Tailscale Exit-Node auf einem VPS einrichten

Was ein Tailscale-Exit-Node macht

Ein Tailscale-Exit-Node ist ein Rechner in Ihrem Tailnet, der den gesamten Internetverkehr Ihrer anderen Geräte weiterleitet. Ein VPS (Virtual Private Server) eignet sich dafür gut, weil er eine feste öffentliche Adresse hat und dauerhaft online bleibt. Die Einrichtung umfasst fünf Schritte: Tailscale auf dem Server installieren, den Exit-Node bekanntgeben, IP-Forwarding aktivieren, die Route in der Admin-Konsole genehmigen und anschließend den Node auf dem Laptop auswählen. Der vierte Schritt besteht aus einem Schalter auf einer Webseite und nicht aus einem Befehl. An dieser Stelle kommen die meisten nicht weiter.

Nach der Aktivierung verschlüsselt Ihr Laptop jedes Paket und sendet es an den VPS. Der VPS führt Source NAT (Network Address Translation) durch und sendet das Paket mit seiner eigenen öffentlichen IP-Adresse weiter. Websites sehen den VPS. Das WLAN im Café sieht nur einen verschlüsselten UDP-Datenstrom zum VPS und sonst nichts.

Tailscale verwendet WireGuard für den Datenpfad sowie einen Koordinationsserver, der Schlüssel verteilt und zwei Rechnern hilft, sich durch NAT hindurch zu finden. Deshalb müssen Sie im Folgenden keine Schlüssel kopieren. Eine ausführliche Darstellung der Unterschiede finden Sie unter wie sich Tailscale und plain WireGuard vergleichen lassen. Wenn Sie jeden Teil des Tunnels selbst verwalten möchten, richten Sie stattdessen ein plain WireGuard VPN auf Ihrem VPS ein.

Die folgenden Schritte setzen voraus, dass Tailscale bereits auf Ihrem Laptop läuft und beide Rechner beim selben Tailnet angemeldet sind. Ein Tailnet ist Ihr privates Tailscale-Netzwerk. Jedes Gerät darin erhält eine stabile Adresse innerhalb von 100.64.0.0/10.

Tailscale auf Ihrem VPS installieren

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up

Das Installationsskript wählt das Paket-Repository für Ihre Distribution aus und installiert den tailscaled-Daemon. tailscale up gibt anschließend eine Authentifizierungs-URL aus. Öffnen Sie diese URL in einem Browser und melden Sie sich mit demselben Konto an, das Ihr Laptop verwendet. Ein VPS, der bei einem anderen Tailnet angemeldet ist, kann Ihren Laptop nicht erreichen.

tailscale status
tailscale ip -4

tailscale status sollte nun beide Geräte auflisten. tailscale ip -4 gibt die Tailnet-Adresse des VPS aus. Diese Adresse übergeben Sie später dem Client.

Tailscale benötigt ein TUN-Gerät, um den Tunnel aufzubauen. Bei einem KVM-VPS ist dieses Gerät vorhanden. Bei Tarifen mit Container-Virtualisierung, die den Kernel des Hosts gemeinsam verwenden, fehlt /dev/net/tun manchmal. Dann kann tailscaled die tailscale0-Schnittstelle nicht erstellen. Führen Sie ls -l /dev/net/tun aus, bevor Sie fortfahren.

IP-Weiterleitung aktivieren, sonst verwirft der VPS jedes Paket

Ein Linux-System verwirft jedes Paket, das nicht an das System selbst adressiert ist, weil net.ipv4.ip_forward standardmäßig den Wert 0 hat. Der Exit-Node würde Ihren Datenverkehr annehmen, entschlüsseln und anschließend verwerfen. Schreiben Sie die Einstellung in eine Datei, damit sie einen Reboot übersteht.

echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf

tee -a hängt Inhalte an. Wenn Sie diese Zeilen ein zweites Mal ausführen, werden beide Einstellungen doppelt geschrieben. Das Ergebnis funktioniert weiterhin, und cat /etc/sysctl.d/99-tailscale.conf sieht ungewöhnlich aus. Prüfen Sie den aktiven Wert, statt der Datei zu vertrauen:

sysctl net.ipv4.ip_forward

Die Ausgabe muss net.ipv4.ip_forward = 1 lauten. Wenn Sie diesen Schritt überspringen und tailscale up --advertise-exit-node verwenden, zeigt der Client Folgendes an:

Warning: IP forwarding is disabled, subnet routing/exit nodes will not work.

tailscale set --advertise-exit-node führt diese Prüfung nicht aus. Daher ist eine leere Ausgabe von set kein Beleg dafür, dass die Weiterleitung aktiviert ist. Lesen Sie den sysctl-Wert selbst aus.

Sie müssen keine Masquerade-Regel von Hand anlegen. tailscaled erstellt eigene Firewall-Ketten mit den Namen ts-input, ts-forward und ts-postrouting. Die NAT-Regel für den Datenverkehr des Exit-Nodes befindet sich in ts-postrouting. Sehen Sie sie sich mit sudo iptables-save | grep ts- an oder verwenden Sie auf einem nftables-System sudo nft list ruleset.

Den VPS als Exit-Node anbieten

sudo tailscale set --advertise-exit-node

tailscale set ändert eine Einstellung und lässt die übrigen unverändert. tailscale up --advertise-exit-node bietet den Node ebenfalls an und hat einen Nebeneffekt: up behandelt die Flags in seiner Befehlszeile als vollständige Menge der von den Standardwerten abweichenden Einstellungen. Ein späterer Aufruf von sudo tailscale up ohne Argumente wird daher verweigert und gibt Folgendes aus:

changing settings via 'tailscale up' requires mentioning all
non-default flags. To proceed, either re-run your command with --reset or
use the command below to explicitly mention the current value of
all non-default settings:

Verwenden Sie für fortlaufende Änderungen set. Dann tritt diese Meldung nicht auf.

Das Anbieten ist zunächst nur eine Bekanntgabe. Der VPS teilt dem Koordinationsserver jetzt mit, dass er als Exit-Node zur Verfügung steht. Noch kann kein Client ihn verwenden.

Tailscale-Exit-Node in der Admin-Konsole genehmigen

Für diesen Schritt gibt es keinen Befehl. Öffnen Sie die Machines-Seite in der Admin-Konsole, suchen Sie den VPS, öffnen Sie das Drei-Punkte-Menü am Ende seiner Zeile, wählen Sie Edit route settings und aktivieren Sie Use as exit node.

Solange diese Option nicht aktiviert ist, hält die Steuerungsebene das Angebot zurück und weist es keinem Gerät zu. tailscale exit-node list auf Ihrem Laptop zeigt nichts an, und Ihr Datenverkehr verwendet weiterhin die normale Route. Auf keinem der beiden Geräte wird eine Fehlermeldung angezeigt. Der Exit-Node erscheint einfach nicht.

Sie können Exit-Nodes automatisch über einen Eintrag in der tailnet-Richtliniendatei genehmigen:

"autoApprovers": {
  "exitNode": ["tag:exit"],
}

Ein Gerät, das mit --advertise-tags=tag:exit eingerichtet wurde, wird anschließend automatisch genehmigt, sofern tag:exit unter tagOwners in derselben Richtliniendatei definiert ist. Durch die Vergabe eines Tags ändert sich der Besitz: Ein getaggtes Gerät gehört zum tailnet und nicht Ihrem Benutzerkonto. Dadurch ändern sich auch die darauf angewendeten Zugriffsregeln. Für einen einzelnen VPS ist die Option einfacher.

Wählen Sie den Exit Node auf Ihrem Laptop aus

Auf einem Linux-Client:

tailscale exit-node list
sudo tailscale set --exit-node=vps.your-tailnet.ts.net

exit-node list gibt die genehmigten Exit Nodes in Ihrem Tailnet mit ihren Adressen aus. Eine leere Liste bedeutet, dass die Genehmigung nicht erfolgt ist. Unter macOS, Windows, iOS und Android befindet sich dieselbe Auswahl als Menüeintrag unter Exit Node in der Tailscale-App.

Prüfen Sie dies vom Client aus, niemals vom Server:

curl -4 https://ifconfig.me

Führen Sie den Befehl einmal vor und einmal nach der Auswahl des Exit Nodes aus. Die Adresse muss sich von Ihrer lokalen Adresse zur öffentlichen IP-Adresse des VPS ändern. Um den Exit Node nicht mehr zu verwenden:

sudo tailscale set --exit-node=

Ein weiteres Flag ist am ersten Tag wichtig. Wenn ein Exit Node ausgewählt ist, sendet der Client alles durch den Tunnel, einschließlich Paketen an 192.168.1.50. Dadurch antworten Ihr Drucker und Ihr Netzwerkspeicher nicht mehr. Belassen Sie das lokale Netzwerk auf der lokalen Route:

sudo tailscale set --exit-node=<name> --exit-node-allow-lan-access=true

Warum sich Ihr DNS ändert, sobald der Exit Node aktiv ist

Standardmäßig verwendet ein Gerät mit einem Exit Node diesen Exit Node auch als DNS-Resolver (Domain Name System) für jede Domain. Dadurch werden die globalen und Split-DNS-Nameserver überschrieben, die für Ihr Tailnet konfiguriert sind. Dieses Verhalten ist beabsichtigt. Wenn Abfragen weiterhin an den Resolver des lokalen Netzwerks gesendet würden, könnte der Café-Router weiterhin den Namen jeder von Ihnen besuchten Website sehen, während der Datenverkehr selbst privat bliebe. Namen und Pakete sollten denselben Ausgang verwenden.

Eine Folge betrifft Betreiber eines internen Resolvers besonders häufig: Ein Nameserver des Tailnets, von dem Sie abhängig sind, wird nicht mehr verwendet, solange der Exit Node aktiv ist. Aktivieren Sie für diesen Nameserver auf der DNS-Seite der Admin-Konsole die Option Use with exit node, um ihn wieder zu verwenden.

MagicDNS-Namen funktionieren weiterhin, weil der Tailscale-Client sie lokal unter 100.100.100.100 beantwortet, bevor etwas den Exit Node erreicht. Prüfen Sie dies mit dig @100.100.100.100 your-vps.your-tailnet.ts.net oder auf einem systemd-resolved-Client mit resolvectl status. Dort listet die Tailscale-Schnittstelle 100.100.100.100 als DNS-Server auf.

Wenn Sie die DNS-Verarbeitung von Tailscale mit --accept-dns=false deaktivieren, verwendet der Client weiterhin den Resolver, den er vom lokalen Netzwerk erhalten hat. Der Datenverkehr wird durch den Tunnel geleitet, die DNS-Abfragen jedoch nicht. Das ist dasselbe DNS-Leak, das bei manuell eingerichteten WireGuard-Tunneln auftritt. Lassen Sie --accept-dns unverändert, sofern kein konkreter Grund für eine Änderung besteht.

IPv6 über den Exit-Node

Ein Exit-Node kündigt beide Standardrouten an: 0.0.0.0/0 und ::/0. Wenn der VPS keinen funktionierenden IPv6-Pfad ins Internet hat, treffen IPv6-Pakete über den Tunnel ein und bleiben dort. Testen Sie dies auf dem VPS, bevor Sie ihm vertrauen:

ip -6 addr show
curl -6 https://ifconfig.me

Eine fehlgeschlagene Anfrage bedeutet, dass der VPS keinen IPv6-Upstream hat. Dual-Stack-Websites werden normalerweise trotzdem geladen, weil der Client die IPv6-Verbindung nach einem Timeout abbricht und es über IPv4 erneut versucht. Dieser erneute Versuch verursacht jedoch bei der ersten Verbindung zu jeder Website eine Verzögerung. IPv6-only-Ziele bleiben nicht erreichbar.

Die andere Hälfte ist die Weiterleitung. net.ipv4.ip_forward = 1 mit net.ipv6.conf.all.forwarding auf 0 ergibt einen funktionierenden IPv4-Pfad und ein schwarzes Loch für IPv6. Für den Leser äußert sich das als „einige Websites sind langsam“ und nicht als Fehler, nach dem man suchen kann. Beide Zeilen gehören in die sysctl-Datei.

Sollte der VPS auch Subnetzrouten bekanntgeben?

Ein Exit-Node transportiert den gesamten Internetverkehr. Eine Subnetzroute transportiert einen privaten Bereich, der hinter dem Rechner liegt, der ihn bekanntgibt. Das sind getrennte Funktionen mit getrennten Genehmigungen, und ein Rechner kann beide verwenden. Keine der beiden Funktionen stellt einen Dienst bereit, der direkt auf dem VPS läuft. Wenn Sie tatsächlich eine HTTPS-URL für eine Anwendung auf diesem Server benötigen, sind Serve und Funnel die passenden Funktionen.

sudo tailscale set --advertise-routes=10.0.0.0/24

Geben Sie ein Subnetz bekannt, wenn der VPS ein privates Netzwerk mit anderen Servern gemeinsam nutzt, die Sie über ihre privaten Adressen erreichen möchten. Genehmigen Sie die Route im selben Bereich Edit route settings, über den eigenen Schalter. Linux-Clients ignorieren die bekanntgegebene Route zunächst, bis Sie --accept-routes übergeben. Das ist einer der Unterschiede, die die Anleitung zum Subnetzrouter vollständig behandelt.

Wählen Sie den Bereich sorgfältig aus. Eine bekanntgegebene Route ist spezifischer als die Standardroute Ihres Laptops. Wenn Sie 192.168.1.0/24 vom VPS aus bekanntgeben, übernimmt diese Route die Adressen eines Heimnetzwerks, das denselben Bereich verwendet. Die Geräte auf Ihrem Schreibtisch sind dann nicht mehr erreichbar. Verwenden Sie einen Bereich, den Sie selbst ausgewählt haben, nicht den Bereich, den Ihr Heimrouter automatisch für Sie ausgewählt hat.

Den Exit Node mit UDP-GRO-Weiterleitung beschleunigen

Tailscale 1.54 und höher kann mit einem Linux-Kernel ab 6.2 einen Receive-Offload nutzen, der den Durchsatz für weitergeleiteten Datenverkehr erhöht. GRO (Generic Receive Offload) fasst eingehende Pakete zusammen, bevor der Kernel sie einzeln verarbeitet. Im August 2026 muss dieser Schritt auf dem Exit Node noch manuell ausgeführt werden.

sudo apt install -y ethtool
NETDEV=$(ip -o route get 8.8.8.8 | cut -f 5 -d " ")
sudo ethtool -K $NETDEV rx-udp-gro-forwarding on rx-gro-list off

ip -o route get 8.8.8.8 meldet die Schnittstelle, über die tatsächlich das Internet erreicht wird. Sie müssen daher nicht zwischen eth0, ens3 und enp1s0 raten. Bestätigen Sie das mit ethtool -k $NETDEV | grep udp-gro-forwarding. Die Ausgabe sollte jetzt on lauten. GRO hilft nur bei einem ansonsten fehlerfreien Pfad. Wenn der Exit Node danach weiterhin langsam ist, messen Sie den Pfad selbst, wie bei einem einfachen WireGuard-Tunnel, der langsamer als die darunterliegende Verbindung ist.

Die Einstellung geht beim Reboot verloren. Auf einem System mit networkd-dispatcher können Sie sie automatisch setzen:

printf '#!/bin/sh\n\nethtool -K %s rx-udp-gro-forwarding on rx-gro-list off \n' "$(ip -o route get 8.8.8.8 | cut -f 5 -d " ")" | sudo tee /etc/networkd-dispatcher/routable.d/50-tailscale
sudo chmod 755 /etc/networkd-dispatcher/routable.d/50-tailscale

Prüfen Sie zuerst, ob /etc/networkd-dispatcher/routable.d/ vorhanden ist. Ist dies nicht der Fall, wird networkd-dispatcher auf dem Rechner nicht ausgeführt. Eine kleine systemd-Unit, die beim Booten die Zeile ethtool ausführt, übernimmt dieselbe Aufgabe.

Was die Acceptable Use Policy Ihres Providers für den ausgehenden Verkehr bedeutet

Jedes Paket, das ein Client über den Exit-Knoten sendet, verlässt diesen mit der öffentlichen IP-Adresse des VPS und wird daher Ihrem Konto zugeordnet. Missbrauchsmeldungen gehen an Ihre E-Mail-Adresse, zum Beispiel wegen Urheberrechtsverletzungen oder Port-Scans. Lesen Sie die AUP (Acceptable Use Policy) Ihres Providers, bevor Sie den Datenverkehr eines Haushalts oder eines Teams über einen Server leiten. Öffnen Sie einen Exit-Knoten nicht für Personen, für deren Verhalten Sie nicht einstehen können.

Das übertragene Datenvolumen wird doppelt gezählt. Der Datenverkehr erreicht den VPS über den Tunnel und verlässt ihn anschließend wieder in Richtung Internet. Beide Richtungen werden normalerweise auf das im Tarif enthaltene Übertragungsvolumen angerechnet. Ein Videostream, der über einen Exit-Knoten abgerufen wird, verursacht daher mehr Datenverkehr, als viele erwarten.

Auch IP-Adressbereiche von Rechenzentren haben eine bestimmte Reputation. Einige Websites zeigen dort häufiger CAPTCHAs an, und manche Streaming-Dienste lehnen solche Adressen vollständig ab. Ihre Konfiguration ändert daran nichts, weil dies eine Eigenschaft des Adressblocks ist, den Ihr Provider besitzt.

Warum der Datenverkehr weiterhin über Ihre lokale Verbindung läuft

Der Exit Node ist angekündigt, aber nicht genehmigt. tailscale exit-node list auf dem Client gibt nichts aus, und auch keine der beiden Maschinen protokolliert einen Fehler. Öffnen Sie die Seite Machines und aktivieren Sie Use as exit node.

Der Client hat ihn nicht ausgewählt. Durch die Genehmigung wird der Node für das Tailnet verfügbar. Die Auswahl ist auf jedem Gerät ein separater Schritt. Führen Sie sudo tailscale set --exit-node=<name> erneut aus und prüfen Sie anschließend curl -4 https://ifconfig.me.

Das Forwarding ist deaktiviert. Das Symptom ist eindeutig: tailscale ping <vps> ist erfolgreich, der Tunnel ist offensichtlich aktiv, und jede externe Adresse läuft in ein Timeout. sysctl net.ipv4.ip_forward gibt 0 aus. Korrigieren Sie die sysctl-Datei und führen Sie anschließend sudo sysctl -p /etc/sysctl.d/99-tailscale.conf aus.

Eine Firewall verwirft die weitergeleiteten Pakete. tailscaled fügt seine eigene ts-forward-Kette ein. Auf einem sauberen VPS reicht das aus. Auf einem System, auf dem bereits ufw oder Docker läuft, kann die FORWARD-Richtlinie auf DROP stehen. Außerdem können Regeln vor den Tailscale-Regeln ausgewertet werden. Raten Sie nicht, welche Regel greift: Führen Sie sudo iptables -L FORWARD -n -v aus, während der Client versucht, eine Seite zu laden, und beobachten Sie, welche Zähler sich ändern. Auf einem System mit ufw besteht die übliche Korrektur aus DEFAULT_FORWARD_POLICY="ACCEPT" in /etc/default/ufw, gefolgt von sudo ufw reload. Prüfen Sie außerdem die Netzwerk-Firewall Ihres Providers im Control Panel. Sie ist unabhängig von allen Firewalls, die auf dem Server laufen.

Es funktioniert, ist aber langsam. Führen Sie tailscale netcheck auf beiden Maschinen aus. Wenn der Befehl meldet, dass UDP blockiert ist, können die beiden Geräte keinen direkten Pfad aufbauen. Sie verwenden dann ersatzweise ein DERP-Relay, was die Latenz jeder Verbindung erhöht. Wenn Sie eingehendes UDP auf Port 41641 in der Netzwerk-Firewall des Providers für den VPS zulassen, wird der direkte Pfad normalerweise wiederhergestellt.

Wann Sie den Tailscale-Koordinierungsserver nicht mehr verwenden

Alles Bisherige hängt für den Schlüsselaustausch und die von Ihnen erteilte Genehmigung vom gehosteten Koordinationsserver von Tailscale ab. Ihr Datenverkehr läuft weiterhin direkt vom Laptop zum VPS. Der Koordinationsserver überträgt ihn nicht. Er entscheidet jedoch, wer dem Tailnet beitreten darf und welche Ziele die einzelnen Geräte erreichen können. Der Preis ist nur selten ein Grund für den Wechsel, weil der kostenlose Tarif sechs Benutzer mit einer unbegrenzten Anzahl eigener Geräte abdeckt. Bewerten Sie daher die Abhängigkeit selbst und nicht die Rechnung. Ab der siebten Person ändert sich das. Da Tailscale pro Benutzer und nicht pro Gerät abrechnet, sollten Sie vor einer kostenbasierten Entscheidung berechnen, was ein Haushalt oder ein Team mit fünf Personen tatsächlich bezahlt. Eine ehrliche Bewertung setzt voraus, dass Sie wissen, welche Ziele ein kompromittierter Koordinationsserver oder ein gestohlenes Identitätskonto tatsächlich erreichen könnte. Das beschreibt das Vertrauensmodell von Tailscale. Wenn Sie diese Abhängigkeit entfernen möchten, betreiben Sie Headscale als eigenen Tailscale-Steuerungsserver und richten Sie beide Clients darauf aus. Die Schritte für den Exit Node bleiben anschließend gleich. Die Routenfreigabe erfolgt dann über die Befehlszeile von Headscale und nicht über die gehostete Konsole. Headscale ersetzt die Steuerungsebene, Sie verwenden aber weiterhin die Tailscale-Clients. Wenn Sie stattdessen den gesamten Stack selbst betreiben möchten, liefert NetBird einen eigenen Koordinationsserver und eigene Clients, die Sie auf einem VPS hosten.

FAQ

Warum verwendet mein Datenverkehr weiterhin meine lokale Verbindung, nachdem ich den Exit-Node ausgewählt habe?

Es gibt zwei häufige Ursachen. Der Exit-Node wurde angekündigt, aber nie genehmigt: Öffnen Sie in der Admin-Konsole die Seite Machines, suchen Sie den VPS, wählen Sie Edit route settings und aktivieren Sie Use as exit node. Die Genehmigung erfolgt über einen Umschalter in der Konsole. Kein Befehl auf dem Server führt sie aus. Die zweite Ursache zeigt sich anders: IP-Forwarding ist deaktiviert. Der Tunnel wird aufgebaut, tailscale ping zum VPS funktioniert, und jede externe Adresse läuft in einen Timeout. Prüfen Sie dies mit sysctl net.ipv4.ip_forward. Der Wert muss 1 sein.

Muss ich den Exit-Node jedes Mal manuell genehmigen?

Der Umschalter muss für jede Maschine nur einmal aktiviert werden. Wenn Sie den VPS häufig neu aufsetzen, fügen Sie Ihrer Tailnet-Richtliniendatei einen autoApprovers-Block mit "exitNode": ["tag:exit"] hinzu, definieren Sie tag:exit unter tagOwners und starten Sie den Node mit --advertise-tags=tag:exit. Ein mit Tags versehenes Gerät gehört zum Tailnet und nicht zu Ihrem Benutzerkonto. Daher ändern sich auch die darauf angewendeten Zugriffsregeln.

Welchen DNS-Server verwendet mein Laptop, wenn ein Exit-Node aktiviert ist?

Den Exit-Node selbst. Ein Gerät, das einen Exit-Node verwendet, sendet alle DNS-Abfragen dorthin. Dadurch werden die globalen und Split-DNS-Nameserver überschrieben, die für das Tailnet festgelegt sind. Das lokale Netzwerk sieht dadurch die von Ihnen abgefragten Namen nicht. Wenn weiterhin ein Tailnet-Nameserver verwendet werden soll, aktivieren Sie auf der DNS-Seite der Admin-Konsole für diesen Server die Option Use with exit node. MagicDNS-Namen werden weiterhin aufgelöst, weil der Tailscale-Client sie lokal unter 100.100.100.100 beantwortet.

Kann ein VPS gleichzeitig als Exit-Node und als Subnetzrouter dienen?

Ja. sudo tailscale set --advertise-exit-node und sudo tailscale set --advertise-routes=10.0.0.0/24 sind unabhängig voneinander. Für jeden gibt es unter Edit route settings einen eigenen Genehmigungsumschalter. Auf dem VPS muss IP-Forwarding für beide Funktionen aktiviert sein. Vermeiden Sie die Ankündigung eines Bereichs, der mit dem Heimnetzwerk Ihres Laptops übereinstimmt. Die angekündigte Route ist spezifischer als die Standardroute. Dadurch werden Ihre lokalen Geräte nicht mehr erreichbar.

Verbirgt ein Exit-Node meinen Datenverkehr vor meinem VPS-Anbieter?

Nein. Der Tunnel endet am VPS. Der Datenverkehr verlässt den Server daher in der Form, die das Ziel erwartet. Wenn die Website selbst nicht verschlüsselt ist, überträgt Ihr Anbieter ihn an diesen Stellen im Klartext. Ein Exit-Node verlagert den Punkt, an dem Ihr Datenverkehr in das Internet gelangt, vom Netzwerk, in dem Sie sich befinden, auf den von Ihnen gemieteten Server. Er verbirgt Ihre Browsing-Aktivitäten vor dem WLAN im Café und vor Ihrem Heim-ISP. Ihrem VPS-Anbieter werden dieselben Aktivitäten jedoch mit Ihrem Kontonamen zugeordnet angezeigt.