Tailscale: Mesh VPN byggd på WireGuard

11 min lästMesh VPN

Tailscale är inte en kommersiell VPN-tjänst i NordVPN / ExpressVPN-bemärkelsen. Det är ett peer-to-peer mesh-nätverk som ansluter dina egna enheter till varandra, oavsett var de befinner sig i världen. Byggt på WireGuard, grundat av ex-Google-ingenjörer 2019, och nu värderat norr om en miljard dollar. Detta är vad det är, när det är rätt verktyg, och varför det inte är en ersättning för en traditionell VPN.

Hela artikeltexten finns på engelska nedan.

Vad Tailscale faktiskt är

Tailscale är en mesh VPN. Distinktionen spelar roll. En traditionell kommersiell VPN dirigerar din trafik genom en tredjepartsserver i ett annat land – sekretess genom att hoppa genom någon annans infrastruktur. En mesh VPN ansluter dina enheter till varandra, direkt när det är möjligt, så att din bärbara dator på ett café kan prata med filservern hemma som om båda var på samma LAN.

Företaget grundades 2019 i Toronto av ex-Google-ingenjörerna Avery Pennarun, David Crawshaw, David Carney och Brad Fitzpatrick. Namnet kommer från 2013 Googles forskningsartikel The Tail på Scale. Produkten är byggd på WireGuard för de faktiska krypterade tunnlarna — Tailscales bidrag är koordinationsskiktet som gör WireGuards manuella peer-pinning användbar i mänsklig skala.

Hur nätet fungerar

Tailscale ger varje adress i din enhet 100.64.0.0/10 (CGNAT) IPv4-intervall och ett IPv6-prefix. Ur alla enheters perspektiv har alla andra enheter i ditt nätverk en fast IP som bara fungerar, oavsett vilket nätverk den andra enheten för närvarande är på.

Anslutningar är peer-to-peer när det är möjligt. När två enheter vill prata:

  1. Båda enheterna registrerar sina nuvarande publika slutpunkter (IP + UDP-port) med Tailscales koordinationsserver.
  2. Tde använder NAT-traversaltekniker (STUN, ICE) för att hitta en väg som slår igenom båda sidors direkta brandväggar2XXXce. etablera en WireGuard-tunnel och trafik flödar direkt mellan dem.
  3. Om direktanslutning är omöjlig (vissa symmetriska NAT:er, restriktiva företagsnätverk), faller trafiken tillbaka genom ett DERP-relä — en Tailscale-opererad server som bara vidarebefordrar krypterade paket. handslag. Den ser aldrig trafik i klartext. Även DERP-reläer ser bara krypterade WireGuard-paket.

    Identitets- och åtkomstkontroll

    Autentisering sker via SSO — Google, Microsoft, GitHub, Okta, anpassad SAML. Inget separat användarnamn och lösenord att hantera. Samma Google-konto som loggar in dig på Gmail loggar dig in på ditt Tailscale-nätverk. Enheter som läggs till ett personligt konto blir en del av ditt tailnet; enheter som sammanfogats under ett företagskonto blir en del av företagets tailnet.

    Åtkomstkontroll sker via ACL (Access Control List)-regler uttryckta i HuJSON (en JSON-variant som tillåter kommentarer). En typisk ACL: "alla i teknikteamet kan SSH till enheter taggade som servrar, men bara senioringenjörer kan SSH till enheter taggade som produktion." Regler utvärderas centralt och skickas till klienter som enhet-till-enhet-brandväggsregler.

    The killer funktioner

    Tailscale SSH

    Drop-in ersättning för traditionell SSH som hanterar autentisering via din Tailscale-identitet. Inga nycklar att distribuera, inga certifikat att rotera. Tailscale ACL styr vem som kan SSH till vad.

    MagicDNS

    Enheter är adresserbara med värdnamn över hela ditt tailnet. Filservern är nas; din bärbara arbetsdator är laptop-work. Värdnamn löser sig oavsett vilket fysiskt nätverk varje enhet är på.

    Utgångsnoder

    Ange vilken enhet som helst på ditt tailnet som gateway för andra enheters internettrafik. Kör en utgångsnod på ditt hemnätverk och din bärbara dator kan gå igenom den från var som helst — komma tillbaka till ditt hem-IP även när du reser.

    Mullvad-integration

    I 2024 samarbetade Tailscale med Mullvad, vilket låter betalda Tailscale-användare inte använda ex Mullvads ex-server. Detta överbryggar gapet mellan mesh-VPN (för dina egna enheter) och traditionella konsument-VPN (för anonymt clearnet-utträde) inom en klient.

    Tailscale Funnel

    Omvänd av en utgångsnod. Låter dig exponera en tjänst på en tailnet-enhet för det offentliga internet, med en offentlig TLS-krypterad URL, utan att öppna några routerportar. Var värd för en blogg, kör en Minecraft-server, demonstrera något för en klient – ​​allt utan att röra din hemnätverkskonfiguration.

    Taildrop

    Krypterad peer-to-peer-filöverföring mellan tailnet-enheter, jämförbar med AirDrop men plattformsoberoende.

    Free tier

    Tailscales gratis tier stöder upp till 3 användare och 100 enheter, alla funktioner aktiverade. Personliga tailnets räknas som 1 användare. För ensamutvecklare och små team är den kostnadsfria nivån verkligen gratis utan försämrad funktionalitet.

    Betalade nivåer finns för användning i större team/företag: prissättning per användare, avancerade ACL-funktioner, granskningsloggar, anpassade domäner för trattadresser. Prissättningen belönar små team som använder den som kärninfrastruktur.

    Tailscale vs ZeroTier

    ZeroTier är det mest citerade alternativet. De arkitektoniska skillnaderna:

    • Layer: Tailscale fungerar på lager 3 (IP). ZeroTier emulerar Layer 2 (Ethernet). För de flesta användare är detta osynligt; för vissa specialiserade användningsfall (gaming LAN-emulering, IoT) spelar Layer 2 roll.
    • Protocol: Tailscale använder WireGuard; ZeroTier använder sitt eget protokoll. WireGuards granskning och formella bevishistorik är starkare.
    • Identity: Tailscale lutar sig mot SSO; ZeroTier använder sitt eget kontosystem.
    • Maturity: ZeroTier lanserades 2013, Tailscale 2019. ZeroTier har fler företagsinstallationer; Tailscale har mer polish.

    Ttailscale kontra en kommersiell VPN

    Tde löser olika problem. Tailscale ansluter dina enheter till dina enheter. En kommersiell VPN dirigerar din enhet till en tredjepartsserver. Använd Tailscale för att komma åt din hem-NAS från ett hotell; använd en kommersiell VPN för att dölja din riktiga IP från internet i stort. De komponerar snyggt — installera Tailscale på varje enhet, använd Mullvad-via-Tailscale utgångsnoder för clearnet egress, få båda egenskaperna från en klient.

    Där Tailscale är svagare

    • Inte för anonymitet. ger dig en anonymitet och en optisk identitet. anonymitetsverktyget gör det.
    • Coordination-servern är ett beroende. Om Tailscales centrala infrastruktur gick offline, kunde nya anslutningar inte upprättas (befintliga tunnlar skulle fortsätta att fungera). En självvärdbar koordinationsserver för öppen källkod, Headscale, finns för användare som vill eliminera beroendet helt. Klienterna är delvis stängda; protokollet och de flesta verktygen är öppna.

    Finansiering och bana

    Tailscale har samlat in $272 miljoner totalt: $12M Series A (Accel, nov 2020), $100M Series B (CRV + Insight Partners, April 202M, $160M) 2025). April 2025 omgången etablerade Tailscale som en enhörning ($1 miljard+ värdering). Produktens färdplan fortsätter att expandera till företagsidentitet och noll-trust-nätverksområde.

Vanliga frågor

Är Tailscale en ersättning för ett VPN som NordVPN?
Nej, de löser olika problem. Tailscale kopplar dina egna enheter till varandra. En kommersiell VPN dirigerar din trafik genom en tredjepartsserver för att dölja din IP från destinationen. De kompletterar varandra — använd Tailscale för att nå din hemmaserver, använd NordVPN för att dölja din IP från streamingtjänster. Tailscales Mullvad-integration låter dig ha båda i en klient.
Är Tailscale verkligen gratis?
Ja, upp till 3 användare och 100 enheter, alla funktioner aktiverade. För solo-utvecklare och små team är det gott. Den kostnadsfria nivån försämrar inte funktionaliteten – betalda nivåer lägger till saker som avancerade granskningsloggar och anpassade trattdomäner, inte kärn-VPN-funktioner.
Vad är skillnaden mellan Tailscale och en vanlig WireGuard-installation?
WireGuard kräver att du manuellt byter ut publika nycklar, konfigurerar slutpunkter och uppdaterar allt när någon enhets IP ändras. Tailscale automatiserar allt detta via sin koordinationsserver, plus lägger till identitet (SSO), ACLs, NAT-traversal, automatiska reservreläer och bekvämligheter som MagicDNS. Du kan göra allt manuellt med rå WireGuard om du vill; Tailscale tar bara bort 95 % av konfigurationsbördan.
Kan jag vara värd för Tailscale-koordinationsservern?
Ja via Headscale, en öppen källkodskompatibel omimplementering. Tailscale-klienterna själva kan riktas mot en Headscale-server för helt egen drift. Användbart för användare som vill eliminera beroendet av Tailscale Incs infrastruktur helt och hållet.
Hur kopplar Tailscale ihop enheter bakom olika NAT:er?
Den använder vanliga NAT-traverseringstekniker (STUN för att upptäcka allmänna adresser, ICE för anslutningsförhandling) för att försöka slå en direkt UDP-väg genom båda sidors routrar. När det misslyckas - vanligtvis med symmetriska NAT:er eller restriktiva företagsbrandväggar - faller trafiken tillbaka genom Tailscales DERP-reläer, som vidarebefordrar krypterade WireGuard-paket utan att se klartexten.
Tailscale Explained: Mesh VPN byggd på WireGuard | VPN Master Pro