Tailscale

Tailscale
Basisdaten
Entwickler	Tailscale Inc.
Erscheinungsjahr	März 2019
Aktuelle Version	1.96.4 (Daemon) 27.03.2026 1.96.4 (Android) 27.03.2026 1.96.5 (iOS) 30.03.2026 1.58.2 (QNAP) 07.02.2024
Betriebssystem	Linux, macOS, Unix, Windows, Android, iOS
Programmier­sprache	Go
Kategorie	VPN, Peer-to-Peer, Netzwerksicherheit
Lizenz	BSD
deutschsprachig	ja
https://tailscale.com

Tailscale ist eine SDN-Lösung des gleichnamigen kanadischen Unternehmens. Die Open-Source-Software stellt ein verschlüsseltes Mesh-VPN bereit, dass Geräte ohne manuelle Netzwerkkonfiguration sicher miteinander verbindet. Der Quellcode ist unter der BSD-Lizenz veröffentlicht.

Funktionsweise

Tailscale basiert technisch auf dem WireGuard-Protokoll und baut ein verschlüsseltes Peer-to-Peer-Netzwerk (sog. Tailnet) zwischen den eingebundenen Geräten auf. Ein zentraler Koordinierungsserver verwaltet die Netzwerktopologie und verteilt Schlüssel sowie Richtlinien, ist jedoch nicht an der eigentlichen Datenübertragung beteiligt. Tailscale ist damit kein VPN-Dienst im klassischen Sinne, bei dem der gesamte Datenverkehr über den Server des Anbieters geleitet wird. Stattdessen dient der zentrale Server lediglich der Koordination; die Übertragung selbst erfolgt direkt zwischen den Peers oder über verschlüsselte Relays.

Zur Herstellung direkter Verbindungen nutzt Tailscale verschiedene NAT-Traversal-Techniken wie STUN sowie Port-Forwarding über UPnP, NAT-PMP und PCP. Ist eine direkte Verbindung nicht möglich, fällt die Software auf das eigene Relay-System DERP (Designated Encrypted Relay for Packages) zurück, das ebenfalls eine verschlüsselte Verbindung gewährleistet.

Um Konflikte mit bestehenden Netzwerken zu vermeiden, entstammen die den Clients zugewiesenen IPv4-Adressen dem für Carrier-grade NAT reservierten Adressraum (100.64.0.0/10).

Funktionen

Taildrop

Taildrop ist ein verschlüsselter Dienst zur Datenübertragung innerhalb eines Tailnets. Die Funktion ist vergleichbar mit AirDrop auf Apple-Geräten bzw. Quick Share unter Android: Dateien lassen sich ohne Umweg über einen externen Dienst direkt zwischen zwei Geräten im selben Tailnet übertragen. Die Übertragung erfolgt verschlüsselt über die bestehende WireGuard-Verbindung.

Exit Nodes

Exit Nodes ermöglichen es, den gesamten ausgehenden Internet-Datenverkehr eines Geräts über einen bestimmten anderen Knoten im Tailnet umzuleiten. Dieser Knoten fungiert dann als Austrittspunkt (engl. exit node) ins Internet, sodass der Datenverkehr aus Sicht externer Dienste vom Standort des Exit Nodes zu stammen scheint. Typische Anwendungsfälle sind der Zugriff auf Ressourcen, die nur aus einem bestimmten Netzwerk erreichbar sind oder das Absichern von Verbindungen in öffentlichen WLANs. Jedes Gerät mit installiertem Tailscale-Client kann als Exit Node konfiguriert werden.

Darüber hinaus bietet Tailscale in Zusammenarbeit mit dem schwedischen VPN-Anbieter Mullvad eine kostenpflichtige Erweiterung an, über die Mullvad-Server als Exit Nodes genutzt werden können, ohne selbst ein entsprechendes Gerät betreiben zu müssen.

Subnet Routing

Über sog. Subnet Router lassen sich ganze IP-Subnetze in ein Tailnet einbinden, ohne dass auf jedem einzelnen Gerät im Subnetz Tailscale installiert sein muss. Ein einzelner Rechner im Netzwerk übernimmt dabei die Rolle des Routers und leitet den Datenverkehr zwischen dem Tailnet und dem lokalen Subnetz weiter. Dies ermöglicht die unkomplizierte Anbindung bestehender Netzwerkinfrastrukturen an ein Tailnet, ohne diese grundlegend umkonfigurieren zu müssen.

MagicDNS

MagicDNS ist ein integrierter DNS-Dienst, der jedem Gerät im Tailnet automatisch einen auflösbaren Hostnamen zuweist. Statt IP-Adressen können Geräte damit über sprechende Namen wie mein-smartphone oder computer-wohnzimmer angesprochen werden. Die Namensauflösung funktioniert ausschließlich innerhalb des Tailnets und erfordert keine manuelle DNS-Konfiguration.

Tailscale SSH

Tailscale SSH ermöglicht SSH-Verbindungen zwischen Geräten im Tailnet, ohne dass dafür separate SSH-Schlüssel verwaltet oder Ports geöffnet werden müssen. Die Authentifizierung übernimmt Tailscale auf Basis der vorhandenen Geräte- und Nutzeridentität. Zugriffsrechte lassen sich über die zentrale Zugriffssteuerungsliste (ACL) des Tailnets granular steuern.

Tailscale Funnel

Tailscale Funnel ermöglicht es, einen lokal laufenden Dienst über eine öffentlich erreichbare HTTPS-Adresse im Internet bereitzustellen; auch für Nutzer, die selbst kein Tailscale verwenden. Die zugewiesene URL ist eine Subdomain des Tailscale-eigenen Domainnamens (ts.net). Im Die Anpassung von Firewall-Regeln sowie Verwaltung von DNS-Einträgen und TLS-Zertifikaten übernimmt Tailscale dabei automatisch. Die TLS-Terminierung findet dabei auf dem Endgerät statt.

Durch Tailscale Funnel können lokale Webserver oder Webhook-Empfänger öffentlich erreichbar gemacht zu werden. Die Funktion ist standardmäßig deaktiviert und erfordert eine Freischaltung sowohl durch den Tailnet-Administrator als auch auf dem jeweiligen Gerät. Funktional steht Tailscale Funnel dem Konzept der Exit Nodes gegenüber: Während Exit Nodes ausgehenden Datenverkehr aus dem Tailnet ins Internet leiten, öffnet Tailscale Funnel einen kontrollierten Eingang vom Internet in das Tailnet.

Weblinks

• Offizielle Website
• Tailscale-Dokumentation (englisch)
• Github-Repository