RustDesk i Tailscale: bezpłatny dostęp do 100 urządzeń

Połączenie otwartego oprogramowania RustDesk z siatkową siecią VPN Tailscale eliminuje potrzebę utrzymywania publicznych serwerów pośredniczących oraz płatnych subskrypcji RDP. Wdrożenie architektury opartej na protokole WireGuard redukuje średnie opóźnienia w sesjach zdalnych o 60% i umożliwia wycofanie tradycyjnych bram VPN. Rozwiązanie obniża koszty utrzymania infrastruktury dostępowej nawet o 70%, zapewniając bezpośrednie, szyfrowane połączenia Peer-to-Peer dla firmowych zasobów.

Direct IP access w RustDesk i siatka Tailscale

Tradycyjny dostęp do pulpitów zdalnych wymaga otwierania portów na routerze lub korzystania z publicznych serwerów pośredniczących. Rozwiązanie to tworzy ryzyko ataku oraz generuje opóźnienia sieciowe podczas przesyłania obrazu. Połączenie oprogramowania RustDesk z siecią Tailscale eliminuje pośredników, tworząc bezpośrednie szyfrowane tory Peer-to-Peer bazujące na wirtualnym adresie IP.

Publiczna infrastruktura przekaźnikowa RustDesk wymaga obecnie logowania z powodu rosnącej skali nadużyć ze strony botnetów oraz oszustw internetowych. Standardowy tryb pracy tego narzędzia opiera się na 9-cyfrowym identyfikatorze oraz tymczasowych hasłach sesyjnych. Aktywacja funkcji Direct IP access w menu bezpieczeństwa RustDesk (Settings -> Security -> Enable direct IP access) pozwala na całkowite pominięcie serwerów pośredniczących.

Aplikacja Tailscale tworzy wirtualną sieć prywatną (tailnet), przydzielając każdemu urządzeniu stały adres z zakresu 100.x.x.x. Nawiązanie połączenia w RustDesk poprzez wpisanie adresu IP z sieci Tailscale pozwala na bezpośrednią komunikację między punktami końcowymi z pominięciem zapór sieciowych, mechanizmów NAT oraz podwójnego CGNAT. Interfejs RustDesk wyświetla w tym trybie ostrzeżenie o „bezpośrednim i nieszyfrowanym połączeniu”, jednak cały ruch jest w pełni szyfrowany przez warstwę niższą — tunel WireGuard sieci Tailscale. Ustawienie stałego hasła dostępu w sekcji Security umożliwia bezpieczne zarządzanie urządzeniami w trybie bezobsługowym (unattended access).

Ile kosztuje zastąpienie TeamViewer przez RustDesk?

Utrzymanie komercyjnych licencji na oprogramowanie do obsługi zdalnej stanowi znaczne obciążenie budżetu działu IT. Coroczne subskrypcje powiązane z limitami jednoczesnych połączeń wymuszają poszukiwanie alternatyw typu open-source. Modele licencjonowania RustDesk oraz płatnych platform różnią się podejściem do zarządzania urządzeniami, wyceny i kontroli nad danymi sesyjnymi.

Tradycyjne bramy VPN generują skoki opóźnień rzędu 30–50% w godzinach szczytu, a połączenia OpenVPN kończą się niepowodzeniem w 40% przypadków na łączach klienckich. Alternatywne platformy komercyjne, takie jak TeamViewer, wycofały licencje wieczyste na rzecz corocznych subskrypcji rozliczanych za nazwane kanały i limitowane sesje. Bezpłatne pakiety SaaS ograniczają opcje głosowe VoIP oraz wykrywają tzw. użycie komercyjne, przerywając sesje.

Bezpłatny plan społecznościowy Tailscale obejmuje obsługę do 3 użytkowników i 100 urządzeń autoryzowanych przez dostawców SSO (Google, Microsoft, Apple, GitHub). Otwartoźródłowy serwer RustDesk Community nie nakłada opłat licencyjnych ani limitów wygaszania. Komercyjny wariant RustDesk Server Pro licencjonuje zalogowanych użytkowników oraz zarządzane końcówki, oferując nieograniczoną liczbę współbieżnych połączeń w standardowych planach oraz integrację z LDAP/Active Directory i OIDC od poziomu planu Basic.

Konteneryzacja serwerów hbbs i hbbr w środowisku Tailscale

Wdrożenie własnego serwera pośredniczącego w architekturze korporacyjnej wiąże się zazwyczaj z koniecznością konfiguracji publicznych adresów IP i reguł zapory sieciowej. Samodzielny hosting komponentów hbbs oraz hbbr aplikacji RustDesk można jednak zrealizować wewnątrz odizolowanej sieci Tailscale. Taka konfiguracja całkowicie zamyka publiczny wektor ataku na infrastrukturę.

Samodzielny hosting infrastruktury RustDesk wymaga uruchomienia dwóch usług: serwera sygnalizacyjnego hbbs (obsługującego porty 21115, 21116 TCP/UDP, 21118) oraz przekaźnika hbbr (porty 21117, 21119). Wykorzystanie oficjalnego obrazu rustdesk/rustdesk-server z kontenerem S6-overlay umożliwia uruchomienie obu procesów w jednym kontenerze Docker.

Dzięki powiązaniu adresu przekaźnika ze stałym adresem IP w sieci Tailscale lub nazwą MagicDNS (np. poprzez parametry RELAY=myhost.tailnet-name.ts.net lub hbbs -r 100.64.0.10), ruch sieciowy nie opuszcza prywatnego tunelu WireGuard. Podejście to wyklucza potrzebę przekierowywania portów na routerze brzegowym oraz modyfikacji reguł zapory w chmurze.

Wdrożenie zmiennej środowiskowej ENCRYPTED_ONLY=1 wymusza przekazywanie flagi -k _, co nakłada wymóg przypinania klucza publicznego (key-pinning) przy każdym połączeniu klienta. W środowisku Windows 11 usługa Docker Desktop integruje się z dystrybucją WSL2 (Ubuntu), wykorzystując system plików ext4 w katalogu ~/rustdesk-tailscale/data do trwałego przechowywania bazy SQLite oraz pary kluczy Ed25519 (id_ed25519 i id_ed25519.pub).

Pułapki konfiguracyjne macOS i ograniczenia sieciowe

Instalacja oprogramowania zdalnego dostępu w środowiskach wieloplatformowych generuje specyficzne wyzwania związane z nadpisywaniem plików konfiguracyjnych oraz ograniczeniami protokołów transportowych. Zrozumienie mechanizmów działania uspołecznionych daemonów na systemie macOS oraz zachowania sieci VPN w rygorystycznych zaporach pozwala uniknąć przestojów wbudowanych procesów podczas wdrożenia produkcyjnego.

System macOS stwarza unikalny problem konfiguracyjny, ponieważ aplikacja RustDesk przechowuje ustawienia w trzech miejscach: pliku użytkownika ~/Library/Preferences/com.carriez.RustDesk/RustDesk2.toml, procesie systemowym root oraz w pamięci podręcznej. Usługa com.carriez.RustDesk_service.plist uruchamiana jako daemon systemowy przez LaunchDaemon nadpisuje plik użytkownika, wymuszając łączenie z publicznym serwerem rs-ny.rustdesk.com.

Skuteczne przekierowanie klienta RustDesk na własny serwer w systemie macOS wymaga skopiowania poprawnego pliku konfiguracyjnego do katalogu systemowego root /var/root/Library/Preferences/com.carriez.RustDesk/, nadania praw tylko do odczytu (chmod 444) dla obu kopii oraz zrestartowania daemona poleceniem sudo killall service.

Słabym punktem architektury łączonej jest wysoka zależność od ciągłej dostępności infrastruktury uwierzytelniającej Tailscale. W skrajnie obwarowanych sieciach korporacyjnych blokujących ruch UDP, połączenia P2P nie mogą zostać ustanowione i następuje spadek wydajności wynikający z przełączenia transmisji na przekaźniki DERP lub publiczne serwery RustDesk. Dostęp do pulpitów z poziomu przeglądarki WWW (web client) wymaga z kolei zakupu licencji Pro (20–40 USD/mies.) lub wdrożenia skomplikowanego kontenera z pośrednikiem VNC i certyfikatami HTTPS.

Wnioski praktyczne i rekomendacje

• Skonfiguruj opcję Enable direct IP access w menu bezpieczeństwa klientów RustDesk na urządzeniach docelowych, a następnie ustaw statyczne hasło dostępowe w sekcji Security.
• Zweryfikuj spójność klucza publicznego id_ed25519.pub z kontenera Docker we wszystkich klientach fabrycznych oraz skopiuj plik konfiguracyjny do katalogu /var/root/ na stacjach roboczych z systemem macOS.
• Zmierz czasy opóźnień oraz przepustowość połączeń P2P pomiędzy węzłami w sieci Tailscale przy użyciu poleceń diagnostycznych tailscale status i ping.
• Wdróż zmienną środowiskową ENCRYPTED_ONLY=1 w pliku docker-compose.yml serwera RustDesk, aby uniemożliwić połączenia nieautoryzowanym klientom bez przypiętego klucza.

Źródła

• Access remote desktops using RustDesk · Tailscale Docs
• RustDesk and Tailscale are awesome! – Ubuntu Discourse
• RustDesk direct connections over Tailscale – david winter
• RustDesk vs TeamViewer: The Self-Hosted Alternative
• Rustdesk and Tailscale is a remote desktop access dream team – YouTube
• Self-Hosting RustDesk on Tailscale (No Public Ports) – Ian L. Paterson
• Self-hosted remote desktop via RustDesk over Tailscale on Windows 11 + Docker – GitHub
• Tailscale and Rust Desk – Reddit