Tailscale è una VPN? Cosa nasconde davvero

Tailscale è una VPN? Risposta breve

Tailscale è una VPN? Tecnicamente sì. Tailscale crea tunnel WireGuard tra i dispositivi di tua proprietà e ogni pacchetto che attraversa uno di questi tunnel è crittografato end-to-end. Nel senso inteso dalla maggior parte delle persone quando pone questa domanda, invece, no. Nella configurazione predefinita, Tailscale non nasconde il tuo indirizzo IP pubblico ai siti web e non instrada la tua navigazione attraverso il server di qualcun altro. La rete Wi-Fi dell’hotel continua a vedere quali siti visiti. Tailscale trasporta il traffico solo tra le tue macchine. Per ottenere il comportamento di una VPN commerciale per la privacy, devi aggiungere un exit node. In questo modo cambiano i dati nascosti e i soggetti dai quali vengono nascosti.

Il resto di questa guida distingue i due significati di "VPN" e indica, per ogni configurazione, chi può vedere cosa. Se la tua domanda reale è "mi nasconderà?", la risposta dipende dal soggetto dal quale vuoi nasconderti. Per questo, ogni configurazione seguente indica da quali soggetti ti protegge e da quali non ti protegge.

I due significati di "VPN"

Il termine ha due significati e la risposta alla domanda del titolo dipende da quale dei due si intende.

Il significato originale è rete privata virtuale: una rete privata costruita sopra una rete pubblica. La sede di un'azienda e il laptop di un dipendente remoto si comportano come se condividessero lo stesso cavo, anche se i pacchetti attraversano Internet. Lo scopo è garantire raggiungibilità e cifratura tra i membri della rete. In questo modello, nessuno cerca di nascondersi dai siti web che visita.

Il significato commerciale rivolto agli utenti finali è invece quello di un prodotto per la privacy. Si installa un'applicazione e si sceglie un paese. Da quel momento tutto il traffico Internet esce dal server del provider. I siti web vedono l'indirizzo del provider e l'ISP (internet service provider) vede soltanto un flusso cifrato verso quel server. Lo scopo è nascondere il proprio IP ai siti web e le destinazioni alle parti presenti sul percorso locale. L'ISP conosce comunque il proprio indirizzo, perché è stato assegnato proprio dall'ISP.

Tailscale appartiene al primo tipo. È una VPN mesh: ogni dispositivo nella tailnet (la rete privata che Tailscale crea per l'utente) riceve un indirizzo privato stabile nell'intervallo 100.64.0.0/10 e comunica con ogni altro dispositivo tramite un tunnel WireGuard, direttamente quando la rete lo consente oppure attraverso un relay cifrato quando non lo consente. Che cos'è Tailscale e come si integrano il server di coordinamento e i relay descrive questa architettura, quindi questa guida non la ripete. Qui è importante un fatto: per impostazione predefinita, il traffico verso Internet pubblico non entra mai nel tunnel. Nel tunnel passa soltanto il traffico destinato a un altro dispositivo della tailnet.

Cosa nasconde Tailscale e da chi

La risposta corretta consiste in un elenco di soggetti, non in un semplice sì o no. Ogni voce descrive prima il comportamento predefinito, quindi spiega cosa cambia con un exit node.

Traffico tra i tuoi dispositivi

È nascosto a tutti i soggetti presenti lungo il percorso. Quando il laptop raggiunge il VPS tramite l'indirizzo tailnet, i pacchetti vengono crittografati con WireGuard da un dispositivo all'altro. La rete wifi dell'hotel e il tuo ISP vedono un flusso UDP tra due indirizzi, ma nient'altro. I server di Tailscale non dispongono delle chiavi che crittografano questo traffico. Ogni chiave privata viene generata sul dispositivo e non lo lascia mai. Per questo una verifica di sicurezza di Tailscale considera il server di coordinamento una directory, non un intermediario. Questa protezione è attiva dal momento in cui installi Tailscale. Non devi configurare altro.

Il tuo IP pubblico, come lo vedono i siti web

Non è nascosto per impostazione predefinita. Apri un browser e visita un sito qualsiasi. La richiesta lascia il laptop attraverso la sua normale interfaccia di rete, quindi il sito vede l'IP pubblico della rete a cui sei connesso. Tailscale non interviene affatto in questo percorso, perché la destinazione non è un indirizzo tailnet. Con un exit node attivo, il sito vede invece l'IP pubblico dell'exit node. Il tuo ISP continua comunque a conoscere il tuo indirizzo, perché è stato assegnato da esso; ciò che un exit node nasconde all'ISP è la destinazione del traffico, non la tua identità.

Le destinazioni, come le vedono l'ISP o la rete wifi locale

Non sono nascoste per impostazione predefinita. Il tuo ISP, oppure il gestore della rete del bar, vede l'indirizzo IP di ogni sito a cui ti connetti e, di norma, anche il nome host, perché l'handshake TLS (transport layer security) lo trasmette in chiaro. Tailscale non interviene su questo traffico, perché il traffico non entra mai nel tunnel. Con un exit node, la rete locale vede un unico flusso UDP crittografato verso l'exit node e nient'altro. La possibilità di vedere le tue destinazioni passa dalla rete locale al soggetto che ospita l'exit node.

Elusione dei blocchi geografici

No per impostazione predefinita, e solo in parte con un exit node. I servizi di streaming controllano il paese associato all'IP pubblico. Un exit node su un VPS ti assegna il paese del VPS, il che può essere utile, ma ti assegna anche un IP di datacenter. I servizi di streaming acquistano elenchi di intervalli di indirizzi dei datacenter e spesso li bloccano direttamente, perché quasi nessuno guarda la televisione dall'interno di un datacenter. Un exit node nella tua abitazione, su una connessione residenziale, è la configurazione che in genere supera questi controlli e si adatta anche al modello di raggiungibilità per cui Tailscale è stato progettato.

Cosa può vedere Tailscale

I metadati, ma mai il traffico. Il server di coordinamento conosce i dispositivi presenti nella tua tailnet, le relative chiavi pubbliche, gli endpoint correnti e l'ultima volta in cui erano online. Non vede il contenuto del tunnel e non vede quali siti web visiti. Quando due dispositivi non possono connettersi direttamente, un relay crittografato trasporta i byte, ma il relay non può decrittografarli. È questo l'aspetto della progettazione che rende possibile il piano gratuito, come vedremo di nuovo più avanti.

Come funziona il percorso tramite exit node

Un exit node è un dispositivo della tua tailnet che accetta di inoltrare il traffico verso Internet per conto degli altri dispositivi. Quando lo selezioni sul laptop, Tailscale installa una route predefinita attraverso il tunnel. Ogni pacchetto non destinato alla tua LAN (local area network) passa quindi prima dall'exit node, che lo invia su Internet utilizzando il proprio indirizzo. A quel punto Tailscale funziona come una VPN commerciale, con una differenza: il server dall'altra parte è tuo.

La configurazione su un VPS Linux richiede 2 passaggi. Sul VPS, abilita l'IP forwarding, quindi pubblicizza il nodo. La documentazione di Tailscale sugli exit node indica di eseguire tailscale up dopo aver passato --advertise-exit-node a tailscale set:

echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf
sudo tailscale set --advertise-exit-node
sudo tailscale up

Quindi approva l'exit node nella console di amministrazione di Tailscale, perché una route pubblicizzata non viene utilizzata finché un amministratore non la approva. Sul laptop, elenca gli exit node offerti dalla tua tailnet e selezionane uno. Verifica quindi quale nodo è attivo:

tailscale exit-node list
sudo tailscale set --exit-node=my-vps
tailscale status

Per confermare che la route sia attiva, visita dal browser un sito che verifica l'indirizzo IP e confronta l'indirizzo riportato con l'IP pubblico del VPS. Per smettere di usare l'exit node, passa un valore vuoto: sudo tailscale set --exit-node=. Se mentre l'exit node è attivo devi ancora raggiungere una stampante o un NAS sulla rete locale, aggiungi --exit-node-allow-lan-access=true, perché altrimenti la route predefinita invia anche quei pacchetti all'exit node.

Questo è l'intero meccanismo. La guida su come eseguire un Tailscale exit node su un VPS tratta il firewall, il limite di banda del provider, il comportamento del DNS e i motivi per cui il throughput può diminuire. Consultala come punto di partenza quando ne configuri uno in un ambiente reale.

Perché Tailscale è gratuito e cosa significa

Il piano personale di Tailscale è gratuito e i limiti sono effettivi, non si tratta di una versione di prova: il piano gratuito copre alcuni utenti e molti più dispositivi di quanti ne servano in una famiglia. Può essere gratuito per lo stesso motivo per cui non è un servizio per la privacy. Una VPN commerciale per la privacy paga i server che trasportano tutto il traffico degli utenti, quindi ogni utente genera costi di banda ogni giorno. Tailscale trasporta quasi nessuno del tuo traffico. Le connessioni dirette passano da un dispositivo all'altro e i relay trasportano pacchetti crittografati solo quando il percorso diretto non è disponibile. Il costo di Tailscale per ogni utente personale è quasi nullo e i ricavi provengono dai team che pagano per le funzionalità di controllo degli accessi e audit.

Questo comporta una conseguenza per te. Non condividi un indirizzo di uscita con molti altri utenti e nessuna azienda deve promettere di non registrare la tua navigazione, perché Tailscale non vede mai il tuo traffico di navigazione. Se vuoi che il traffico in uscita passi da un punto diverso dalle tue macchine, Tailscale vende l'accesso ai server di Mullvad come componente aggiuntivo a pagamento (a ottobre 2026). Il prodotto diventa così ibrido: Tailscale per la mesh e Mullvad per l'uscita. Questa è l'unica configurazione in cui Tailscale assomiglia a una VPN per utenti finali senza che tu debba gestire personalmente il nodo di uscita.

Modelli di minaccia: da cosa protegge ogni configurazione

Un modello di minaccia dichiara in modo semplice da chi ci si vuole nascondere e quali informazioni quella parte può vedere. Ogni configurazione seguente protegge da alcuni soggetti, ma non da altri. Scegli quella che corrisponde al problema reale che vuoi risolvere, non quella che sembra offrire più privacy.

Tailnet semplice, senza exit node

Protegge da: chiunque si trovi lungo il percorso di rete tra i tuoi dispositivi e tenti di leggere o alterare il traffico tra di essi. Su una rete wifi di un hotel, una connessione SSH al tuo VPS tramite il relativo indirizzo tailnet è protetta dalla persona seduta al tavolo accanto, anche se la rete wifi è aperta. Puoi inoltre chiudere completamente la porta 22 nel firewall pubblico del VPS.

Non protegge da: tutto ciò che riguarda la normale navigazione. I siti web vedono il tuo IP reale, mentre l'hotel e il tuo ISP vedono le destinazioni che raggiungi. Questa configurazione non offre alcuna garanzia di privacy su Internet e non devi considerarla tale.

Exit node sul tuo VPS

Protegge da: la rete locale e il tuo ISP, che non possono conoscere le destinazioni che raggiungi. Vedono un unico flusso WireGuard verso un solo indirizzo VPS. I siti web vedono l'IP del VPS invece di quello dell'hotel.

Non protegge da: il provider del VPS. Il traffico esce dall'exit node nella stessa forma in cui vi è entrato. Il provider può quindi vedere ogni indirizzo e hostname di destinazione e leggere tutto ciò che viene inviato senza TLS. Il VPS è inoltre associato a te tramite i dati del pagamento, quindi non offre anonimato: un exit IP utilizzato da una sola persona identifica quella persona. Un indirizzo di datacenter è facile da classificare, quindi i servizi di streaming e alcune banche lo considerano sospetto. La velocità è limitata dalla banda disponibile del VPS e dal fatto che il tunnel passi direttamente o tramite un relay, come spiega la differenza tra una connessione Tailscale diretta e una inoltrata tramite relay.

Exit node a casa

Protegge da: la stessa esposizione alla rete locale e all'ISP del caso VPS, usando però un IP residenziale che supera i controlli a cui gli intervalli di indirizzi dei datacenter non sfuggono. È utile quando viaggi e vuoi che il traffico esca dalla tua connessione domestica.

Non protegge da: il tuo ISP di casa, che ora vede anche tutto il traffico generato durante i tuoi viaggi. La velocità di upload della connessione domestica è solitamente il collo di bottiglia, perché ogni byte scaricato all'estero deve prima essere caricato dalla tua connessione di casa.

Exit tramite Mullvad o una VPN commerciale

Protegge da: la stessa esposizione alla rete locale e all'ISP del caso VPS, oltre al collegamento tra l'exit IP e il tuo nome, perché migliaia di altri clienti condividono lo stesso indirizzo di uscita. Questo è il modello di minaccia per cui è progettata una VPN commerciale orientata alla privacy.

Non protegge da: il provider VPN, che si trova nella stessa posizione del provider del VPS. Ti affidi alla sua policy di logging invece che al tuo server. Non protegge inoltre dal sito web stesso, che può ancora identificarti tramite i cookie e il tuo account.

Quando nessuna di queste configurazioni è sufficiente

Se il soggetto da cui vuoi nasconderti è il sito web stesso, oppure un soggetto che può obbligare il gestore dell'uscita a consegnare i dati, nessuna configurazione VPN è sufficiente. Questo è il modello di minaccia per cui è progettato Tor: nessun singolo relay conosce contemporaneamente la tua identità e la destinazione che stai raggiungendo. Il confronto tra Tor e una VPN definisce questo limite ed è la lettura successiva corretta se «nascondere il mio IP» significava in realtà «restare anonimo».

Quando Tailscale è lo strumento giusto?

Usa Tailscale quando devi raggiungere i tuoi dispositivi: un NAS dietro il router di casa, un VPS che preferisci non esporre a Internet, un Raspberry Pi a casa di un familiare oppure una macchina di sviluppo a cui accedi tramite SSH da qualsiasi luogo. Per questo caso d'uso è più pratico di un server VPN classico, perché non devi aprire porte né gestire un server centrale; il confronto con WireGuard standard dipende soprattutto dal fatto che tu voglia gestire manualmente le chiavi. Aggiungi un exit node su un VPS se ti serve anche un indirizzo IP di uscita fisso o devi attraversare una rete locale non affidabile. Acquista una VPN commerciale orientata alla privacy oppure usa Tor se la tua preoccupazione è non essere identificato, perché Tailscale non è stato progettato per risolvere questo problema.

FAQ

Tailscale nasconde il mio indirizzo IP?

Non per impostazione predefinita. Tailscale trasporta il traffico solo tra i dispositivi della tua tailnet. Un sito web che visiti dal browser vede l'indirizzo IP pubblico della rete a cui sei connesso, esattamente come se Tailscale non fosse installato. Per modificarlo, abilita un exit node. I siti web vedranno quindi l'indirizzo IP pubblico dell'exit node, che corrisponde all'indirizzo del tuo VPS o della tua connessione domestica, a seconda di dove viene eseguito l'exit node. Il tuo ISP continua a conoscere il tuo indirizzo IP, perché te lo ha assegnato; l'exit node nasconde all'ISP soltanto quali siti visiti.

Posso usare Tailscale al posto di una VPN sul Wi-Fi di un hotel?

Per raggiungere i tuoi dispositivi, sì. Il tunnel tra il laptop e il tuo VPS o server domestico è crittografato end-to-end, quindi la rete dell'hotel non può leggerne il contenuto. Per la navigazione web generale, puoi farlo solo se abiliti un exit node. Senza exit node, la rete dell'hotel vede ogni sito che visiti, esattamente come se Tailscale non fosse installato.

Tailscale funziona per guardare Netflix da un altro Paese?

Di solito no, se usi un exit node su un VPS. L'exit node ti assegna effettivamente il Paese del VPS, ma l'indirizzo appartiene a un intervallo di un datacenter e i servizi di streaming bloccano intenzionalmente questi intervalli. Un exit node su una connessione domestica nel Paese di destinazione usa un IP residenziale e in genere funziona. Tailscale non gestisce propri exit server per questo scopo; l'unico elenco di Paesi presente nel client è quello degli exit node Mullvad incluso nell'add-on a pagamento.

Tailscale vede il mio traffico?

No. Le chiavi che crittografano il traffico vengono generate su ciascun dispositivo e non lo lasciano mai. Il coordination server di Tailscale distribuisce le chiavi pubbliche e gli endpoint, mentre i relay inoltrano pacchetti crittografati quando una connessione diretta non è possibile, ma nessuno dei due può decrittografare ciò che transita. Tailscale conserva invece metadati: quali dispositivi appartengono alla tua tailnet e quando sono stati online.

Tailscale può sostituire NordVPN o Mullvad?

No. Una VPN commerciale per la privacy instrada tutto il traffico attraverso server condivisi con migliaia di altri clienti, quindi il tuo IP di uscita non è associato a te. Tailscale instrada il traffico tra i tuoi dispositivi e, anche con un exit node, il punto di uscita è una macchina che paghi e che è collegata alla tua identità. I due prodotti risolvono problemi diversi. Tailscale offre anche exit node Mullvad come add-on per chi vuole entrambe le funzionalità usando un unico client.