Tailscale Exit-Node auf einem VPS einrichten

Was ein Tailscale-Exit-Node macht

Ein Tailscale-Exit-Node ist ein Rechner in Ihrem Tailnet, der den gesamten Internetverkehr Ihrer anderen Geräte weiterleitet. Ein VPS (virtueller privater Server) eignet sich dafür gut, weil er eine feste öffentliche Adresse hat und dauerhaft online bleibt. Die Einrichtung umfasst fünf Schritte: Installieren Sie Tailscale auf dem Server, kündigen Sie den Exit-Node an, aktivieren Sie IP-Forwarding, genehmigen Sie die Route in der Admin-Konsole und wählen Sie den Node anschließend auf Ihrem Laptop aus. Der vierte Schritt besteht aus einem Kontrollkästchen auf einer Webseite und nicht aus einem Befehl. An dieser Stelle kommen die meisten Benutzer nicht weiter.

Sobald er aktiviert ist, verschlüsselt Ihr Laptop jedes Paket und sendet es an den VPS. Der VPS wendet Source NAT (Network Address Translation) an und sendet das Paket mit seiner eigenen öffentlichen IP-Adresse weiter. Websites sehen den VPS. Das WLAN im Café sieht nur einen verschlüsselten UDP-Datenstrom zum VPS und nichts anderes. Ohne Exit-Node leitet Tailscale nur Datenverkehr zwischen Ihren eigenen Geräten weiter. Jede Website sieht weiterhin Ihre tatsächliche Adresse. Dieser Unterschied ist entscheidend für die Frage, ob Tailscale überhaupt als VPN gilt.

Tailscale verwendet WireGuard für den Datenpfad sowie einen Koordinationsserver, der Schlüssel verteilt und zwei Rechnern hilft, einander durch NAT hindurch zu finden. Dieser Koordinationsserver ist der Grund dafür, dass im Folgenden keine Schlüssel kopiert werden. Eine vollständige Darstellung der Abwägungen finden Sie unter Tailscale und reines WireGuard im Vergleich. Wenn Sie lieber jeden Teil des Tunnels selbst verwalten möchten, richten Sie stattdessen ein reines WireGuard-VPN auf Ihrem VPS ein.

Die folgenden Schritte setzen voraus, dass Tailscale bereits auf Ihrem Laptop läuft und beide Rechner sich beim gleichen Tailnet anmelden. Ein Tailnet ist Ihr privates Tailscale-Netzwerk. Sofern ein Administrator IPv4 dafür deaktiviert hat, erhält jedes Gerät darin eine stabile Adresse innerhalb 100.64.0.0/10.

Tailscale auf Ihrem VPS installieren

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up

Das Installationsskript wählt das Paket-Repository für Ihre Distribution aus und installiert den tailscaled-Daemon. tailscale up gibt anschließend eine Authentifizierungs-URL aus. Öffnen Sie diese URL in einem Browser und melden Sie sich mit demselben Konto an, das Ihr Laptop verwendet. Ein VPS, der bei einem anderen Tailnet angemeldet ist, kann Ihren Laptop nicht erreichen.

tailscale status
tailscale ip -4

tailscale status sollte nun beide Geräte auflisten. tailscale ip -4 gibt die Tailnet-Adresse des VPS aus. Diese Adresse übergeben Sie später dem Client.

Tailscale benötigt ein TUN-Gerät, um den Tunnel aufzubauen. Bei einem KVM-VPS ist dieses Gerät vorhanden. Bei Tarifen mit Container-Virtualisierung, die den Kernel des Hosts gemeinsam verwenden, fehlt /dev/net/tun manchmal. Dann kann tailscaled die tailscale0-Schnittstelle nicht erstellen. Führen Sie ls -l /dev/net/tun aus, bevor Sie fortfahren.

IP-Weiterleitung aktivieren, sonst verwirft der VPS jedes Paket

Ein Linux-System verwirft jedes Paket, das nicht an das System selbst adressiert ist, weil net.ipv4.ip_forward standardmäßig den Wert 0 hat. Der Exit-Node würde Ihren Datenverkehr annehmen, entschlüsseln und anschließend verwerfen. Schreiben Sie die Einstellung in eine Datei, damit sie einen Reboot übersteht.

echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf

tee -a hängt Inhalte an. Wenn Sie diese Zeilen ein zweites Mal ausführen, werden beide Einstellungen doppelt geschrieben. Das Ergebnis funktioniert weiterhin, und cat /etc/sysctl.d/99-tailscale.conf sieht ungewöhnlich aus. Prüfen Sie den aktiven Wert, statt der Datei zu vertrauen:

sysctl net.ipv4.ip_forward

Die Ausgabe muss net.ipv4.ip_forward = 1 lauten. Wenn Sie diesen Schritt überspringen und tailscale up --advertise-exit-node verwenden, zeigt der Client Folgendes an:

Warning: IP forwarding is disabled, subnet routing/exit nodes will not work.

tailscale set --advertise-exit-node führt diese Prüfung nicht aus. Daher ist eine leere Ausgabe von set kein Beleg dafür, dass die Weiterleitung aktiviert ist. Lesen Sie den sysctl-Wert selbst aus.

Sie müssen keine Masquerade-Regel von Hand anlegen. tailscaled erstellt eigene Firewall-Ketten mit den Namen ts-input, ts-forward und ts-postrouting. Die NAT-Regel für den Datenverkehr des Exit-Nodes befindet sich in ts-postrouting. Sehen Sie sie sich mit sudo iptables-save | grep ts- an oder verwenden Sie auf einem nftables-System sudo nft list ruleset.

Den VPS als Exit-Node anbieten

sudo tailscale set --advertise-exit-node

tailscale set ändert eine Einstellung und lässt die übrigen unverändert. tailscale up --advertise-exit-node bietet den Node ebenfalls an und hat einen Nebeneffekt: up behandelt die Flags in seiner Befehlszeile als vollständige Menge der von den Standardwerten abweichenden Einstellungen. Ein späterer Aufruf von sudo tailscale up ohne Argumente wird daher verweigert und gibt Folgendes aus:

changing settings via 'tailscale up' requires mentioning all
non-default flags. To proceed, either re-run your command with --reset or
use the command below to explicitly mention the current value of
all non-default settings:

Verwenden Sie für fortlaufende Änderungen set. Dann tritt diese Meldung nicht auf.

Das Anbieten ist zunächst nur eine Bekanntgabe. Der VPS teilt dem Koordinationsserver jetzt mit, dass er als Exit-Node zur Verfügung steht. Noch kann kein Client ihn verwenden.

Tailscale-Exit-Node in der Administrationskonsole genehmigen

Dies ist der Schritt ohne zugehörigen Befehl. Öffnen Sie die Maschinen-Seite in der Administrationskonsole und suchen Sie den VPS. Dort sollte jetzt das Abzeichen Exit Node angezeigt werden. Öffnen Sie das Menü für dieses Gerät, wählen Sie Edit exit node, aktivieren Sie das Kontrollkästchen Use as exit node und wählen Sie anschließend Save.

Solange dieses Kontrollkästchen nicht aktiviert und gespeichert ist, hält die Control Plane das Angebot zurück und weist es keinem Gerät zu. tailscale exit-node list auf Ihrem Laptop zeigt nichts an, und Ihr Datenverkehr verwendet weiterhin seine normale Route. Auf keinem der beiden Geräte wird eine Fehlermeldung angezeigt. Der Exit Node erscheint einfach nicht.

Sie können Exit Nodes automatisch mit einem Eintrag in der Tailnet-Richtliniendatei genehmigen:

"autoApprovers": {
  "exitNode": ["tag:exit"],
}

Ein Gerät, das mit --advertise-tags=tag:exit gestartet wurde, wird anschließend automatisch genehmigt, sofern tag:exit unter tagOwners in derselben Richtliniendatei definiert ist. Durch das Tagging ändert sich der Besitz: Ein getaggtes Gerät gehört dem Tailnet statt Ihrem Benutzerkonto, und die darauf angewendeten Zugriffsregeln ändern sich entsprechend. Für einen einzelnen VPS ist das Kontrollkästchen einfacher.

Wählen Sie den Exit Node auf Ihrem Laptop aus

Auf einem Linux-Client:

tailscale exit-node list
sudo tailscale set --exit-node=vps.your-tailnet.ts.net

exit-node list gibt die genehmigten Exit Nodes in Ihrem Tailnet mit ihren Adressen aus. Eine leere Liste bedeutet, dass die Genehmigung nicht erfolgt ist. Unter macOS, Windows, iOS und Android befindet sich dieselbe Auswahl als Menüeintrag unter Exit Node in der Tailscale-App.

Prüfen Sie dies vom Client aus, niemals vom Server:

curl -4 https://ifconfig.me

Führen Sie den Befehl einmal vor und einmal nach der Auswahl des Exit Nodes aus. Die Adresse muss sich von Ihrer lokalen Adresse zur öffentlichen IP-Adresse des VPS ändern. Um den Exit Node nicht mehr zu verwenden:

sudo tailscale set --exit-node=

Ein weiteres Flag ist am ersten Tag wichtig. Wenn ein Exit Node ausgewählt ist, sendet der Client alles durch den Tunnel, einschließlich Paketen an 192.168.1.50. Dadurch antworten Ihr Drucker und Ihr Netzwerkspeicher nicht mehr. Belassen Sie das lokale Netzwerk auf der lokalen Route:

sudo tailscale set --exit-node=<name> --exit-node-allow-lan-access=true

Warum sich Ihr DNS ändert, sobald der Exit Node aktiv ist

Standardmäßig verwendet ein Gerät mit einem Exit Node diesen Exit Node auch als DNS-Resolver (Domain Name System) für jede Domain. Dadurch werden die globalen und Split-DNS-Nameserver überschrieben, die für Ihr Tailnet konfiguriert sind. Dieses Verhalten ist beabsichtigt. Wenn Abfragen weiterhin an den Resolver des lokalen Netzwerks gesendet würden, könnte der Café-Router weiterhin den Namen jeder von Ihnen besuchten Website sehen, während der Datenverkehr selbst privat bliebe. Namen und Pakete sollten denselben Ausgang verwenden.

Eine Folge betrifft Betreiber eines internen Resolvers besonders häufig: Ein Nameserver des Tailnets, von dem Sie abhängig sind, wird nicht mehr verwendet, solange der Exit Node aktiv ist. Aktivieren Sie für diesen Nameserver auf der DNS-Seite der Admin-Konsole die Option Use with exit node, um ihn wieder zu verwenden.

MagicDNS-Namen funktionieren weiterhin, weil der Tailscale-Client sie lokal unter 100.100.100.100 beantwortet, bevor etwas den Exit Node erreicht. Prüfen Sie dies mit dig @100.100.100.100 your-vps.your-tailnet.ts.net oder auf einem systemd-resolved-Client mit resolvectl status. Dort listet die Tailscale-Schnittstelle 100.100.100.100 als DNS-Server auf.

Wenn Sie die DNS-Verarbeitung von Tailscale mit --accept-dns=false deaktivieren, verwendet der Client weiterhin den Resolver, den er vom lokalen Netzwerk erhalten hat. Der Datenverkehr wird durch den Tunnel geleitet, die DNS-Abfragen jedoch nicht. Das ist dasselbe DNS-Leak, das bei manuell eingerichteten WireGuard-Tunneln auftritt. Lassen Sie --accept-dns unverändert, sofern kein konkreter Grund für eine Änderung besteht.

IPv6 über den Exit Node

Ein Exit Node kündigt beide Standardrouten an: 0.0.0.0/0 und ::/0. Wenn der VPS keinen funktionierenden IPv6-Pfad ins Internet hat, treffen IPv6-Pakete über den Tunnel ein und bleiben dort stehen. Testen Sie dies auf dem VPS, bevor Sie ihm vertrauen:

ip -6 addr show
curl -6 https://ifconfig.me

Wenn eine Anfrage keine Verbindung herstellen kann, hat der VPS keinen funktionierenden IPv6-Pfad nach außen. Meldet curl stattdessen „Could not resolve host“, liegt die Ursache bei der Namensauflösung und nicht bei IPv6. Korrigieren Sie dann DNS auf dem VPS und führen Sie den Test erneut aus. Websites mit Dual Stack werden normalerweise trotzdem geladen. Clients mit Happy Eyeballs, darunter curl, starten parallel einen IPv4-Versuch, wenn der IPv6-Versuch nach kurzer Zeit noch keine Verbindung hergestellt hat, und verwenden die Verbindung, die zuerst zustande kommt. curl wartet standardmäßig 200 Millisekunden. Diese Wartezeit verzögert neue Verbindungen, verursacht aber keinen Fehler. Ziele, die ausschließlich IPv6 unterstützen, bleiben unerreichbar.

Die andere Hälfte ist die Weiterleitung. net.ipv4.ip_forward = 1 mit net.ipv6.conf.all.forwarding auf 0 liefert einen funktionierenden IPv4-Pfad und ein schwarzes Loch für IPv6. Für den Leser äußert sich das als „Einige Websites sind langsam“ und nicht als Fehler, nach dem jemand gezielt suchen kann. Beide Zeilen gehören in die sysctl-Datei.

Sollte der VPS auch Subnetz-Routen bekanntgeben?

Ein Exit Node transportiert den gesamten Internetverkehr. Eine Subnetz-Route transportiert einen privaten Adressbereich, der sich hinter dem Rechner befindet, der ihn bekanntgibt. Dies sind getrennte Funktionen mit getrennten Freigaben, und ein Rechner kann beide Funktionen übernehmen. Keine der beiden Funktionen macht einen Dienst auf dem VPS selbst erreichbar. Wenn Sie tatsächlich eine HTTPS-URL für eine Anwendung auf diesem Server benötigen, sind serve und funnel die passenden Funktionen.

sudo tailscale set --advertise-routes=10.0.0.0/24

Geben Sie ein Subnetz bekannt, wenn der VPS ein privates Netzwerk mit anderen Servern teilt, die Sie über ihre privaten Adressen erreichen möchten. Geben Sie es in einem eigenen Dialog frei, getrennt vom Dialog für den Exit Node: Wählen Sie auf der Seite Machines den VPS aus, wechseln Sie zum Abschnitt Subnets, wählen Sie Edit, um Edit subnet routes zu öffnen, wählen Sie die Route aus und wählen Sie anschließend Save. Linux-Clients ignorieren die bekanntgegebene Route, bis Sie --accept-routes übergeben. Das ist einer der Unterschiede, die die Anleitung zum Subnetz-Router vollständig behandelt.

Wählen Sie den Adressbereich sorgfältig. Sobald eine Route freigegeben ist, kann ein Laptop, der sie akzeptiert (Windows, macOS, iOS und Android tun dies standardmäßig, Linux nach --accept-routes), Datenverkehr für diesen Bereich durch den Tunnel senden. Wenn Sie 192.168.1.0/24 auf dem VPS freigeben und ein Laptop in einem Heimnetzwerk denselben Bereich verwendet, können diese Adressen an den Tunnel verloren gehen, und die Geräte auf Ihrem Schreibtisch sind nicht mehr erreichbar. Verwenden Sie einen von Ihnen gewählten Bereich, nicht den Bereich, den Ihr Heimrouter für Sie ausgewählt hat.

Den Exit Node mit UDP-GRO-Weiterleitung beschleunigen

Tailscale 1.54 und höher kann auf einem Linux-Kernel ab Version 6.2 einen Receive-Offload verwenden, der den Durchsatz weitergeleiteten Datenverkehrs erhöht. GRO (Generic Receive Offload) fasst eingehende Pakete zusammen, bevor der Kernel sie einzeln verarbeitet. Stand Oktober 2026 ist dies auf dem Exit Node weiterhin ein manueller Schritt.

sudo apt install -y ethtool
NETDEV=$(ip -o route get 8.8.8.8 | cut -f 5 -d " ")
sudo ethtool -K $NETDEV rx-udp-gro-forwarding on rx-gro-list off

ip -o route get 8.8.8.8 meldet das Interface, über das tatsächlich die Internetverbindung hergestellt wird. Sie müssen daher nicht zwischen eth0, ens3 und enp1s0 raten. Bestätigen Sie dies mit ethtool -k $NETDEV | grep udp-gro-forwarding. Die Ausgabe sollte jetzt on lauten. GRO hilft nur bei einer ansonsten funktionierenden Verbindung. Wenn der Exit Node danach weiterhin langsam ist, messen Sie die Verbindung selbst auf dieselbe Weise wie bei einem einfachen WireGuard-Tunnel, der langsamer als die zugrunde liegende Verbindung ist.

Die Einstellung geht beim Reboot verloren. Auf einem System mit networkd-dispatcher können Sie sie automatisch setzen:

printf '#!/bin/sh\n\nethtool -K %s rx-udp-gro-forwarding on rx-gro-list off \n' "$(ip -o route get 8.8.8.8 | cut -f 5 -d " ")" | sudo tee /etc/networkd-dispatcher/routable.d/50-tailscale
sudo chmod 755 /etc/networkd-dispatcher/routable.d/50-tailscale

Prüfen Sie zuerst, ob /etc/networkd-dispatcher/routable.d/ vorhanden ist. Falls nicht, läuft auf dem Rechner networkd-dispatcher nicht. Eine kleine systemd-Unit, die beim Booten die Zeile ethtool ausführt, erfüllt denselben Zweck.

Was die Acceptable Use Policy Ihres Providers für Exit-Datenverkehr bedeutet

Jedes Paket, das ein Client über den Exit Node sendet, verlässt das Netzwerk mit der öffentlichen IP-Adresse des VPS. Daher wird es Ihrem Konto zugeordnet. Missbrauchsmeldungen gehen an Ihre E-Mail-Adresse, zum Beispiel Urheberrechtsbeschwerden oder Meldungen zu Port-Scans. Lesen Sie die AUP (Acceptable Use Policy) Ihres Providers, bevor Sie den Datenverkehr eines Haushalts oder eines Teams über einen Server leiten. Stellen Sie einen Exit Node nicht für Personen bereit, für deren Verhalten Sie nicht einstehen können.

Das Datenvolumen wird nur einmal auf dem Weg nach außen berechnet. Jedes Byte, das den Exit Node passiert, durchquert den VPS zweimal: Es kommt auf der einen Seite an und verlässt ihn auf der anderen. Bei den meisten VPS-Tarifen wird jedoch nur die ausgehende Hälfte gemessen. Stand Oktober 2026 weist SSD Nodes das Kontingent jedes KVM-Tarifs als ausgehenden Datenverkehr aus, mit 4TB bis 48TB pro Monat. Die Dokumentation von Vultr gibt an, dass eingehender Datenverkehr nicht gemessen wird. Bei einem Download ist der gemessene Abschnitt die Übertragung vom VPS durch den Tunnel zu Ihrem Laptop. Bei einem Upload ist es die Übertragung vom VPS ins Internet. In beiden Fällen wird alles, was Sie über den Exit Node leiten, einmal auf das Kontingent angerechnet. Ein Videostream über einen Exit Node belastet das Kontingent daher stärker, als viele erwarten. Prüfen Sie Ihren eigenen Tarif. Ein Anbieter, der beide Richtungen misst, berechnet diesen Datenverkehr doppelt.

Adressbereiche von Rechenzentren haben ebenfalls einen bestimmten Ruf. Einige Websites zeigen für diese Adressen häufiger CAPTCHAs an. Manche Streamingdienste lehnen sie vollständig ab. Das lässt sich durch Ihre Konfiguration nicht ändern. Es ist eine Eigenschaft des Adressblocks, der Ihrem Provider gehört.

Warum der Datenverkehr weiterhin über Ihre lokale Verbindung läuft

Der Exit-Node ist angekündigt, aber nicht freigegeben. tailscale exit-node list auf dem Client gibt nichts aus, und keine der beiden Maschinen protokolliert einen Fehler. Öffnen Sie die Seite „Machines“, wählen Sie im Menü des VPS Edit exit node, aktivieren Sie Use as exit node und wählen Sie Save.

Der Client hat ihn nicht ausgewählt. Durch die Freigabe wird der Node im Tailnet verfügbar. Die Auswahl ist auf jedem Gerät ein separater Schritt. Führen Sie sudo tailscale set --exit-node=<name> erneut aus und prüfen Sie anschließend wieder curl -4 https://ifconfig.me.

Das Forwarding ist deaktiviert. Das Symptom ist eindeutig: tailscale ping <vps> ist erfolgreich, der Tunnel ist offensichtlich aktiv, und jede externe Adresse läuft in einen Timeout. sysctl net.ipv4.ip_forward gibt 0 aus. Korrigieren Sie die sysctl-Datei und führen Sie anschließend sudo sysctl -p /etc/sysctl.d/99-tailscale.conf aus.

Eine Firewall verwirft die weitergeleiteten Pakete. tailscaled fügt eine eigene ts-forward-Chain ein. Auf einem frisch eingerichteten VPS reicht das aus. Auf einem System, auf dem bereits ufw oder Docker läuft, kann die FORWARD-Policy auf DROP gesetzt sein. Außerdem können Regeln vor denen von Tailscale stehen. Raten Sie nicht, welche Regel greift. Führen Sie sudo iptables -L FORWARD -n -v aus, während der Client versucht, eine Seite zu laden, und beobachten Sie, welche Zähler sich ändern. Auf einem System mit ufw besteht die übliche Lösung aus DEFAULT_FORWARD_POLICY="ACCEPT" in /etc/default/ufw, gefolgt von sudo ufw reload. Prüfen Sie außerdem die Netzwerk-Firewall Ihres Providers im Control Panel. Sie ist unabhängig von allen Komponenten, die auf dem Server laufen.

Es funktioniert, ist aber langsam. Führen Sie tailscale netcheck auf beiden Maschinen aus. Wenn der Befehl meldet, dass UDP blockiert ist, können die beiden Geräte keinen direkten Pfad aufbauen. Sie verwenden dann einen DERP-Relay, wodurch jede Verbindung zusätzliche Latenz erhält. Wenn Sie eingehendes UDP auf Port 41641 für den VPS in der Netzwerk-Firewall des Providers zulassen, wird der direkte Pfad normalerweise wiederhergestellt.

Wann Sie Tailscales Koordinationsserver nicht mehr verwenden sollten

Alles oben Beschriebene hängt für den Schlüsselaustausch und für die von Ihnen erteilte Genehmigung von Tailscales gehostetem Koordinationsserver ab. Ihr Datenverkehr läuft direkt vom Laptop zum VPS oder über eines der DERP-Relays von Tailscale, wenn kein direkter Pfad aufgebaut werden kann. Der Koordinationsserver überträgt den Datenverkehr jedoch nie. Er entscheidet aber, wer dem Tailnet beitreten darf und auf welche Ziele die einzelnen Geräte zugreifen können. Der Preis ist selten ein Grund für den Wechsel, weil der kostenlose Tarif sechs Benutzer mit jeweils unbegrenzt vielen eigenen Geräten abdeckt. Bewerten Sie daher eher die Abhängigkeit selbst als die Rechnung. Ab der siebten Person ändert sich das. Da Tailscale pro Benutzer und nicht pro Gerät abrechnet, sollten Sie ermitteln, was ein Haushalt oder ein Team mit fünf Personen tatsächlich bezahlt, bevor Sie eine Kostenentscheidung treffen. Eine realistische Bewertung setzt voraus, dass Sie wissen, welche Ziele ein kompromittierter Koordinationsserver oder ein gestohlenes Identitätskonto tatsächlich erreichen könnte. Das beschreibt Tailscales Vertrauensmodell. Wenn Sie vor dem Wechsel alle Schwächen gemeinsam abwägen möchten, vom Koordinationsserver bei Tailscale Inc. über die Anmeldung bei Google und anderen Identitätsanbietern bis zur fehlenden Anonymität, finden Sie diese in der Übersicht über die Nachteile von Tailscale. Wenn Sie diese Abhängigkeit beseitigen möchten, betreiben Sie Headscale als eigenen Tailscale-Steuerungsserver und richten beide Clients darauf aus. Die Schritte für den Exit Node bleiben anschließend gleich. Die Routenfreigabe erfolgt jedoch über die Befehlszeile von Headscale und nicht über die gehostete Konsole. Headscale ersetzt die Steuerungsebene, während Sie weiterhin die Tailscale-Clients verwenden. Wenn Sie stattdessen den gesamten Stack selbst betreiben möchten, liefert NetBird einen eigenen Koordinationsserver und Clients, die Sie auf einem VPS hosten.

FAQ

Warum verwendet mein Netzwerkverkehr weiterhin meine lokale Verbindung, nachdem ich den Exit-Node ausgewählt habe?

Dafür gibt es zwei häufige Ursachen. Der Exit-Node wurde angekündigt, aber nie genehmigt: Öffnen Sie in der Admin-Konsole die Seite Machines, suchen Sie den VPS, wählen Sie in dessen Menü Edit exit node, aktivieren Sie Use as exit node und wählen Sie Save. Die Genehmigung erfolgt in der Konsole. Kein Befehl auf dem Server führt sie aus. Die zweite Ursache sieht anders aus: IP-Forwarding ist deaktiviert. Der Tunnel wird aufgebaut, tailscale ping zum VPS funktioniert, aber jede externe Adresse läuft in einen Timeout. Prüfen Sie dies mit sysctl net.ipv4.ip_forward. Der Wert muss 1 sein.

Muss ich den Exit-Node jedes Mal manuell genehmigen?

Die Genehmigung ist für jede Maschine nur einmal erforderlich. Wenn Sie den VPS häufig neu erstellen, fügen Sie der Tailnet-Policy-Datei einen autoApprovers-Block mit "exitNode": ["tag:exit"] hinzu, definieren Sie tag:exit unter tagOwners und starten Sie den Node mit --advertise-tags=tag:exit. Ein Gerät mit Tag gehört zum Tailnet und nicht zu Ihrem Benutzerkonto. Dadurch ändern sich auch die darauf angewendeten Zugriffsregeln.

Welchen DNS-Server verwendet mein Laptop, wenn ein Exit-Node aktiviert ist?

Den Exit-Node selbst. Ein Gerät, das einen Exit-Node verwendet, sendet alle DNS-Abfragen dorthin. Dadurch werden die globalen und Split-DNS-Nameserver überschrieben, die für das Tailnet festgelegt sind. Das lokale Netzwerk kann dadurch die von Ihnen abgefragten Namen nicht sehen. Wenn weiterhin ein bestimmter Tailnet-Nameserver verwendet werden soll, aktivieren Sie dafür auf der DNS-Seite der Admin-Konsole die Option Use with exit node. MagicDNS-Namen werden weiterhin aufgelöst, weil der Tailscale-Client sie lokal unter 100.100.100.100 beantwortet.

Kann ein VPS gleichzeitig als Exit-Node und als Subnet-Router dienen?

Ja. sudo tailscale set --advertise-exit-node und sudo tailscale set --advertise-routes=10.0.0.0/24 sind unabhängig voneinander. Beide werden in einem eigenen Dialog genehmigt: der Exit-Node über Edit exit node im Gerätemenü auf der Seite Machines und das Subnetz über Edit im Abschnitt Subnets des Geräts. Dadurch wird Edit subnet routes geöffnet. Auf dem VPS muss für beide Funktionen IP-Forwarding aktiviert sein. Vermeiden Sie es, einen Bereich anzukündigen, der mit dem Heimnetzwerk Ihres Laptops übereinstimmt. Sobald diese Route genehmigt ist und Ihr Laptop sie akzeptiert, kann sie diese Adressen aus Ihrem lokalen Netzwerk übernehmen. Ihre lokalen Geräte sind dann nicht mehr erreichbar.

Verbirgt ein Exit-Node meinen Netzwerkverkehr vor meinem VPS-Provider?

Nein. Der Tunnel endet am VPS. Der Netzwerkverkehr verlässt den Server daher in der Form, die das Ziel erwartet. Ihr Provider überträgt ihn überall unverschlüsselt, wo die Website selbst keine Verschlüsselung verwendet. Ein Exit-Node verlagert den Punkt, an dem Ihr Netzwerkverkehr ins Internet gelangt, von dem Netzwerk, mit dem Sie verbunden sind, auf den von Ihnen gemieteten Server. Er verbirgt Ihren Datenverkehr vor dem WLAN im Café und vor Ihrem Internetprovider zu Hause. Ihrem VPS-Provider wird derselbe Datenverkehr jedoch mit Ihrem Kontonamen zugeordnet angezeigt.