-allow-lan-access=true \
--hostname=NanoPC-T6 \
--login-server=http://<公网IP地址>:8080

# 查看可用的出口节点
tailscale status

# 使用特定的出口节点（通过其 Tailscale IP 或主机名）
tailscale up \
--exit-node=exit-node \
--exit-node-allow-lan-access=true \
--login-server=http://<公网IP地址>:8080

# 或者通过 Tailscale IP 地址指定
# tailscale up --exit-node=100.x.y.z --login-server=http://<公网IP地址>:8080

# 停止使用出口节点
# tailscale up --exit-node= --login-server=http://<公网IP地址>:8080

# 查看所有命名空间
headscale users list

# 创建命名空间
headscale users create user

# 删除命名空间
headscale users destroy user

# 重命名命名空间
headscale users rename user newuser

# 列出所有节点
headscale node list

# 列出所有节点，同时显示标签信息
headscale node ls -t

# 查看特定命名空间下的节点
headscale -u user node ls

# 根据 ID 删除节点
headscale node delete -i<ID>  # 如 headscale nodes delete -i=2

# 为节点添加标签
headscale node tag -i=2 -t=tag:test  # 给 ID 为 2 的节点设置标签 tag:test

# 添加/注册节点
headscale nodes register --user private --key nodekey:bd3f70