Belajar Tailscale - Enkripsi & Model Keamanan

#Pendahuluan

Setelah membahas fitur-fitur yang membuat hidup lebih mudah, saatnya bicara soal keamanan — fondasi yang membuat semua fitur itu layak dipercaya. Pertanyaan paling penting: di mana data kalian sebenarnya berada saat mengalir di tailnet?

Episode 12 menjawabnya: enkripsi end-to-end dengan WireGuard, manajemen kunci yang otomatis, dan alasan arsitektur membuat traffic tidak pernah lewat control plane. Kita juga membahas mekanisme NAT traversal, peran DERP relay sebagai fallback, dan implikasi privasi dari setiap lapisan.

#WireGuard dan Enkripsi

#Enkripsi End-to-End antar Peer

Semua traffic di tailnet dibungkus WireGuard tunnel. Enkripsi terjadi di titik asal dan dibuka di titik tujuan — tidak ada titik tengah yang melihat plaintext. Ini berlaku untuk direct connection maupun koneksi lewat DERP relay, karena relay hanya meneruskan paket yang sudah terenkripsi.

tailscale status
sudo tailscale debug prefs | grep -i key

Kombinasi tailscale status dan debug prefs menunjukkan kunci node kalian terdaftar di control plane.

#Manajemen Kunci Publik dan Privat

Tailscale mengotomatiskan apa yang dulu manual di WireGuard:

• Private key disimpan di perangkat (state file) dan tidak pernah meninggalkan node.
• Public key didaftarkan ke control plane untuk koordinasi antar peer.
• Rotasi kunci terjadi saat login ulang atau sesuai kebijakan tailnet.

sudo tailscale debug prefs | grep -i public

Kalian tidak perlu menukar key manual antar perangkat seperti WireGuard murni — control plane yang mengurus distribusi public key ke setiap peer.

#Mengapa Traffic Tidak Melalui Control Plane

Ini keputusan arsitektur yang paling penting: control plane hanya berisi metadata koordinasi — public key, endpoint alamat, konfigurasi. Traffic aplikasi mengalir langsung antar node melalui tunnel WireGuard. Kalaupun koneksi lewat DERP relay, yang dilewatkan adalah paket WireGuard terenkripsi, bukan data mentah. Artinya control plane atau relay tidak bisa membaca isi komunikasi kalian.

#NAT Traversal dan Relay

#Mekanisme NAT Traversal

Saat dua node berada di belakang NAT, Tailscale melakukan hole punching: setiap node membuka koneksi keluar ke internet, lalu kedua arah dipertemukan. Setelah koneksi langsung terbentuk, paket mengalir langsung antar node tanpa perantara.

tailscale netcheck

Output tailscale netcheck menampilkan jenis NAT masing-masing endpoint dan apakah direct connection kemungkinan berhasil.

#Peran DERP Relay

Saat NAT traversal gagal — misalnya NAT simetris yang ketat — traffic di-route lewat DERP relay. Penting untuk dipahami: DERP tidak mendekripsi traffic. Dia menerima paket WireGuard terenkripsi dari satu node dan meneruskannya ke node lain. Jadi meskipun jalur lewat relay, kerahasiaan tetap terjaga end-to-end.

tailscale derp

tailscale derp menampilkan region relay yang tersedia beserta latensinya.

#Implikasi Privasi

• Tailscale bisa melihat metadata koordinasi: siapa node kalian, endpoint IP publik, dan ukuran traffic.
• Tailscale tidak bisa melihat isi traffic: terenkripsi end-to-end.
• DERP relay bisa melihat jalur koneksi, tapi bukan plaintext.
• Untuk kebutuhan privat tertinggi, semua ini bisa dipindah ke control plane sendiri (Headscale, episode 20) dan relay sendiri.

#Model Keamanan Berlapis

#Tiga Lapisan Pertahanan

Model keamanan Tailscale bisa dirangkum dalam tiga lapisan:

1. Identitas  -> SSO + autentikasi node (episode 13)
2. Otorisasi  -> ACL dan tags (episode 6 dan 14)
3. Enkripsi   -> WireGuard end-to-end (episode ini)

Ketiganya harus diisi. Enkripsi saja tidak cukup jika ACL terbuka lebar, dan ACL saja tidak cukup jika autentikasi lemah.

#Praktik yang Diperkuat

• Gunakan node key expiry agar perangkat tak terpakai tidak menumpuk.
• Aktifkan Tailnet Lock untuk mencegah node tidak dikenal bergabung (episode 13).
• Pantau tailscale status dan review ACL secara berkala.

#Ringkasan

Model keamanan Tailscale berdiri di atas satu premis: data terenkripsi end-to-end, koordinasi dipisahkan dari traffic. NAT traversal membuat direct connection diutamakan, DERP hanya fallback yang tetap enkripsi, dan privasi terjaga di setiap jalur.

#Penutup

Episode 12 menguatkan keyakinan pada model keamanan Tailscale: kalian memahami enkripsi WireGuard end-to-end, otomasi manajemen kunci, pemisahan control plane dan data plane, serta peran DERP yang tetap menjaga kerahasiaan.

Inti yang harus dibawa pulang:

• Traffic terenkripsi end-to-end dengan WireGuard antar peer.
• Private key tidak pernah meninggalkan perangkat.
• Control plane hanya membawa metadata koordinasi, bukan traffic.
• DERP relay hanya meneruskan paket terenkripsi, tidak mendekripsi.
• tailscale netcheck dan tailscale derp untuk memeriksa jalur.
• Keamanan penuh = identitas plus otorisasi plus enkripsi.

Di episode 13 selanjutnya kita akan membahas authentication dan SSO — login via Google, GitHub, Microsoft, atau Okta dengan multi-factor authentication, serta auth keys, API keys, dan Tailnet Lock untuk melindungi tailnet dari kompromi.