Tailscale

Tailscale verbindet Geräte mit einem privaten Netzwerk, dem Tailnet. Tailscale Serve kann einen lokalen Webdienst für Geräte in diesem Tailnet veröffentlichen und HTTPS für die Tailnet-Adresse bereitstellen. Das eignet sich, wenn Benutzer und Administratoren den Tailscale-Client auf ihren Geräten installieren können.

Tailscale ist ein externer Dienst. Der Server und jedes Gerät, das einen privaten Dienst verwenden soll, benötigen eine passende Tailscale-Installation und Kontokonfiguration.

Privater Zugriff mit Serve

Der grundlegende Ablauf ist:

  1. Installieren Sie Tailscale auf Server und Clientgeräten.
  2. Melden Sie sich beim selben Tailnet an.
  3. Binden Sie den lokalen Webdienst möglichst an eine Loopback-Adresse.
  4. Veröffentlichen Sie den lokalen HTTP- oder HTTPS-Port mit Tailscale Serve.
  5. Beschränken Sie den Zugriff mit Tailnet-ACLs und der eigenen Anwendungsauthentifizierung.
  6. Testen Sie den Dienst von einem freigegebenen Client.

Ein typischer Befehl veröffentlicht einen lokalen HTTP-Dienst auf Port 8080: 

tailscale serve --bg http://127.0.0.1:8080
tailscale serve status

Syntax und verfügbare Optionen können sich zwischen Tailscale-Versionen ändern. Verwenden Sie die offizielle Dokumentation zu Tailscale Serve für die installierte Version.

Tailscale stellt eine Tailnet-Adresse bereit und kann ein Zertifikat für den Namen *.ts.net verwalten. Dieses Zertifikat gilt für die Tailscale-Adresse. Es stellt kein Zertifikat für Ihre eigene Kundendomain aus und macht den Dienst nicht öffentlich erreichbar.

Öffentlicher Zugriff mit Funnel

Tailscale Funnel veröffentlicht einen Dienst im öffentlichen Internet. Das ist ein anderes Zugriffsmodell als Serve:

  • Besucher müssen nicht Mitglied Ihres Tailnets sein.
  • Tailnet-ACLs bieten Besuchern nicht denselben Schutz.
  • Die Anwendung muss eigene Authentifizierung und Autorisierung anbieten.
  • Verfügbarkeit, Domains, Ports und Limits hängen vom Tailscale-Dienst ab.

Lesen Sie vor der Aktivierung die offizielle Dokumentation zu Tailscale Funnel.

Sicherheit und Betrieb

  • Halten Sie den lokalen Serverport für nicht vertrauenswürdige Netzwerkschnittstellen unzugänglich.
  • Verwenden Sie Tailnet-ACLs auf Basis von Benutzern, Gruppen und Geräten.
  • Betrachten Sie eine Tailnet-Verbindung nicht als Ersatz für Anwendungsberechtigungen.
  • Prüfen Sie Gerätefreigaben, Schlüssellaufzeiten und Verfahren zum Entfernen von Benutzern.
  • Planen Sie die Abhängigkeit vom Tailscale-Control-Service ein.
  • Veröffentlichen Sie Administrationsdienste nicht mit Funnel, wenn keine zusätzliche starke Zugriffsrichtlinie vorhanden ist.

Wann Tailscale gut geeignet ist

Tailscale Serve eignet sich für interne Administration, Supportzugriff und kleine Benutzergruppen mit verwalteten Geräten. Ein DNS-01-Zertifikat mit Split-DNS eignet sich besser, wenn Benutzer eine normale Kundendomain ohne Clientinstallation verwenden sollen. Ein geschützter öffentlicher Tunnel eignet sich besser, wenn öffentlicher Browserzugriff erforderlich ist.