Hva er egentlig Tailscale, og hvilke fordeler tilbyr det sammenlignet med tradisjonelle VPN-forbindelser?

Tailscale er en VPN-tjeneste som kobler enheter til et privat nettverk, det såkalte Tailnet. Teknisk sett er den basert på WireGuard. Forskjellen fra et klassisk bedrifts-VPN ligger i topologien: Enhetene oppretter sine krypterte tunneler direkte seg imellom (mesh). En sentral VPN-konsentrator som all trafikk går gjennom, faller bort. Kun administrasjonen forblir sentral: En Coordination Server distribuerer offentlige nøkler, adresser og tilgangsregler, men ser ikke selve dataene.

For å komme i gang trenger du bare en konto hos en Identity Provider (Microsoft, Google, GitHub, Apple eller en OIDC-leverandør) og klienten på hver enhet. Portvideresendinger i brannmuren er som regel ikke nødvendig. Derfor er Tailscale utbredt både for hjemmenettverk og fjernaksess til servere og kundesystemer.

Slik fungerer et tradisjonelt VPN

Et klassisk VPN for fjernaksess fungerer etter hub-and-spoke-prinsippet. I utkanten av bedriftsnettverket står en VPN-gateway (brannmur eller appliance) som er tilgjengelig fra internett. Klienten på den bærbare PC-en oppretter en tunnel til denne gatewayen; vanlige løsninger er IPsec/IKEv2 (UDP 500 og 4500), SSL-VPN-varianter over TCP 443 eller OpenVPN. Etter innlogging får enheten en adresse fra en pool og ruter til de interne nettverkene.

Denne modellen har vist seg å fungere over flere tiår, men har strukturelle egenskaper som skaper arbeid i dagens drift:

• Offentlig tilgjengelig gateway: VPN-konsentratoren må være tilgjengelig fra internett og er dermed et foretrukket angrepsmål. Sårbarheter i VPN-appliances har gjentatte ganger blitt aktivt utnyttet de siste årene; den amerikanske myndigheten CISA beordret i januar 2024, gjennom Emergency Directive 24-01, til og med at berørte Ivanti-gatewayer skulle kobles fra nettet.
• Single point of failure og flaskehals: All trafikk går via gatewayen. Hvis den svikter eller båndbredden er brukt opp, rammer det alle brukere samtidig.
• Omveier (hairpinning): Hvis to ansatte på hjemmekontor arbeider mot samme server i skyen, går trafikken først til datasenteret og derfra ut igjen.
• Grove tilgangsrettigheter: Etter at forbindelsen er opprettet, får enheten ofte tilgang til et helt nettverkssegment. Finmaskede regler per bruker og tjeneste er mulig, men vedlikeholdes sjelden konsekvent.
• Site-to-site-arbeid: Hvert ekstra sted trenger sin egen tunnel med koordinerte parametere (fase 1-/fase 2-forslag, pre-shared keys eller sertifikater, faste offentlige IP-adresser).

Slik er Tailscale bygget opp

Tailscale skiller Control Plane fra Data Plane. Control Plane er Coordination Server, som Tailscale driver som skytjeneste. Data Plane består av WireGuard-tunnelene mellom enhetene.

Den private nøkkelen til en enhet forlater aldri enheten. Coordination Server kjenner bare de offentlige nøklene og kan derfor ikke dekryptere trafikken. Hver enhet får en fast adresse fra området 100.64.0.0/10 (adresseområdet for Carrier-Grade NAT) samt en IPv6-adresse fra fd7a:115c:a1e0::/48. Via MagicDNS er enhetene i tillegg tilgjengelige under navnet sitt, for eksempel nas eller nas.tailnet-name.ts.net.

NAT-traversering: hvorfor portvideresendinger ikke er nødvendig

De fleste enheter står bak en NAT-ruter eller en brannmur og er ikke direkte tilgjengelige utenfra. Tailscale løser dette med NAT-traversering: Begge sider finner sin offentlige adresse og tildelte port via STUN, utveksler denne informasjonen via Coordination Server og sender samtidig UDP-pakker til hverandre. De utgående pakkene oppretter en tilstandsoppføring i begge brannmurene, slik at pakker fra motparten deretter kan komme inn (UDP hole punching).

Hvis dette ikke lykkes, for eksempel ved restriktive brannmurer som blokkerer utgående UDP, eller ved visse former for Carrier-Grade NAT, går trafikken via et DERP-relé over HTTPS. Også da forblir den ende-til-ende-kryptert med WireGuard; reléet ser bare krypterte pakker. Prisen er høyere forsinkelse og lavere gjennomstrømming. Peer Relays reduserer denne ulempen ved at en egen enhet med god tilkobling overtar videresendingen.

Fordelene sammenlignet med et tradisjonelt VPN

Mindre angrepsflate

Ettersom klientene oppretter forbindelsene utgående, trenger ingen enhet en åpen port på internett. En server som bare skal være tilgjengelig via Tailnet, kan binde tjenestene sine utelukkende til Tailscale-grensesnittet. Da er den ikke synlig for portskannere på internett. WireGuard selv er med rundt 4000 linjer kjernekode betydelig mindre enn typiske IPsec- eller SSL-VPN-implementasjoner og bruker et fast sett med moderne metoder (Curve25519, ChaCha20-Poly1305, BLAKE2s). Det finnes ingen forhandling av cipher suites, slik som ved IPsec regelmessig fører til feilkonfigurasjoner.

Identitet i stedet for nettverksadresse

Hver enhet i Tailnet er knyttet til en bruker eller en tagg. Innloggingen skjer via Identity Provider som du allerede bruker; MFA og Conditional Access fra Microsoft Entra ID gjelder dermed også for nettverksaksess. Nye enheter kan bare knyttes til Tailnet etter vellykket innlogging hos Identity Provider, og hver enhetsnøkkel utløper som standard etter 180 dager. Hvis en medarbeider slutter i selskapet, sperrer du kontoen hos Identity Provider; med SCIM-provisioning (fra Standard-abonnementet) deaktiveres brukeren automatisk i Tailnet, og enhetene mister tilgangen.

Tilgangsregler etter minste privilegiums prinsipp

Som standard kan alle enheter i et nytt Tailnet nå alle andre enheter. For produksjonsbruk definerer du tilgangsrettighetene i en sentral policyfil (HuJSON). Eksempelet nedenfor tillater administratorgruppen SSH og HTTPS til alle servere med taggen tag:server, mens alle andre brukere bare får HTTPS til intranettserveren:

{
  "groups": {
    "group:admins": ["admin@example.com"]
  },
  "tagOwners": {
    "tag:server": ["group:admins"]
  },
  "grants": [
    {
      "src": ["group:admins"],
      "dst": ["tag:server"],
      "ip":  ["tcp:22", "tcp:443"]
    },
    {
      "src": ["autogroup:member"],
      "dst": ["intranet"],
      "ip":  ["tcp:443"]
    }
  ],
  "hosts": {
    "intranet": "100.101.102.103"
  }
}

Reglene håndheves lokalt av hver klient. En pakke som ikke er tillatt av policyen, forkastes allerede av målenheten. Coordination Server distribuerer bare policyen.

Direkte forbindelser i stedet for omveier

Fordi tunnelene går direkte mellom enhetene, tar trafikken den korteste veien. To enheter på samme kontor kommuniserer lokalt, og en bærbar PC på hjemmekontor når en skyserver direkte. Dette reduserer forsinkelsen og avlaster internettforbindelsen på hovedstedet.

Koble til eksisterende nettverk

Ikke alle enheter kan kjøre en Tailscale-klient, for eksempel skrivere, eldre NAS-systemer eller industrielle styringer. I slike tilfeller overtar en Subnet Router rollen som gateway: En Linux-server i mål-nettverket kunngjør det lokale subnettet i Tailnet (advertise), og autoriserte enheter når det via denne.

curl -fsSL https://tailscale.com/install.sh | sh
echo 'net.ipv4.ip_forward = 1' | \
  sudo tee /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf
sudo tailscale up \
  --advertise-routes=192.168.10.0/24 \
  --advertise-tags=tag:server

Den kunngjorte ruten må deretter godkjennes i administrasjonskonsollen, med mindre automatisk godkjenning (autoApprovers) er konfigurert i policyen. På tilsvarende måte kan en enhet drives som Exit Node med --advertise-exit-node. Klienter som velger denne Exit Node, videresender da all internett-trafikk via den, noe som tilsvarer full-tunnel-modus i et klassisk VPN.

Mindre driftsarbeid

Coordination Server administrerer nøkkelrotasjon, adressetildeling, DNS og ruting. Et nytt sted trenger en Subnet Router med internettilgang, men ingen fast offentlig IP-adresse og ingen koordinering av IPsec-parametere med motparten. For fjernaksess til servere finnes dessuten Tailscale SSH (innlogging via Tailnet-identitet uten distribuerte SSH-nøkler) og tailscale serve (deling av en lokal webtjeneste i Tailnet).

Begrensninger og avhengigheter

Tailscale erstatter den klassiske VPN-gatewayen, men flytter en del av ansvaret til en ekstern tjeneste. Du bør kontrollere disse punktene før innføring.

For selskaper i Sveits gjelder den reviderte personvernloven (revDSG). Siden det behandles personopplysninger om brukerne hos leverandøren (kontoer, enheter, tilkoblingsmetadata), må du føre opp Tailscale i oversikten over behandlingsaktiviteter dersom selskapet ditt er pålagt å føre en slik oversikt (fra 250 ansatte eller ved behandlinger med høy risiko). Kontroller leverandørens databehandleravtale (Data Processing Addendum) og det rettslige grunnlaget for utlevering til utlandet i henhold til art. 16 revDSG, for eksempel sertifisering under Swiss-U.S. Data Privacy Framework eller standard kontraktsklausuler. Hvis databehandling hos leverandøren er utelukket, gjenstår Headscale som selvdriftet Control Plane.

EU-merknad: For avdelinger i EU gjelder GDPR og reglene for overføring til tredjeland (art. 44 flg. GDPR). Vurderingen er innholdsmessig tilsvarende; der er EU-U.S. Data Privacy Framework avgjørende.

Kostnader

Personal-abonnementet er gratis og omfatter opptil seks brukere, et ubegrenset antall brukerenheter og 50 taggede enheter (per oktober 2026). For forretningsbruk koster Standard-abonnementet 8 USD og Premium 18 USD per bruker per måned. Premium inkluderer blant annet Network Flow Logs, loggstrømming og utvidede alternativer for Tailscale SSH. Enterprise tilbys individuelt.

Hvem Tailscale passer for

Tailscale passer særlig når brukere og ressurser er distribuert: hjemmekontor, skyservere hos flere leverandører, små avdelingskontorer uten fast IP-adresse eller fjernvedlikehold hos kunder. For små og mellomstore bedrifter kan det erstatte en VPN-gateway fullstendig. I større miljøer brukes det ofte parallelt med eksisterende VPN, for eksempel for administrasjonsaksess til servere, der de finmaskede tilgangsreglene gir størst nytte.

Det er mindre egnet hvis kravene forutsetter en fullt selvdriftet infrastruktur og Headscale ikke dekker funksjonsomfanget, eller hvis all internett-trafikk må filtreres sentralt. I så fall er det fortsatt nødvendig med en Secure Web Gateway som supplerer Tailscale.

For å teste holder det å installere klienten på to enheter og logge inn med samme konto. Med tailscale status ser du deretter alle enhetene i Tailnet, og med tailscale ping <gerät> kontrollerer du om en direkte forbindelse eller et relé brukes.