Tailscale Funnel

Tailscale Funnel을 사용하면 Tailscale 네트워크(tailnet)에 속한 기기의 로컬 서비스를 고유한 Funnel URL을 통해 공용 인터넷에 노출할 수 있습니다. 로컬 웹 앱, 파일, 디렉터리를 공유할 수 있습니다. 방문자는 Tailscale을 설치하거나 로그인할 필요가 없습니다. 공식 웹사이트에는 현재 이 기능이 베타 단계이며 모든 요금제에서 사용할 수 있다고 표기되어 있습니다.

작동 방식

• 로컬 리소스를 공유하면 Funnel이 해당 리소스만 가리키는 고유 URL을 생성합니다. 형식은 https://기기이름.tailnet이름.ts.net과 같습니다.
• 방문자의 기기는 먼저 공용 DNS를 통해 이 URL을 조회합니다. 조회 결과는 사용자 기기의 IP가 아니라 Funnel 릴레이 서버의 IP이므로, 기기의 위치가 공용 인터넷에 노출되지 않습니다.
• 릴레이 서버는 Tailscale을 통해 사용자의 기기로 TCP 프록시를 설정하며, 이는 암호화된 터널입니다. 공식 설명에 따르면 릴레이 서버는 이 터널 안의 트래픽을 복호화할 수 없습니다.
• 사용자 기기의 Tailscale이 TLS 연결을 종료(termination)한 뒤, 복호화된 요청을 로컬 서비스로 전달해 처리합니다.

대상 사용자 및 사용 사례

• 로컬에서 개발 중인 웹 앱을 동료, 고객 또는 외부 서비스와 일시적으로 공유하려는 개발자. 예를 들어 공개 콜백 주소가 필요한 디버깅 상황이 있습니다.
• Tailscale을 사용하지 않는 사람에게 로컬 서비스에 대한 접근을 제공하려는 홈랩 및 셀프 호스팅 사용자.
• 파일이나 디렉터리를 빠르게 공유해야 하는 개인 및 소규모 팀.

서비스를 tailnet 내부에서만 공유하려는 경우 공식 문서는 Tailscale Serve를 대신 사용할 것을 권장합니다.

주요 장점

• 공유기 포트 포워딩 설정이나 공인 IP가 필요 없습니다.
• tailnet 도메인에 유효한 HTTPS 인증서를 자동으로 구성합니다.
• Funnel 릴레이를 통해 로컬 기기의 실제 IP를 숨깁니다.
• tailnet 정책 파일의 funnel 노드 속성으로 Funnel을 사용할 수 있는 사용자를 제어할 수 있습니다.

활성화 및 사용

Funnel은 기본적으로 꺼져 있으며, Tailscale CLI로 활성화하고 생성해야 합니다.

tailscale funnel 3000

처음 실행하면 Funnel 활성화를 승인하라는 웹 인터페이스가 나타납니다. 승인하면 Tailscale이 tailnet용 HTTPS 인증서를 자동으로 생성하고 정책 파일에 funnel 노드 속성을 추가합니다. 이 속성은 기본적으로 autogroup:member에 부여되며, 관리자가 직접 범위를 좁힐 수 있습니다.

기술 요구 사항

• Tailscale v1.38.3 이상.
• tailnet에서 MagicDNS와 HTTPS가 활성화되어 있어야 합니다.
• 정책 파일에 funnel 노드 속성이 있어야 합니다. 정책 파일을 수정하려면 Owner, Admin 또는 Network admin 역할이 필요합니다.
• Tailscale CLI를 실행할 수 있는 기기 플랫폼이어야 합니다.

제한 사항 및 유의점

• tailnet 도메인(tailnet-name.ts.net) 아래의 DNS 이름만 사용할 수 있으며, 사용자 지정 도메인은 사용할 수 없습니다.
• 443, 8443, 10000 포트만 수신할 수 있으며, TLS로 암호화된 연결만 지원합니다.
• 트래픽에는 설정을 변경할 수 없는 대역폭 제한이 적용됩니다.
• 같은 포트를 Serve와 Funnel에 동시에 사용할 수 없습니다. 가장 최근에 실행한 설정 명령이 우선하며, serve를 실행하면 해당 포트는 완전히 비공개가 되고 funnel을 실행하면 완전히 공개됩니다.
• macOS에서 파일과 디렉터리를 공유하려면 오픈 소스 버전의 Tailscale 클라이언트를 사용해야 합니다. App Store 또는 Standalone 시스템 확장 버전으로 설치한 클라이언트는 포트만 공유할 수 있습니다.
• 새 인증서를 자주 요청하면 Let's Encrypt의 속도 제한에 걸릴 수 있습니다.
• 새 Funnel을 만든 뒤 공용 DNS 레코드가 적용되기까지 최대 10분이 걸릴 수 있습니다.
• Funnel을 사용하면 Funnel 릴레이 서버가 기기의 Tailscale 피어 목록에 표시됩니다.