Skip to content

💻 Tailscale Agent - Interconexão de Redes (Site-to-Site) no OpenFW

O módulo TailScale Agent é utilizado no OpenFW UTM Community para interligar redes geograficamente distantes (como matriz e filiais) de forma segura e simplificada. Com ele, é possível estabelecer um túnel criptografado (mesh VPN) onde os computadores de uma sub-rede local conseguem se comunicar com os de outra, como se estivessem no mesmo ambiente.

💡 Entendendo o Conceito de Subnet Router

Ao utilizar o Tailscale Agent no OpenFW com rotas de sub-rede ativas, o firewall passa a atuar como um Subnet Router. Isso significa que ele anuncia a rede local (LAN) que está atrás dele para toda a malha Tailscale, permitindo o tráfego bi-direcional sem a necessidade de instalar o cliente do Tailscale em cada dispositivo da rede.

📥 1. Instalação do Addon

🌐 Método Padrão: Via Interface Web

A maneira mais rápida e recomendada para instalar o módulo Tailscale Agent é utilizando a loja de módulos integrada:

  • ⏱️ Acesse o menu superior e navegue até System > Addons and Packages.
  • 🔍 Localize o addon Tailscale na lista de módulos disponíveis. Se não estiver visível, clique em Update Repo.
  • 🚀 Clique em instalar e aguarde o processo automatizado ser concluído pelo painel.

💻 Método Avançado: Via Linha de Comando (CLI / SSH)

Caso prefira realizar a auditoria da instalação em tempo real pelo terminal, conecte-se via SSH com o usuário root e execute:

  • 📥 Atualiza a lista de pacotes do repositório 

    smart update

  • 📦 Instala o pacote do Tailscale Agent 

    smart install tailscale -y

Confirmação

Após o término da instalação por qualquer um dos métodos, um novo menu de gerenciamento será liberado em: VPN > TailScale Agent.

⚙️ Cenário Padrão de Exemplo de configuração do TailScale Agent + Conexão Site-to-Site

Para ilustrar este guia de configuração, utilizaremos o seguinte cenário de interconexão entre dois firewalls:

Dispositivo Localização Sub-rede Local (LAN)
FW01 Rede A 10.16.0.0/24
FW02 Rede B 10.20.0.0/24

📌 Importante: Substitua estes endereços pelos blocos IP reais da sua estrutura. É fundamental que cada firewall/filial utilize uma sub-rede distinta (sem sobreposição de IPs).

🔑 2. Gerando a Chave de Autenticação (Auth Key)

Antes de realizar as configurações no OpenFW, você deve gerar uma chave no painel do Tailscale para autorizar o ingresso dos firewalls na sua rede virtual.

  1. 🌐 Acesse o painel web do Tailscale e faça login em sua conta.
  2. ⚙️ Navegue até o menu: Settings → Keys.
  3. ➕ Clique no botão Generate auth key.
  4. 📋 Copie a chave gerada e guarde-a em um local seguro. Ela será utilizada na validação de ambos os firewalls.

💡 Dica de Segurança

A chave de autenticação funciona como uma credencial de acesso direto para autorizar novos nós na sua malha VPN. Não a compartilhe publicamente.

Tela de chaves do Tailscale, botão "Generate auth key"

⚙️ 3. Configurando o Tailscale Agent no OpenFW

Acesse o painel do seu OpenFW UTM e aplique os passos abaixo em ambos os firewalls (FW01 e FW02), ajustando apenas o campo de rede local em cada um.

  1. 🧭 Acesse o menu superior: VPN.

  2. 📂 No menu lateral esquerdo, selecione a opção TailScale Agent.

  3. 📝 Preencha o formulário de parâmetros com os dados abaixo:

  4. ⚡ Enable Service: Marque esta opção para ativar o serviço.
  5. 🔁 Accept Other Subnet Routes: Marque para permitir que este firewall aceite as rotas anunciadas por outras pontas da rede Tailscale.
  6. 🔑 Auth Key: Cole a chave de autenticação gerada no Passo 2.
  7. 🗺️ Local Subnet Routes (LAN): Insira a sub-rede pertencente ao firewall local (Exemplo no FW01: 10.16.0.0/24 | Exemplo no FW02: 10.20.0.0/24).

  8. 🚫 SNAT Subnet Routes: Mantenha esta caixa desmarcada.

  9. 💾 Clique em Save and Connect.

Após a execução, verifique se a indicação de status do serviço mudou para a cor verde com a indicação CONNECTED.

💡 Regra de Anúncio de Sub-rede

Cada firewall deve declarar no campo Local Subnet Routes exclusivamente a rede que está conectada à sua própria interface LAN local.

Tela de configuração do Tailscale dentro do OpenFW

🌐 4. Aprovando as Rotas Anunciadas no Painel Tailscale

Após conectar os firewalls, é necessário aprovar manualmente o encaminhamento de rotas no painel administrativo do Tailscale para autorizar a navegação entre as pontas.

  1. 🌐 No painel do Tailscale, acesse o menu Machines.

Lista de máquinas conectadas. Clique nos três pontinhos e depois em "Edit route settings"

  1. 🔍 Localize os dois firewalls recém-conectados na listagem de dispositivos.

  2. ⚙️ Clique no menu de opções (...) ao lado do dispositivo e selecione Edit route settings.

  3. 🥊 Marque a caixa de seleção correspondente à sub-rede anunciada por aquele firewall.

  4. 💾 Clique no botão Save.

Marque a rede e clique em Save

  1. 🔁 Repita exatamente o mesmo procedimento para o segundo firewall.

💡 Bloqueio de Segurança

Caso as rotas não sejam aprovadas no painel do Tailscale, os pacotes entre as redes serão descartados pela plataforma por questões de segurança, impedindo a comunicação.

🛡️ 5. Liberação de Regras de Tráfego (Custom Forward Rules)

Com o túnel estabelecido, você deve criar as permissões de travessia no firewall interno do OpenFW para que o tráfego da LAN possa transitar em direção ao Tailscale.

Acesse o menu: Firewall → Custom Rules → Custom Forward Rules.

💡 Boas Práticas de Segurança

Por motivos de segurança e seguindo o princípio do menor privilégio, libere apenas os IPs, portas e protocolos estritamente necessários para o funcionamento da sua aplicação. Os exemplos de liberação total da sub-rede mostrados abaixo servem apenas como ilustração didática do funcionamento das rotas.

Configuração no FW01 (Rede A)

Cadastre as seguintes regras com Ação definida como PERMITIR:

  • 🟢 Regra 1 (Saída): Origem 10.16.0.0/24 → Destino 10.20.0.0/24
  • 🔵 Regra 2 (Entrada): Origem 10.20.0.0/24 → Destino 10.16.0.0/24

Regras cadastradas no FW01

Configuração no FW02 (Rede B)

Cadastre as regras espelhadas com Ação definida como PERMITIR:

  • 🟢 Regra 1 (Saída): Origem 10.20.0.0/24 → Destino 10.16.0.0/24
  • 🔵 Regra 2 (Entrada): Origem 10.16.0.0/24 → Destino 10.20.0.0/24

Regras cadastradas no FW02

🧪 6. Testes e Validação da Conectividade

Para validar o funcionamento da comunicação inter-redes:

  1. 💻 Acesse uma estação de trabalho presente na Rede A (10.16.0.0/24).
  2. 🖥️ Abra o terminal de comandos e execute um teste de ICMP (ping) para um dispositivo IP ativo na Rede B:
ping 10.20.0.2

Se houver o recebimento dos pacotes de resposta, a interconexão Site-to-Site foi concluída com sucesso.

🔍 Resolução de Problemas (Troubleshooting)

Caso ocorra falha de comunicação entre as pontas, verifique os seguintes pontos de checagem:

  • 🌐 Status das Rotas: Confirme se as rotas foram devidamente aprovadas na aba Machines dentro da plataforma do Tailscale.
  • 🛡️ Regras do Firewall: Garanta que os blocos de sub-rede de origem e destino configurados em Custom Forward Rules estejam digitados corretamente em ambos os lados.
  • ⚙️ Configuração de NAT: Certifique-se de que a opção SNAT Subnet Routes permaneceu desativada no formulário de ambos os firewalls.