Tailscale

Der Koordinationsdienst vermittelt Informationen über Geräte, öffentliche Schlüssel und Richtlinien. Die Nutzdaten laufen zwischen den beteiligten Geräten über WireGuard. Tailscale versucht direkte Verbindungen aufzubauen. Verhindern die beteiligten Netze diesen Weg, kann ein Relay die verschlüsselten Pakete weiterleiten.

Bei DERP-Verbindungen bleibt der Nutzinhalt zwischen den WireGuard-Endpunkten verschlüsselt. Der zusätzliche Weg kann jedoch Latenz und Durchsatz beeinflussen. Aktuelle Tailscale-Versionen unterstützen außerdem Peer Relays. Welche Verbindung tatsächlich verwendet wird, sollte bei der Fehlersuche gemessen und nicht aus dem Standort der Geräte vermutet werden.

Für die Planung unterscheiden sich Verfügbarkeit des Koordinationsdienstes, Erreichbarkeit eines Relays und Erreichbarkeit der Zielanwendung. Ein Ausfall muss nicht jede bereits bestehende Verbindung sofort unterbrechen. Neuanmeldung, geänderte Richtlinien und Schlüsselzustände sind aber eigene Abhängigkeiten. Diese Abläufe gehören in einen Ausfalltest.

Benutzer melden sich über einen unterstützten Identitätsanbieter an. Für nicht personengebundene Server lassen sich Tags verwenden. Die Berechtigungen sollten daraus konkrete Verbindungen ableiten, etwa das Supportteam zu einem Verwaltungsport und eine Anwendung zu ihrer Datenbank. Ein breit freigegebenes Tailnet ist noch keine Segmentierung.

Tailscale empfiehlt für neue Richtlinien Grants. Diese beschreiben erlaubte Zugriffe, ältere ACL-Regeln werden ebenfalls unterstützt. Bei einer einschränkenden Richtlinie gilt für nicht erlaubte Verbindungen das Verbot. Die mitgelieferte beziehungsweise vorhandene Ausgangsrichtlinie muss trotzdem geprüft werden, statt eine restriktive Voreinstellung vorauszusetzen.

Netzfreigaben ersetzen die Anmeldung an einer Anwendung nicht. Ein erreichbares Webportal kann weiterhin ein eigenes Rollenmodell benötigen. Auch appbezogene Grants wirken nur dort, wo die jeweilige Anwendung sie auswertet. Geräteprüfungen, Protokollierung und organisatorische Funktionen hängen teilweise vom gebuchten Plan ab.

Ein Subnet Router macht ein Netz hinter einem Tailscale-Gerät erreichbar. Das hilft bei Druckern, Appliances oder Servern ohne eigenen Client. Die Route muss angekündigt und freigegeben sein, und die Zugriffsrichtlinie muss den gewünschten Verkehr erlauben. Eine Route allein ist keine Berechtigung.

Eine Exit Node übernimmt dagegen auf Wunsch des Clients dessen Internetverkehr. Sie kann einen definierten Ausgang bereitstellen, benötigt aber passende Kapazität und Betriebsregeln. Die Freigabe einer Exit Node aktiviert ihre Nutzung nicht automatisch auf jedem Client.

Bei einem Subnet Router endet die WireGuard-Verbindung am Router. Der weitere Weg zum Zielgerät braucht gegebenenfalls eigenen Schutz, etwa TLS. Rückwege, lokale Firewalls, überlappende private Adressen und IPv4/IPv6-Routen müssen zum Standort passen. Ein zusätzliches Overlay korrigiert eine widersprüchliche Adressplanung nicht.

MagicDNS vereinfacht die Namensauflösung für Geräte im Tailnet. Interne Unternehmenszonen brauchen weiterhin passende Resolver und gegebenenfalls Split-DNS. Eine erfolgreiche Auflösung sagt noch nichts über den erlaubten Datenpfad aus. Umgekehrt kann ein System per Adresse erreichbar sein, während der Name wegen einer falschen DNS-Zuordnung scheitert.

Zuerst Anmeldestatus und Gerätebestand prüfen, dann den Verbindungsweg, anschließend Route, Policy, lokale Firewall und Dienst. Bei großen Übertragungen auch MTU und Path-MTU-Erkennung betrachten. Eine pauschale Erhöhung auf Jumbo Frames behebt keine Tunnelprobleme über das Internet.

Ein Fernzugang braucht einen geregelten Lebenszyklus: Gerät aufnehmen, einem Benutzer oder Dienst zuordnen, Regeln testen und beim Ausscheiden entfernen. Dabei Benutzeranmeldung, Gerätezulassung und Schlüsselablauf getrennt prüfen. Ein deaktiviertes Benutzerkonto ist nicht in jedem Ablauf gleichbedeutend mit dem sofortigen Ende sämtlicher bestehender Gerätezustände.

Für einen Pilotbetrieb einen erlaubten und einen ausdrücklich unerlaubten Zugriff testen. Danach Geräteverlust, Benutzerentzug, Wechsel des Internetanschlusses und Relay-Betrieb durchspielen. Dokumentieren, wer Änderungen an Regeln und Routen freigibt und wie ein versehentlicher Ausschluss der eigenen Administration zurückgenommen werden kann.

Wesentliche Teile des Tailscale-Clients sind unter BSD-3-Clause veröffentlicht. Daraus folgt keine freie Bereitstellung des kommerziellen Koordinationsdienstes zum Eigenbetrieb. Für dessen Nutzung gelten die Dienstbedingungen und der gewählte Plan.

Bei der Auswahl die aktuelle Funktionsmatrix mit den benötigten Identitäts-, Sicherheits- und Verwaltungsfunktionen abgleichen. Ein kostenloser persönlicher Plan ist keine allgemeine Aussage über die Kosten einer Unternehmensumgebung. Vertragsumfang, Support und Abrechnung werden getrennt vom technischen Verbindungstest bewertet.

Funktions- und Planangaben geprüft am 20. September 2026. Die Beschreibung bezieht sich auf den Tailscale-Dienst, nicht auf einen selbst betriebenen Ersatz der Steuerung.