By Tự dựng VPN cá nhân với Tailscale Exit Node, không cần cấu hình lằng nhằng
Nếu bạn từng thử tự dựng VPN bằng WireGuard hay OpenVPN, chắc bạn hiểu cảm giác ngồi mò iptables đến khuya mà gói tin vẫn không chịu đi ra internet. Mình cũng từng như vậy, cho đến khi phát hiện ra Tailscale có một tính năng khá hay mà ít người để ý: Exit Node.
Bình thường mọi người dùng Tailscale để nối các thiết bị lại thành một mạng riêng (mesh network). Nhưng với Exit Node, bạn có thể biến bất kỳ máy nào trong mạng thành một VPN server đúng nghĩa, và toàn bộ quá trình chỉ tốn đúng 2 câu lệnh. Bài này mình sẽ hướng dẫn chi tiết cách làm.
Exit Node là gì và nó hoạt động ra sao?
Mặc định, Tailscale chỉ định tuyến kết nối giữa các thiết bị chạy Tailscale với nhau. Còn khi bạn lướt web, xem YouTube hay đọc báo thì lưu lượng vẫn đi thẳng qua nhà mạng như bình thường, Tailscale không đụng vào.
Exit Node thay đổi điều đó. Khi bật lên, toàn bộ lưu lượng internet của thiết bị sẽ được mã hóa và đẩy về một máy chủ trong mạng Tailscale của bạn. Máy chủ đó sẽ thay bạn đi ra internet – giống hệt cách một dịch vụ VPN thương mại hoạt động, chỉ khác là server do chính bạn kiểm soát.
Ví dụ cho dễ hình dung: bạn đang công tác ở Nhật nhưng muốn truy cập internet với IP Việt Nam. Chỉ cần trỏ Exit Node về một con VPS đặt tại Việt Nam, mọi truy cập của bạn sẽ “bay” về Việt Nam trước rồi mới ra ngoài. Website đích chỉ thấy IP của VPS, hoàn toàn không biết bạn đang ngồi ở Nhật.
Vậy dùng để làm gì?
Hai trường hợp mình thấy hữu ích nhất:
- Bảo mật trên WiFi công cộng. Ngồi quán cà phê hay sân bay mà dùng WiFi chùa thì rủi ro bị nghe lén là có thật. Bật Exit Node lên, toàn bộ traffic đi qua đường hầm mã hóa, kẻ xấu trên cùng mạng WiFi chỉ thấy một mớ dữ liệu vô nghĩa.
- Vượt giới hạn địa lý. Muốn xem Netflix Việt Nam khi đang ở nước ngoài, hoặc đăng nhập app ngân hàng nội địa vốn chặn IP quốc tế? Exit Node đặt ở Việt Nam giải quyết gọn.
So với tự cấu hình WireGuard thì sao?
Tailscale thực ra được xây trên nền WireGuard, nên tốc độ và độ bảo mật tương đương. Khác biệt nằm ở công sức cấu hình.
Với WireGuard “chay”, bạn phải tự mở port trên firewall, tự viết rule NAT bằng iptables/ufw, rồi còn phải xử lý chuyện IP động bị nhà mạng đổi liên tục (thường phải dùng DDNS hoặc tự viết script). Tailscale lo hết những thứ đó cho bạn:
| Yếu tố | WireGuard thủ công | Tailscale Exit Node |
|---|---|---|
| Cấu hình | Phức tạp, cần kiến thức mạng | 2 dòng lệnh là xong |
| Mở port / firewall | Bắt buộc | Không cần |
| IP động | Tự lo bằng script hoặc DDNS | Tự động xử lý |
Các bước thiết lập
1. Cài Tailscale lên cả hai đầu
Cài Tailscale và đăng nhập trên cả máy chủ (VPS/server) lẫn thiết bị bạn dùng hằng ngày (laptop, điện thoại). Tailscale có mặt trên Windows, macOS, Linux, iOS, Android – tải từ trang chủ hoặc app store, đăng nhập bằng Google, Microsoft hoặc GitHub là xong.
2. Quảng bá máy chủ làm Exit Node
SSH vào VPS và chạy:
tailscale up --advertise-exit-nodeLệnh này báo cho mạng Tailscale của bạn biết: “máy này sẵn sàng làm lối ra internet cho các thiết bị khác”.
3. Duyệt trên Admin Console
Để tránh chuyện một máy vô tình thành Exit Node ngoài ý muốn, Tailscale bắt bạn xác nhận thêm một bước trên web:
- Đăng nhập Tailscale Admin Console.
- Vào danh sách Machines, tìm máy chủ vừa chạy lệnh ở bước 2.
- Bấm menu ba chấm → Route settings → bật “Use as Exit Node”.
Xong bước này là máy chủ của bạn chính thức thành VPN server.
4. Kết nối từ máy client
Quay lại chiếc laptop bạn đang dùng. Trước tiên có thể xem Exit Node nào đang khả dụng:
tailscale status | grep exitRồi trỏ toàn bộ traffic qua nó, bằng IP:
tailscale up --exit-node=<exit-node-ip>hoặc bằng tên máy cho dễ nhớ:
tailscale up --exit-node=<exit-node-name>Nhấn Enter là Tailscale tự sửa bảng định tuyến của hệ điều hành, gom hết gói tin đẩy về máy chủ đã chọn. Trên app có giao diện đồ họa thì chỉ cần vài cú click.
5. Kiểm tra xem đã ăn chưa
Đừng bỏ qua bước này. Kiểm tra IP công cộng hiện tại:
curl ifconfig.meNếu kết quả là IP của VPS (chứ không phải IP mạng WiFi bạn đang ngồi) thì chúc mừng, mọi thứ đã chạy. Trên Linux, bạn có thể soi thêm bảng định tuyến:
ip route | grep tailscale6. Tắt Exit Node khi không cần
Muốn quay về trạng thái mạng bình thường (ví dụ để truy cập thiết bị nội bộ ở nơi đang ngồi), chỉ cần chạy lại lệnh với giá trị rỗng:
tailscale up --exit-node=Nâng cấp: chạy Exit Node ngay trên router
Nhà có nhiều thiết bị – Tivi, camera, loa thông minh – mà mấy thứ này lại không cài được VPN thì sao? Câu trả lời là đưa Tailscale lên thẳng router.
Một số router hỗ trợ sẵn, ví dụ dòng GL.iNet (như Flint 2) cho phép bật Tailscale ngay trong giao diện quản trị web. Bạn chỉ cần đăng nhập Tailscale trên router, vào mục Custom Exit Node, chọn máy chủ đã cấu hình ở trên và bấm Apply. Từ đó, mọi thiết bị kết nối vào WiFi của router này đều tự động đi qua VPN, không cần cài thêm gì.
Với mình, Exit Node là tính năng biến Tailscale từ “công cụ nối máy” thành một giải pháp VPN cá nhân hoàn chỉnh:
- Xem được nội dung bị giới hạn theo vùng.
- An tâm hơn khi dùng mạng công cộng.
- Không phải thức đêm vật lộn với WireGuard hay OpenVPN.
- Không phải mở port, không đụng vào firewall.
Setup của mình hiện tại: một VPS ở Việt Nam làm Exit Node, router ở Osaka kết nối về – xem phim nội địa mượt như đang ngồi ở nhà. Nếu bạn có sẵn một con VPS, thử ngay đi, cả quá trình chưa đến 10 phút.
Chia sẻ: Thuận Bùi
