Tailscale – Mesh-VPN auf WireGuard-Basis

Aus maxTechCorner

Auf einen Blick

Gilt fürTailscale 1.102 (Windows, macOS, Linux, iOS, Android, FreeBSD), OPNsense mit Plugin os-tailscale 1.4, optional Headscale 0.29
BereichIT-Security
Dauerca. 15 Minuten (Tailnet anlegen, Geräte und OPNsense verbinden)
RechteAdministrator auf den Geräten, Admin-Rolle in der Tailscale-Konsole
StandOktober 2026

Tailscale ist ein Mesh-VPN auf Basis von WireGuard, das Geräte, Server und ganze Netze über ein privates Netzwerk – das Tailnet – verbindet. Die Anmeldung erfolgt über einen vorhandenen Identity Provider wie Microsoft Entra ID, Google oder Okta; Zugriffe werden zentral über Richtlinien gesteuert. Der Datenverkehr läuft verschlüsselt und – wann immer möglich – direkt zwischen den Geräten. Tailscale gilt als eine der einfachsten Möglichkeiten, Fernzugriff und Standortvernetzung nach dem Zero Trust-Prinzip umzusetzen.

Dieser Artikel erklärt Funktionsweise, Funktionen, Tarife und Einrichtung von Tailscale – einschließlich der Anbindung einer OPNsense-Firewall per Plugin und der selbst gehosteten Alternative Headscale.

Was ist Tailscale? Mesh-VPN mit Identitäten

Tailscale kombiniert drei Dinge:

  • WireGuard als schnelles, modernes Verschlüsselungsprotokoll,
  • eine zentrale Koordinationsstelle (Control Plane), die Schlüssel verteilt, Geräte verwaltet und Richtlinien durchsetzt,
  • die Anmeldung über Single Sign-On – jedes Gerät gehört einem Benutzer oder ist als Server mit einem Tag gekennzeichnet.

Jedes Gerät erhält eine feste Adresse aus dem Bereich 100.64.0.0/10 (sowie eine IPv6-Adresse aus fd7a:115c:a1e0::/48) und einen Namen per MagicDNS, z. B. fileserver.tailnet-name.ts.net.

So funktioniert Tailscale

Baustein Aufgabe
Tailscale-Client Läuft auf jedem Gerät, erzeugt die WireGuard-Schlüssel (der private Schlüssel verlässt das Gerät nie) und baut die Tunnel auf.
Coordination Server Von Tailscale betrieben: verteilt öffentliche Schlüssel, Adressen, DNS-Einstellungen und Richtlinien an alle Geräte. Über ihn fließen keine Nutzdaten.
DERP-Relays Weltweit verteilte Relay-Server, die Verkehr weiterleiten, wenn keine Direktverbindung möglich ist – Ende-zu-Ende-verschlüsselt.
Peer Relays (GA seit Februar 2026) Eigene, selbst betriebene Relay-Knoten im Tailnet für hohen Durchsatz, wenn Direktverbindungen scheitern – z. B. in restriktiven Firmen- oder Cloud-Netzen.

Geräte versuchen per NAT-Traversal immer zuerst eine direkte Verbindung. Mit tailscale status bzw. tailscale ping <gerät> sieht man, ob eine Verbindung direkt oder über ein Relay läuft.

Datei:Tailscale-Architektur.png
Tailscale: Der Coordination Server verteilt Schlüssel und Richtlinien, die Anmeldung erfolgt per SSO. Der Datenverkehr läuft per WireGuard direkt zwischen den Geräten; ein Subnet Router (z. B. OPNsense) macht ganze Netze erreichbar.

Wichtige Funktionen von Tailscale

  • Zugriffsrichtlinien (ACLs/Grants): In der Tailnet Policy File (HuJSON) oder im Visual Policy Editor wird festgelegt, wer worauf zugreifen darf – nach Benutzer, Gruppe, Tag, Port und Gerätezustand. Standard für neue Tailnets ist „alle dürfen alles“ – das sollte im Unternehmen sofort eingeschränkt werden.
  • Subnet Router: Ein Gerät macht ganze Netze (z. B. ein Büro-LAN) im Tailnet erreichbar, ohne dass dort jedes Gerät einen Client braucht.
  • Exit Nodes: Den gesamten Internetverkehr eines Clients über ein bestimmtes Gerät leiten – z. B. für Hotel-WLANs oder feste Ausgangs-IPs.
  • MagicDNS: Automatische Namensauflösung für alle Geräte; zusätzlich Split DNS für interne Domänen.
  • Tailscale SSH: SSH-Anmeldung ohne verteilte Schlüssel, abgesichert über Identität und Richtlinien, optional mit Sitzungsaufzeichnung.
  • Tailscale Services (GA seit Januar 2026): Dienste unter eigener virtueller Adresse bereitstellen, unabhängig vom Gerät, auf dem sie laufen.
  • Serve und Funnel: Lokale Webdienste im Tailnet (Serve) oder gezielt öffentlich im Internet (Funnel) bereitstellen.
  • Device Posture: Zugriff abhängig vom Gerätezustand, z. B. Betriebssystemversion oder Daten aus MDM- und EDR-Lösungen.
  • Tailnet Lock: Neue Geräte müssen von vertrauenswürdigen Geräten des eigenen Tailnets signiert werden – damit kann selbst ein kompromittierter Coordination Server keine fremden Geräte einschleusen.
  • Weitere Neuerungen 2025/2026: Workload Identity Federation (Anmeldung von CI/CD-Pipelines per OIDC), Node Key Sealing (Schutz der Geräteschlüssel), mehrere Tailnets pro Organisation sowie – als Beta – Tailscale PAM für privilegierte Zugriffe auf SSH, RDP, Datenbanken und Kubernetes.

Tarife (Stand 2026)

Tarif Preis (Stand 10/2026) Umfang Wichtige Funktionen
Personal kostenlos bis 6 Benutzer, unbegrenzt Geräte Basis-ACLs (3 Gruppen), Basis-Tailscale-SSH
Standard 8 USD pro Benutzer/Monat unbegrenzt bis 10 ACL-Gruppen, SCIM, MDM-Konfiguration, Device-Posture-Integrationen
Premium 18 USD pro Benutzer/Monat unbegrenzt bis 300 ACL-Gruppen, erweitertes Tailscale SSH, Netzwerk-Flow-Logs, Log-Streaming, Just-in-time-Zugriff
Enterprise auf Anfrage individuell Beratung, individuelle Verträge und SLAs

Die früheren Tarife Personal Plus und Starter werden für Neukunden nicht mehr angeboten. Preise vor einer Entscheidung auf der Preisseite prüfen.

Tailscale einrichten

Schritt 1: Tailnet anlegen

Unter login.tailscale.com mit dem Firmen-Identity-Provider (z. B. Microsoft-Konto der Organisation) anmelden. Das erste Konto wird Administrator des neuen Tailnets.

Schritt 2: Geräte verbinden

  • Windows/macOS/iOS/Android: Tailscale-App installieren und anmelden.
  • Linux-Server:
curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up --auth-key=tskey-auth-XXXX --advertise-tags=tag:server
tailscale status

Für Server ohne Browser wird in der Admin-Konsole unter Settings → Keys ein Auth Key erzeugt – möglichst nicht wiederverwendbar und mit Tag, damit der Server nicht an einen Benutzer gebunden ist und sein Schlüssel nicht abläuft.

Schritt 3: Zugriffsrichtlinie festlegen

Beispiel für eine Richtlinie, die Admins vollen Zugriff auf Server gibt und allen Mitarbeitenden nur HTTPS auf das Intranet: 

{
  "groups": {
    "group:admins": ["anna@firma.de", "ben@firma.de"]
  },
  "tagOwners": {
    "tag:server": ["group:admins"]
  },
  "grants": [
    { "src": ["group:admins"],    "dst": ["tag:server"],          "ip": ["*"] },
    { "src": ["autogroup:member"], "dst": ["192.168.10.20/32"],   "ip": ["tcp:443"] }
  ]
}

Die Standardregel „alle dürfen alles“ dabei entfernen.

Tailscale auf OPNsense (Plugin os-tailscale)

Mit dem Community-Plugin os-tailscale wird die OPNsense ein Gerät im Tailnet und kann als Subnet Router das Firmen-LAN und als Exit Node den Internetzugang bereitstellen. Die ausführliche Anleitung mit Firewall- und NAT-Regeln, Site-to-Site-Kopplung, CARP-Cluster und Fehlersuche steht im Artikel OPNsense - Tailscale-Plugin; hier folgt der Überblick.

Installation und Anmeldung

  1. System → Firmware → Plugins: os-tailscale installieren und die Seite neu laden.
  2. VPN → Tailscale → Authentication:
    • Login Server: leer bzw. Standard für Tailscale; für Headscale die eigene URL (siehe unten).
    • Pre-authentication Key: einen in der Admin-Konsole erzeugten Auth Key eintragen (empfohlen: nicht wiederverwendbar, mit Tag, Schlüsselablauf für dieses Gerät deaktivieren). Ohne Key zeigt die Statusseite einen Anmeldelink.
  3. VPN → Tailscale → Settings: Enabled aktivieren und anwenden.
  4. VPN → Tailscale → Status prüfen – die Firewall erscheint nun auch in der Tailscale-Admin-Konsole unter Machines.

Die Einstellungen im Überblick

Einstellung Bedeutung
Listen Port UDP-Port für WireGuard und Direktverbindungen (Tailscale-Standard: 41641). Eine WAN-Regel für diesen Port verbessert die Chance auf Direktverbindungen.
Login timeout Maximale Wartezeit auf die Anmeldung beim Booten. Nicht auf 0 setzen – sonst kann die Firewall beim Start hängen bleiben, wenn der Coordination Server nicht erreichbar ist.
Accept DNS DNS-Einstellungen (MagicDNS) vom Tailnet übernehmen. Im Plugin standardmäßig aktiviert – auf einer Firewall mit eigenem DNS-Resolver (Unbound) deaktivieren.
Advertise Exit Node Die Firewall als Exit Node anbieten.
Accept Subnet Routes Von anderen Geräten angebotene Netze übernehmen – nötig für Standortkopplungen.
Enable SSH Tailscale SSH auf der Firewall erlauben.
Disable SNAT Source NAT für Subnet-Routing abschalten (experimentell); dann sehen LAN-Server die echten Tailscale-Adressen, benötigen aber eine Rückroute.
Subnets (angebotene Routen) Lokale Netze, die die Firewall im Tailnet anbietet, z. B. 192.168.10.0/24.

Subnet Router einrichten

  1. Unter VPN → Tailscale → Settings das LAN-Netz (z. B. 192.168.10.0/24) als Subnetz hinzufügen und anwenden.
  2. In der Tailscale-Admin-Konsole beim Gerät der Firewall unter Edit route settings die Route freigeben – ohne diese Bestätigung ist das Netz nicht erreichbar. (Mit autoApprovers in der Richtlinie lässt sich das automatisieren.)
  3. Den Zugriff über die Richtlinie (Grants) auf die benötigten Ziele und Ports beschränken.
  4. Optional das Interface tailscale0 unter Interfaces → Assignments zuweisen und unter Firewall → Rules zusätzliche Regeln für Verkehr aus dem Tailnet festlegen.

OPNsense als Exit Node

  1. Advertise Exit Node aktivieren und in der Admin-Konsole bestätigen.
  2. Unter Firewall → NAT → Source NAT (Hybrid-Modus) eine Regel anlegen, die Verkehr aus 100.64.0.0/10 auf die WAN-Adresse übersetzt, und unter Firewall → Rules auf dem Tailscale-Interface den Internetzugang erlauben.

Clients wählen die Firewall dann in der App als Exit Node aus – ihr Internetverkehr läuft über die Firmenleitung inklusive Webfilter und IDS/IPS.

Headscale: Die selbst gehostete Alternative

Der Coordination Server von Tailscale ist proprietär und wird nur als Cloud-Dienst angeboten; die Clients stehen unter der BSD-3-Lizenz. Headscale ist eine unabhängige Open-Source-Implementierung des Coordination Servers (aktuell Version 0.29), mit der die offiziellen Tailscale-Clients betrieben werden können:

  • Alle Steuerdaten bleiben im eigenen Rechenzentrum, keine Benutzerlizenzen.
  • Funktionsumfang kleiner als bei Tailscale (z. B. keine offizielle Web-Oberfläche, eingeschränkte Unterstützung neuer Funktionen) und Betrieb in eigener Verantwortung.
  • Auf OPNsense wird Headscale einfach als Login Server im Plugin eingetragen.

Wer eine vollständig selbst gehostete Lösung mit Web-Oberfläche, SSO und Zugriffsrichtlinien sucht, sollte auch NetBird vergleichen, dessen Steuerebene offiziell zum Selbstbetrieb vorgesehen ist.

Sicherheit und Betrieb

  • Standardrichtlinie ersetzen: „Alle dürfen alles“ durch gezielte Grants ersetzen und Server per Tags statt Benutzerkonten verwalten.
  • Schlüsselablauf beachten: Benutzergeräte melden sich nach Ablauf (Standard 180 Tage) neu an; für Server, Subnet Router und Firewalls den Ablauf gezielt deaktivieren.
  • Tailnet Lock aktivieren für Umgebungen mit hohem Schutzbedarf.
  • Device Posture nutzen, damit nur verwaltete, aktuelle Geräte auf sensible Ziele zugreifen.
  • Clients aktuell halten: Tailscale veröffentlicht regelmäßig Sicherheitsupdates (Security Bulletins TS-2026-…); Auto-Update in den Clients aktivieren.
  • Logs auswerten: Konfigurations- und Netzwerk-Flow-Logs (Premium) per Log-Streaming an ein SIEM übergeben, z. B. ein Open-Source-SIEM auf Wazuh-Basis.
  • Datenschutz prüfen: Der Coordination Server ist ein US-Cloud-Dienst; Nutzdaten fließen zwar nicht darüber, Metadaten (Geräte, Benutzer, Verbindungen) aber schon. Bei strengen Anforderungen Headscale oder NetBird self-hosted erwägen.

Tailscale im Vergleich

Kriterium Tailscale Headscale + Tailscale-Clients NetBird ZeroTier
Protokoll WireGuard WireGuard WireGuard Eigenes Protokoll, Layer 2
Steuerebene Cloud (proprietär) Selbst gehostet (BSD-3) Cloud oder selbst gehostet (AGPLv3) Cloud; Self-Hosting nur Enterprise
Web-Oberfläche Ja Nein (nur Drittanbieter) Ja Ja
Kostenlos für Firmen Bis 6 Benutzer Ja Self-Hosted: ja Nein
OPNsense-Plugin os-tailscale os-tailscale (Login Server) os-netbird os-zerotier

Fazit

Tailscale ist die bequemste Art, ein Zero-Trust-Netz auf WireGuard-Basis aufzubauen: Anmeldung per SSO, durchdachte Richtlinien, Subnet Router und Exit Nodes, dazu eine Vielzahl neuer Funktionen wie Services, Peer Relays und Device Posture. Auf OPNsense macht das Plugin die Firewall in wenigen Minuten zum Subnet Router. Wer die Steuerebene selbst betreiben muss, greift zu Headscale oder NetBird.

Unterstützung von m.a.x. it

Sie möchten Fernzugriffe und Standorte mit Tailscale, Headscale oder NetBird absichern und sauber in Ihre OPNsense-Firewall integrieren? m.a.x. it unterstützt Sie bei Auswahl, Richtliniendesign und Betrieb – mit Cybersecurity-Leistungen von m.a.x. it und OPNsense-Firewall-Services von m.a.x. it.

Siehe auch

Links und Quellen


Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung? Kontakt aufnehmen

Abgerufen von „https://techcorner.max-it.de/index.php?title=Tailscale_–_Mesh-VPN_auf_WireGuard-Basis&oldid=5188“