Tailscale: Mesh VPN bygget på WireGuard

11 min læstMesh VPN

Tailscale er ikke en kommerciel VPN-tjeneste i NordVPN / ExpressVPN-forstand. Det er et peer-to-peer mesh-netværk, der forbinder dine egne enheder med hinanden, uanset hvor de er i verden. Bygget på WireGuard, grundlagt af tidligere Google-ingeniører i 2019, og nu værdsat nord for en milliard dollars. Dette er hvad det er, når det er det rigtige værktøj, og hvorfor det ikke er en erstatning for en traditionel VPN.

Hele artiklens krop findes på engelsk nedenfor.

Hvad Tailscale faktisk er

Tailscale er en mesh VPN. Sondringen betyder noget. En traditionel kommerciel VPN dirigerer din trafik gennem en tredjepartsserver i et andet land – privatliv ved at hoppe gennem en andens infrastruktur. En mesh VPN forbinder dine enheder til hinanden, direkte når det er muligt, så din bærbare computer på en café kan tale med filserveren derhjemme, som om begge var på samme LAN.

Virksomheden blev grundlagt i 2019 i Toronto af tidligere Google-ingeniører Avery Pennarun, David Crawshaw, David Carney og Brad Fitzpatrick. Navnet kommer fra Googles forskningsartikel The Tail fra 2013 fra Scale. Produktet er bygget på WireGuard til de faktiske krypterede tunneler — Tailscales bidrag er koordinationslaget, der gør WireGuards manuelle peer-pinning anvendelig på menneskelig skala. 100.64.0.0/10 (CGNAT) IPv4-område og et IPv6-præfiks. Fra enhver enheds perspektiv har hver anden enhed i dit netværk en fast IP, der bare fungerer, uanset hvilket netværk den anden enhed er på i øjeblikket.

Connections er peer-to-peer, når det er muligt. Når to enheder ønsker at tale:

  1. Begge enheder registrerer deres nuværende offentlige endepunkter (IP + UDP-port) med Tailscales koordinationsserver.
  2. Tde bruger NAT-traversal-teknikker (STUN, ICE) til at finde en sti, der slår gennem begge siders direkte sti2XXX, findes en firewall på begge sider. etablere en WireGuard-tunnel, og trafikken flyder direkte imellem dem.
  3. Hvis direkte forbindelse er umulig (nogle symmetriske NAT'er, restriktive virksomhedsnetværk), falder trafikken tilbage gennem et DERP-relæ — en Tailscale-betjent server, der kun videresender krypterede pakker. håndtryk. Den ser aldrig trafik i almindelig tekst. Selv DERP-relæer ser kun krypterede WireGuard-pakker.

    Identitets- og adgangskontrol

    Autentificering sker via SSO — Google, Microsoft, GitHub, Okta, tilpasset SAML. Intet separat brugernavn og adgangskode at administrere. Den samme Google-konto, som logger dig på Gmail, logger dig på dit Tailscale-netværk. Enheder, der føjes til en personlig konto, bliver en del af dit tailnet; enheder tilsluttet under en virksomhedskonto bliver en del af virksomhedens tailnet.

    Adgangskontrol sker via ACL (Access Control List)-regler udtrykt i HuJSON (en JSON-variant, der tillader kommentarer). En typisk ACL: "alle på ingeniørteamet kan SSH ind i enheder tagget som servere, men kun senioringeniører kan SSH ind i enheder tagget som produktion." Regler evalueres centralt og sendes til klienter som enhed-til-enhed firewall-regler.

    The killer features

    Tailscale SSH

    Drop-in erstatning for traditionel SSH, der håndterer godkendelse via din Tailscale-identitet. Ingen nøgler at distribuere, ingen certifikater at rotere. Tailscale ACL kontrollerer, hvem der kan SSH ind i hvad.

    MagicDNS

    Enheder kan adresseres efter værtsnavn på tværs af dit tailnet. Filserveren er nas; din bærbare arbejdscomputer er laptop-work. Værtsnavne løses, uanset hvilket fysisk netværk hver enhed er på.

    Exit noder

    Udpeg enhver enhed på dit tailnet som gateway for andre enheders internettrafik. Kør en exit-node på dit hjemmenetværk, og din bærbare computer kan rute gennem den hvor som helst – gå tilbage til din hjemme-IP, selv mens du rejser.

    Mullvad integration

    I 2024 Tailscale samarbejdede med Mullvad, hvilket lader betalte Tailscale-brugere som ex Mullvads-brugere ikke bruge ex Muldess-servere. Dette bygger bro mellem mesh VPN (til dine egne enheder) og traditionel forbruger-VPN (til anonym clearnet-udgang) inden for én klient.

    Tailscale Funnel

    Omvendt af en exit-node. Giver dig mulighed for at eksponere en tjeneste på en tailnet-enhed for det offentlige internet med en offentlig TLS-krypteret URL uden at åbne nogen routerporte. Vær selv vært for en blog, kør en Minecraft-server, demo noget til en klient - alt sammen uden at røre din hjemmenetværkskonfiguration.

    Taildrop

    Krypteret peer-to-peer filoverførsel mellem tailnet-enheder, sammenlignelig med AirDrop, men på tværs af platforme.

    Free tier

    Tailscales gratis tier understøtter op til 3 brugere og 100 enheder, alle funktioner aktiveret. Personlige tailnets tæller som 1 bruger. For solo-udviklere og små teams er det gratis niveau virkelig gratis uden forringet funktionalitet.

    Betalte niveauer findes for større team-/virksomhedsbrug: prissætning pr. bruger, avancerede ACL-funktioner, revisionslogfiler, tilpassede domæner til tragt-URL'er. Prisen belønner små teams, der bruger det som kerneinfrastruktur.

    Tailscale vs ZeroTier

    ZeroTier er det mest citerede alternativ. De arkitektoniske forskelle:

    • Layer: Tailscale opererer på Layer 3 (IP). ZeroTier emulerer Layer 2 (Ethernet). For de fleste brugere er dette usynligt; for nogle specialiserede anvendelsestilfælde (gaming LAN-emulering, IoT) har lag 2 betydning.
    • Protocol: Tailscale bruger WireGuard; ZeroTier bruger sin egen protokol. WireGuards revision og formelle bevishistorie er stærkere.
    • Identity: Tailscale læner sig op af SSO; ZeroTier bruger sit eget kontosystem.
    • Maturity: ZeroTier lanceret i 2013, Tailscale i 2019. ZeroTier har flere virksomhedsimplementeringer; Tailscale har mere polish.

    Tailscale vs en kommerciel VPN

    Tde løser forskellige problemer. Tailscale forbinder dine enheder til dine enheder. En kommerciel VPN dirigerer din enhed til en tredjepartsserver. Brug Tailscale til at få adgang til din hjemme-NAS fra et hotel; brug en kommerciel VPN til at skjule din rigtige IP fra internettet som helhed. De komponerer pænt — installer Tailscale på alle enheder, brug Mullvad-via-Tailscale exit noder til clearnet-udgang, få begge egenskaber fra én klient.

    Hvor Tailscale er svagere

    • Ikke til anonymitet. giver dig en opposition af en identitet og en identitet. anonymitetsværktøj gør.
    • Coordination-server er en afhængighed. Hvis Tailscales centrale infrastruktur gik offline, kunne nye forbindelser ikke etableres (eksisterende tunneler ville blive ved med at fungere). En selvhostende open source-koordinationsserver, Headscale, findes til brugere, der ønsker at eliminere afhængigheden fuldstændigt.
    • Closed source-klienter med open source CLI-bits. Klienterne er delvist lukkede; protokollen og de fleste værktøjer er åbne.

    Finansiering og bane

    tailscale har rejst 272 mio. USD i alt: 12 mio. USD i serie A (Accel, nov. 2020), 100 mio. USD i serie B (CRV + Insight Partners, maj 2022, 202 mio. USD), 160 mio. 2025). April 2025-runden etablerede Tailscale som en enhjørning (1 mia. USD+ værdiansættelse). Produktkøreplanen udvider sig fortsat til virksomhedsidentitet og nul-tillid-netværksområde.

Ofte stillede spørgsmål

Er Tailscale en erstatning for en VPN som NordVPN?
Nej, de løser forskellige problemer. Tailscale forbinder dine egne enheder til hinanden. En kommerciel VPN dirigerer din trafik gennem en tredjepartsserver for at skjule din IP fra destinationen. De er komplementære — brug Tailscale til at nå din hjemmeserver, brug NordVPN til at skjule din IP fra streamingtjenester. Tailscales Mullvad-integration lader dig have begge dele i én klient.
Er Tailscale virkelig gratis?
Ja, op til 3 brugere og 100 enheder, alle funktioner er aktiveret. For solo-udviklere og små teams er det rigeligt. Det gratis niveau forringer ikke funktionaliteten - betalte niveauer tilføjer ting som avancerede revisionslogfiler og brugerdefinerede tragtdomæner, ikke kerne VPN-funktioner.
Hvad er forskellen mellem Tailscale og en almindelig WireGuard-opsætning?
WireGuard kræver, at du manuelt udveksler offentlige nøgler, konfigurerer slutpunkter og opdaterer alt, når enhver enheds IP ændres. Tailscale automatiserer alt dette via sin koordinationsserver, plus tilføjer identitet (SSO), ACL'er, NAT-traversal, automatiske fallback-relæer og bekvemmeligheder som MagicDNS. Du kan gøre det hele manuelt med rå WireGuard, hvis du vil; Tailscale fjerner blot 95 % af konfigurationsbyrden.
Kan jeg være vært for Tailscale-koordinationsserveren?
Ja via Headscale, en open source-kompatibel genimplementering. Selve Tailscale-klienterne kan peges på en Headscale-server til fuld selv-hostet drift. Nyttigt for brugere, der ønsker at eliminere afhængigheden af ​​Tailscale Incs infrastruktur helt.
Hvordan forbinder Tailscale enheder bag forskellige NAT'er?
Den bruger standard NAT-traversal-teknikker (STUN til at opdage offentlige adresser, ICE til forbindelsesforhandlinger) til at forsøge at slå en direkte UDP-sti gennem begge siders routere. Når det fejler - typisk med symmetriske NAT'er eller restriktive virksomhedsfirewalls - falder trafikken tilbage gennem Tailscales DERP-relæer, som videresender krypterede WireGuard-pakker uden at se klarteksten.
Forklaret haleskala: Mesh VPN bygget på WireGuard | VPN Master Pro