Tailscale verstehen: wie sich Geräte direkt verbinden

Ein klassisches VPN ist sternförmig: Alle Geräte verbinden sich mit einem VPN-Server, und wollen zwei Geräte miteinander reden, läuft der Verkehr erst zum Server und wieder zurück. Der Server ist Engpass und einzelne Schwachstelle zugleich – ist er langsam, sind es alle; fällt er aus, sind alle getrennt.

Tailscale ist ein Netz (Mesh): Zwischen je zwei Geräten gibt es einen direkten Tunnel. Greift das Handy auf das NAS zu Hause zu, fließt der Verkehr direkt vom Handy zum NAS, auf dem kürzesten Weg zwischen beiden. Keine einzelne Maschine trägt den gesamten Verkehr.

Der Preis des Netzes ist die aufwendige Verwaltung: Zehn Geräte, jedes mit jedem verbunden, ergeben 45 Tunnel, und für jeden müssen Schlüssel ausgetauscht und die aktuelle Adresse des Gegenübers bekannt sein. Von Hand ist das nicht zu pflegen; die ganze Arbeit von Tailscale besteht darin, das zu automatisieren.

Jedes Gerät erzeugt nach der Installation von Tailscale selbst ein Schlüsselpaar. Der private Schlüssel bleibt immer auf dem Gerät, der öffentliche geht an den Steuerungsserver (bei Tailscale „coordination server“ genannt). Melden Sie sich mit Ihrem Konto an, weiß der Steuerungsserver, wem dieses Gerät gehört.

Der Steuerungsserver führt eine Tabelle: den öffentlichen Schlüssel jedes Geräts, die zugeteilte private Adresse, die Netzadresse, unter der es gerade erreichbar ist, und die Zugriffsregeln, wer sich mit wem verbinden darf. Er schickt Ihrem Gerät die Zeilen, auf die Sie zugreifen dürfen. Geht ein Gerät online oder offline oder wechselt es das Netz, wird die Tabelle aktualisiert und an die betroffenen Geräte verteilt.

Der Steuerungsserver leitet Ihren Verkehr nicht weiter und hat auch keine privaten Schlüssel, er kann die Kommunikation zwischen den Geräten also nicht entschlüsseln. Er ist wie ein Empfang, der nur Adressbuch und Zugangskarten ausgibt: Er sagt Ihnen, wo das Gegenüber ist und ob Sie hineindürfen – was danach gesprochen wird, bekommt er nicht mit.

Angemeldet wird mit einem Konto, das Sie schon haben (Single Sign-on), nicht mit einem eigenen VPN-Passwort. Die Schlüssel der Geräte laufen regelmäßig ab und verlangen eine erneute Anmeldung; ein verlorenes Gerät verliert den Zugang, sobald Sie es in der Verwaltung löschen.

Die eigentlichen Daten transportiert WireGuard. Hat ein Gerät den öffentlichen Schlüssel eines anderen, kann es mit ihm einen verschlüsselten Tunnel aufbauen. Beide Enden prüfen den öffentlichen Schlüssel des anderen, und niemand dazwischen kann mitlesen oder etwas verändern.

Am Verschlüsselungsteil von WireGuard hat Tailscale nichts geändert. Es erledigt das, worum sich WireGuard selbst nicht kümmert: wie Schlüssel verteilt und Adressen vergeben werden und wie Geräte einander wiederfinden, wenn sie das Netz wechseln. Wie WireGuard funktioniert, steht in WireGuard verstehen.

Jedes Gerät hat in diesem Netz eine feste private Adresse (aus dem Bereich, der mit 100 beginnt). Ob es gerade am Festnetz zu Hause, im Firmennetz oder über mobile Daten hängt – diese Adresse bleibt gleich. So erreichen Sie das NAS zu Hause immer unter derselben Adresse. Mit MagicDNS geht es sogar direkt über den Gerätenamen.

Der Computer zu Hause hat keine öffentliche Adresse; nach draußen geht er über die Adressumsetzung (NAT) des Routers. Der Router lässt nur Verbindungen durch, die von innen begonnen wurden, und weist alles ab, was von außen anklopft. Stecken beide Geräte hinter ihrem jeweiligen Router, kann keines dem anderen zuerst die Tür öffnen – das ist die Schwierigkeit bei direkten Verbindungen.

Tailscale löst das in drei Schritten. Erstens fragt jedes Gerät einen Server im Internet: „Unter welcher Adresse und welchem Port siehst du mich?“ So weiß es, wie es außerhalb des Routers aussieht (solche Dienste heißen STUN). Zweitens tauschen die beiden Geräte diese äußere Adresse über den Steuerungsserver aus. Drittens senden beide gleichzeitig Pakete an die äußere Adresse des anderen: Jeder Router sieht eine von innen begonnene Verbindung und öffnet eine Lücke für die Rückantwort, durch die die Pakete der Gegenseite genau hineinpassen – die Verbindung steht. Das ist das sogenannte Hole Punching.

Hole Punching läuft über UDP. Bei den meisten Heimroutern klappt es; manche Netze setzen Adressen aber besonders streng um (für jedes neue Ziel ein anderer äußerer Port) oder sperren UDP ganz – dann klappt es nicht.

Hole Punching gelingt nicht garantiert, deshalb hält Tailscale eine Reihe von Relay-Servern bereit, genannt DERP. Kommen zwei Geräte nicht direkt zueinander, verbinden sich beide mit demselben DERP-Server, der die verschlüsselten Pakete an die Gegenseite weiterreicht. DERP läuft über HTTPS (TCP 443), das fast jedes Netz durchlässt.

Das Relay leitet Pakete weiter, die bereits mit WireGuard verschlüsselt sind. DERP hat keine Schlüssel und sieht nur, wer wem wie viel schickt, nicht den Inhalt.

Eine Verbindung beginnt immer über ein Relay: Sobald zwei Geräte online sind, reden sie zuerst über DERP miteinander, damit sofort etwas geht; gleichzeitig versuchen sie im Hintergrund das Hole Punching und wechseln unbemerkt auf die direkte Verbindung, sobald sie steht – ohne Unterbrechung. Dass die Latenz in den ersten Sekunden höher ist und dann sinkt, ist also normal.

Bleibt eine Verbindung dauerhaft auf dem Relay, hängen Tempo und Latenz davon ab, wie weit das Relay entfernt und wie ausgelastet es ist; meist ist das langsamer als direkt. Im Tailscale-Client sehen Sie, ob die aktuelle Verbindung direkt („direct“) oder über ein Relay („relay“) läuft.

• Exit Node (Ausgangsknoten): Legen Sie ein Gerät als Ausgang fest, wird der gesamte Internetverkehr Ihrer anderen Geräte erst verschlüsselt dorthin geschickt und verlässt dann über dessen Netz das Haus. Die Wirkung ist dieselbe wie bei einem klassischen VPN – nach außen erscheint die Adresse des Exit Node. Das kann Ihr eigener Computer zu Hause sein oder ein Server, den ein Anbieter stellt.
• Subnet Router: Ein Gerät mit Tailscale vertritt das ganze lokale Netz, in dem es steht. Drucker, Kameras oder ein altes NAS, auf denen sich Tailscale nicht installieren lässt, sind über dieses Gerät erreichbar.
• Zugriffskontrolle (ACL): Standardmäßig erreichen sich alle Ihre Geräte gegenseitig. Im Team lassen sich Regeln schreiben, welche Personen und Geräte auf welche Ports zugreifen dürfen. Die Regeln verteilt der Steuerungsserver, durchgesetzt werden sie auf jedem Gerät selbst.
• MagicDNS: gibt jedem Gerät einen Namen, damit Sie sich keine Adresse mit 100 vorne merken müssen.

• Zu WireGuard: WireGuard ist ein Protokoll für einen Tunnel und regelt nur, wie zwei Enden verschlüsselt kommunizieren; Schlüssel und Adresse der Gegenseite tragen Sie an jedem Ende von Hand ein. Tailscale ist ein komplettes System darauf, das Anmeldung, Schlüsselverteilung, Adressvergabe, NAT-Traversal und Relays für Sie erledigt.
• Zu klassischen VPN-Diensten: Ein klassisches VPN schickt allen Verkehr zu einem Server, der Schwerpunkt ist ein anderer Ausgang. Bei Tailscale steht im Vordergrund, dass Geräte einander erreichen; ein anderer Ausgang ist nur eine Zusatzfunktion (Exit Node).
• Zu Tools für Portfreigaben nach außen (frp, Oray und Ähnliche): Diese machen einen Port im lokalen Netz im Internet erreichbar, jeder, der die Adresse kennt, kommt dran, und die Sicherheit hängt am jeweiligen Dienst. Tailscale gibt keinen Port nach außen frei; hinein kommen nur Ihre eigenen angemeldeten Geräte.
• Zu ZeroTier: ähnliche Idee, beide bauen Netze automatisch auf; ZeroTier nutzt ein eigenes Protokoll und bildet ein Layer-2-Netz nach, Tailscale nutzt WireGuard und arbeitet auf Layer 3.

Die Clients von Tailscale sind Open Source, der Steuerungsserver ist ein Dienst, den das Unternehmen betreibt. Headscale ist ein von der Community geschriebener Open-Source-Steuerungsserver, der dasselbe Protokoll umsetzt; die offiziellen Clients lassen sich auf ihn umstellen. Dann liegen Geräteliste, Schlüsselverzeichnis und Zugriffsregeln in Ihrer eigenen Hand.

Genau dafür gibt es im Client die Option „Use custom server“ bzw. „Use an alternate server“ (eigenen bzw. anderen Server verwenden): Tragen Sie eine Adresse ein, verbindet sich der Client nicht mehr mit den Servern des Unternehmens Tailscale, sondern mit dem angegebenen.

Bei einem eigenen Server entscheidet dessen Betreiber, wie man sich anmeldet, wie viele Geräte erlaubt sind und welche Exit Nodes es gibt; mit dem kostenlosen Kontingent und den Bezahltarifen von Tailscale selbst hat das nichts zu tun.

• Hole Punching braucht UDP. Viele Breitbandanschlüsse in China drosseln UDP, und die großen internen Netze der Anbieter (mehrfache Adressumsetzung) erschweren das Hole Punching zusätzlich; die Wahrscheinlichkeit, über ein Relay zu laufen, ist höher als außerhalb Chinas.
• Über ein Relay hängt das Tempo davon ab, wo das Relay steht. Ist es weit weg, steigt die Latenz – der Hauptgrund, warum Tailscale sich in China so unterschiedlich anfühlt.
• Das Paketformat von WireGuard ist fest und nicht getarnt; in streng kontrollierten Netzen kann es erkannt und gedrosselt werden. Es ist ein Werkzeug zum Vernetzen, nicht zum Umgehen von Sperren gebaut.
• Auf dem Handy dauerhaft eingeschaltet zu lassen ist kein Problem: Ohne Verkehr im Tunnel verbraucht es fast keinen Strom, und beim Wechsel zwischen WLAN und mobilen Daten stellt sich die Verbindung selbst wieder her.

Der Bereich „Privat“ von LeoTun nutzt den offiziellen Tailscale-Client, verbunden mit unserem eigenen Steuerungsserver: Sie melden sich einmal mit Ihrem Konto der Website an, und das Gerät bleibt online; wir stellen in den einzelnen Regionen Exit Nodes bereit, und Sie wechseln den Ausgang, indem Sie im Client-Menü „Exit Node“ eine Region wählen, ohne eine Konfiguration neu zu importieren; Handy, Computer und NAS im selben Konto erreichen einander direkt.

Da Sie sich beim Steuerungsserver dieser Website anmelden, zählen die Geräte nach dem Tarif Ihres Kontos hier, unabhängig von offiziellen Tailscale-Konten und -Kontingenten. War das Gerät schon bei einem offiziellen Tailscale-Konto angemeldet, melden Sie sich zuerst ab und dann hier an. Die bebilderten Schritte zu Installation und Anmeldung stehen in Was Privat (Tailscale) ist, der Einstieg ist die Seite „Privat“.

Beschränkt Ihr Netz UDP und ist „Privat“ langsam und instabil, können Sie mit demselben Konto auf eine andere Verbindungsart wechseln; siehe Welche Verbindungsart passt wofür?.