Alpine LinuxにTailscaleを導入する

今回Alpine Linux環境を構築したのはTailscaleでVPN環境を作りたかったから。
ということで、前回 (Alpine Linux #3：Firefoxインストール) Firefoxまでインストールが完了したので、引き続きTailscale環境の構築を行う。

Tailscaleのインストール

Tailscale 本体をインストールする。

doas apk add tailscale

Tailscale サービスの起動と自動起動登録

Tailscaleのバックグラウンドサービス（tailscaled）を起動し、OS起動時に自動で立ち上がるように設定する。

doas rc-service tailscale start
doas rc-update add tailscale default

Tailscale ネットワークへのログイン・接続

Tailscaleを有効化してログインURLを発行する。

doas tailscale up

ターミナルに表示されたURLを[CTRL]を押しながらクリックするとFirefoxが開くのでTailscaleにログインする。
ログイン成功したら [Connect]ボタンが表示されるのでクリック。

IPパケット転送（IP Forwarding）の有効化

他端末からのパケットを中継できるように、カーネル設定を変更する。

# IP Forwarding設定を追記
echo "net.ipv4.ip_forward = 1" | doas tee -a /etc/sysctl.conf
echo "net.ipv6.conf.all.forwarding = 1" | doas tee -a /etc/sysctl.conf

# 設定を即時反映
doas sysctl -p

Exit Node設定変更

tailscaleのWEB管理画面を開き、マシン一覧から自分のマシンの右側[...]メニューより "Setup exit node..."を選択

ここに書かれた手順を実施する。
まず 1. Advertise your machine as an exit node. に書かれたコマンドを実行する。

doas tailscale set --advertise-exit-node
doas tailscale up

2. Enable your exit node の "Allow exit node routing for tailscale" にチェックを付け [Save]ボタンをクリックする。

セキュリティ強化

ファイアウォール設定

必要最小限の通信（TailscaleのUDP port 41641、およびローカルループバック）のみを許可し、それ以外の不要なポートをすべて遮断する。

以下コマンドを実行しスクリプト(

# 1. 既存ルールのクリア
doas iptables -F
doas iptables -X
doas iptables -t nat -F
doas iptables -t nat -X

# 2. デフォルトポリシー（受信・中継は拒否、送信は許可）
doas iptables -P INPUT DROP
doas iptables -P FORWARD DROP
doas iptables -P OUTPUT ACCEPT

# 3. INPUT (受信) ルール
# ループバック (自端末内通信) を許可
doas iptables -A INPUT -i lo -j ACCEPT

# 自分が発信した通信のレスポンス（返りパケット）を許可 ★インターネット接続に必須
doas iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# Tailscaleの通信（UDP 41641番ポート）を許可
doas iptables -A INPUT -p udp --dport 41641 -j ACCEPT

# Tailscale仮想インターフェースからの受信を許可
doas iptables -A INPUT -i tailscale0 -j ACCEPT

# 4. FORWARD (Exit Node中継) ルール
# Tailscaleからのパケット転送を許可
doas iptables -A FORWARD -i tailscale0 -j ACCEPT

# 中継した通信のレスポンス（返りパケット）を許可
doas iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

# 5. NAT (IPマスカレード) 設定 ★Exit Node機能に必須
doas iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

SSH停止

GUI環境やHyper-Vのコンソールからのみの操作とし、SSHサーバー（sshd）は停止しておく。

doas rc-service sshd stop
doas rc-update del sshd default

---

---