著者 TailscaleはVPN？IPを隠せる範囲とexit node
Tailscaleは自分のデバイス間をWireGuardで暗号化しますが、初期状態ではWebサイトに実IPが見えます。exit node使用時の違いと、ISPに見える情報を解説します。
Tailscale は VPN ですか？短い答え
Tailscale は VPN ですか？技術的には、はい。Tailscale は、自分が所有するデバイス間に WireGuard トンネルを構築し、そのトンネルを通過するすべてのパケットをエンドツーエンドで暗号化します。ただし、多くの人がこの質問で意図する意味では、答えはいいえです。初期状態の Tailscale は、Web サイトからパブリック IP アドレスを隠しません。また、閲覧通信を他者のサーバー経由でルーティングすることもありません。ホテルの Wi-Fi からは、アクセスしたサイトを引き続き確認できます。Tailscale が運ぶのは、自分のマシン間の通信だけです。商用のプライバシー VPN と同じ動作にするには exit node を追加します。すると、何が誰から隠れるかが変わります。
このガイドの以降の部分では、「VPN」という言葉の 2 つの意味を分けて説明し、各構成で誰が何を確認できるかを示します。本当に知りたいことが「これで自分を隠せるか」であれば、誰から隠すのかによって答えが変わります。そのため、以下の各構成では、保護できる相手と保護できない相手を明記します。
「VPN」の2つの意味
この用語には2つの意味があり、タイトルへの答えはどちらの意味を指すかで変わります。
元の意味は、仮想プライベートネットワークです。これは、パブリックネットワーク上に構築されたプライベートネットワークです。会社のオフィスとリモートワーカーの laptop は、パケットがインターネットを通過していても、1本のケーブルで接続されているように動作します。この構成の目的は、参加者間の到達性と暗号化です。このモデルでは、訪問先の Web サイトから身元を隠そうとしている人はいません。
一般消費者向けの意味は、プライバシー製品です。アプリをインストールして国を選択します。その後、すべてのインターネットトラフィックがプロバイダーのサーバーから送信されます。Web サイトからはプロバイダーのアドレスが見え、ISP（internet service provider）からは、そのサーバーへの暗号化された1本のストリームだけが見えます。この構成の目的は、Web サイトから自分の IP を隠し、ローカル経路上の関係者から接続先を隠すことです。ただし、ISP は利用者自身のアドレスを把握しています。そのアドレスを割り当てたのは ISP だからです。
Tailscale は前者です。Tailscale はメッシュ VPN です。tailnet（Tailscale が構築するプライベートネットワーク）内のすべてのデバイスには、100.64.0.0/10 の範囲にある安定したプライベートアドレスが割り当てられます。各デバイスは、他のすべてのデバイスと WireGuard トンネルで通信します。ネットワークが許可する場合は直接通信し、許可しない場合は暗号化されたリレーを経由します。Tailscale の仕組みと、coordination server およびリレーの関係では、このアーキテクチャを説明しているため、このガイドでは繰り返しません。ここで重要なのは、その説明にある次の事実です。デフォルトでは、パブリックインターネット宛てのトラフィックがトンネルに入ることはありません。tailnet 内の別のデバイス宛てのトラフィックだけがトンネルを通過します。
Tailscale が隠すものと、隠す相手
単純な「はい」か「いいえ」ではなく、関係者ごとに整理するのが正確です。以下では、まずデフォルトの動作を示し、その後に exit node を使った場合の変化を説明します。
自分のデバイス間のトラフィック
経路上の誰からも見えません。ノート PC から tailnet アドレスの VPS に接続すると、パケットは一方のデバイスからもう一方のデバイスまで WireGuard で暗号化されます。ホテルの Wi-Fi と ISP に見えるのは、2 つのアドレス間でやり取りされる UDP ストリームだけです。Tailscale 自身のサーバーが、このトラフィックを暗号化する鍵を保持することはありません。各秘密鍵はデバイス上で生成され、デバイスの外へ出ることもありません。そのため、Tailscale のセキュリティレビューでは、調整サーバーを中継者ではなくディレクトリとして扱います。Tailscale をインストールした時点から、この保護は有効です。ほかに設定する必要はありません。
Web サイトから見たパブリック IP
デフォルトでは隠れません。ブラウザーを開いて任意のサイトにアクセスしてください。リクエストは通常のネットワークインターフェースを通ってノート PC から送信されるため、サイトには接続中のネットワークのパブリック IP が表示されます。宛先が tailnet アドレスではないため、Tailscale はこの経路にまったく関与しません。exit node を有効にすると、サイトに表示されるのは exit node のパブリック IP です。どちらの場合も、割り当て元である ISP は自分のアドレスを把握しています。exit node が ISP から隠すのは、ユーザーが誰かではなく、トラフィックの宛先です。
ISP またはローカル Wi-Fi から見た宛先
デフォルトでは隠れません。ISP やカフェのネットワーク運営者には、接続先サイトごとの IP アドレスが見えます。通常はホスト名も見えます。TLS (transport layer security) ハンドシェイクでホスト名が平文で送信されるためです。トラフィックがトンネルに入らないため、Tailscale はこのトラフィックに何もしません。exit node を使うと、ローカルネットワークに見えるのは exit node への暗号化された UDP ストリームだけです。宛先を確認できる主体は、ローカルネットワークから exit node のホストへ移ります。
地域制限の回避
デフォルトではできません。exit node を使っても、部分的にしか実現できません。ストリーミングサービスは、パブリック IP の国を確認します。VPS 上の exit node を使うと、VPS がある国として扱われるため有効な場合があります。ただし、データセンターの IP も割り当てられます。ストリーミングサービスはデータセンターのアドレス範囲のリストを購入し、それらを明確にブロックすることがよくあります。データセンター内からテレビを視聴するユーザーはほとんどいないためです。自宅の residential 接続上に exit node を置く構成なら、通常はこの確認を通過できます。また、これは Tailscale が想定して構築された到達性モデルにも適しています。
Tailscale 自身から見えるもの
見えるのはメタデータであり、トラフィックではありません。調整サーバーは、tailnet 内のデバイス、その公開鍵、現在のエンドポイント、最後にオンラインだった時刻を把握しています。トンネルの内容や、アクセスした Web サイトは把握しません。2 台のデバイスが直接接続できない場合は、暗号化されたリレーがバイト列を運びます。ただし、リレーはそれを復号できません。この設計が free plan を可能にしており、その点については後で改めて説明します。
出口ノード経由の経路の仕組み
出口ノードは、tailnet 内の他のデバイスに代わってパブリックインターネットへトラフィックを転送するデバイスです。ノート PC で出口ノードを選択すると、Tailscale はトンネル経由のデフォルトルートを設定します。そのため、ローカル LAN（local area network）宛てではないすべてのパケットが最初に出口ノードへ送られ、出口ノード自身のアドレスからインターネットへ送信されます。この時点で Tailscale は商用 VPN と同じように動作します。異なる点は、接続先のサーバーが自分の管理下にあることです。
Linux VPS で出口ノードを設定する手順は 2 つです。VPS で IP forwarding を有効にし、次にノードを広告します。Tailscale の出口ノードに関するドキュメントでは、tailscale set に --advertise-exit-node を渡してから、tailscale up を実行するよう説明しています。
echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf
sudo tailscale set --advertise-exit-node
sudo tailscale up次に、Tailscale 管理コンソールで出口ノードを承認します。管理者が承認するまで、広告されたルートは使用されないためです。ノート PC で、tailnet が提供する出口ノードを一覧表示し、そのうち 1 つを選択します。続いて、アクティブなノードを確認します。
tailscale exit-node list
sudo tailscale set --exit-node=my-vps
tailscale status経路が設定されていることを確認するには、ブラウザーで IP アドレス確認サイトを開き、表示されたアドレスを VPS のパブリック IP と比較します。出口ノードの使用を停止するには、空の値を渡します: sudo tailscale set --exit-node=。出口ノードの使用中もローカルネットワーク上のプリンターや NAS に接続する必要がある場合は、--exit-node-allow-lan-access=true を追加します。そうしないと、デフォルトルートによってこれらのパケットも出口ノードへ送られます。
仕組みは以上です。VPS で Tailscale の出口ノードを運用するガイドでは、ファイアウォール、プロバイダーの帯域幅クォータ、DNS の動作、スループットが低下する理由を説明しています。実際に構築する場合は、まずこのガイドを確認してください。
Tailscale はなぜ無料なのか、そこから分かること
Tailscale の個人プランは無料です。試用版ではなく、制限も実際に設定されています。無料プランでは、家庭で必要になる数を大きく上回るデバイスと、少数のユーザーを利用できます。無料で提供できる理由は、プライバシーサービスではない理由と同じです。一般的なプライバシー VPN は、すべてのトラフィックを中継するサーバーの費用を負担します。そのため、ユーザーが増えるたびに、プロバイダーは毎日帯域幅の費用を負担します。Tailscale は、トラフィックのほとんどを中継しません。直接接続ではデバイス間で通信し、直接の経路が失敗した場合だけ、リレーが暗号化されたパケットを中継します。個人ユーザー 1 人あたりの Tailscale のコストはほぼゼロです。収益は、アクセス制御や監査機能に料金を支払うチームから得ています。
これは利用者に影響します。ほかの多数のユーザーと出口アドレスを共有することはありません。また、Tailscale はブラウジングを認識しないため、ブラウジングを記録しないと約束する企業も必要ありません。出口トラフィックを自分のマシン以外から送信したい場合、Tailscale は有料の追加機能として Mullvad のサーバーへのアクセスを提供しています（2026 年 10 月時点）。この構成では、Tailscale がメッシュを担い、Mullvad が出口を担うハイブリッドになります。自分で出口を運用せずに Tailscale が一般消費者向け VPN に似るのは、この構成だけです。
脅威モデル: 各構成で防げる対象
脅威モデルとは、誰から身を隠したいのか、相手に何が見えるのかを明確にしたものです。以下の各構成は、特定の相手からは保護しますが、すべての相手に有効とは限りません。最もプライバシーが高そうに見える構成ではなく、実際の懸念に合う構成を選んでください。
Plain tailnet、exit node なし
保護できる対象: デバイス間の通信を読み取ったり改ざんしたりできる、デバイス間のネットワーク経路上の相手。ホテルの wifi がオープンであっても、tailnet アドレスを使って VPS に SSH 接続すれば、隣のテーブルにいる人物から保護できます。VPS の公開ファイアウォールでは、port 22 を完全に閉じることもできます。
保護できない対象: 通常の Web 閲覧に関係する相手。Web サイトには実際の IP アドレスが表示され、ホテルと ISP にはアクセス先が見えます。この構成は、public internet に対するプライバシーを保証するものではありません。そのように扱わないでください。
自分の VPS に exit node を設定
保護できる対象: ローカルネットワークと ISP によるアクセス先の把握。相手に見えるのは、1 台の VPS アドレスへの 1 本の WireGuard ストリームだけです。Web サイトには、ホテルの IP アドレスではなく VPS の IP アドレスが表示されます。
保護できない対象: VPS provider。exit node からは、入力されたときと同じ形式で通信が出ていくため、provider にはすべての宛先アドレスと hostname が見えます。また、TLS なしで送信された内容は読み取れます。VPS は支払い記録によって利用者と結び付くため、匿名性もありません。1 人だけが使用する exit IP であれば、その人物を特定できます。datacenter のアドレスは簡単に分類できるため、streaming service や一部の銀行は不審なアドレスとして扱います。スループットは VPS の帯域幅上限と、tunnel が直接接続されるか relay 経由かによって制限されます。詳しくは、direct 接続と relayed Tailscale 接続の違いで説明しています。
自宅に exit node を設定
保護できる対象: VPS の場合と同じく、ローカルネットワークと ISP からのアクセス先の把握。datacenter の範囲で失敗するチェックを通過できる residential IP を使用できます。旅行中も自宅から通信を送信したい場合に便利です。
保護できない対象: 自宅の ISP。自宅の ISP には、旅行中のすべての通信も見えるようになります。通常は自宅の upload speed がボトルネックになります。海外でダウンロードするすべてのデータが、最初に自宅の接続から upload されるためです。
Mullvad または commercial VPN 経由で exit
保護できる対象: VPS の場合と同じく、ローカルネットワークと ISP からのアクセス先の把握。さらに、exit IP と利用者の名前の結び付きを防ぎます。数千人の他の顧客が同じ exit address を共有するためです。これは、commercial privacy VPN が想定する脅威モデルです。
保護できない対象: VPN provider。VPN provider は、VPS provider と同じ立場にあります。自分の server ではなく、VPN provider の logging policy を信頼することになります。また、Web サイト自体からも保護できません。Web サイトは cookies と login を使って、引き続き利用者を特定できます。
これらのどの構成でも不十分な場合
隠したい相手が Web サイト自体、または exit operator に記録の提出を強制できる相手である場合、どの VPN 構成でも役に立ちません。Tor はこの脅威モデルを想定しています。単一の relay が、利用者が誰なのかと、どこへ接続しているのかの両方を把握できない構成です。Tor と VPN の比較では、この境界を説明しています。「hide my IP」の本当の目的が「匿名性を維持すること」であれば、次に読むべき内容です。
Tailscaleが適しているのはどのような場合か
自分のマシンへ接続したい場合は、Tailscaleを使用します。たとえば、家庭用ルーターの背後にあるNAS、インターネットに公開したくないVPS、親戚の家にあるRaspberry Pi、どこからでもSSH接続したい開発用マシンなどです。この用途では、従来のVPNサーバーよりもTailscaleが適しています。開放するポートや運用する中央サーバーが不要だからです。また、通常のWireGuardとのトレードオフは、主に鍵を手動で管理するかどうかに集約されます。固定の出口IPが必要な場合や、信頼できないローカルネットワークを経由する必要がある場合は、VPSにexit nodeを追加します。身元の特定を懸念している場合は、商用のプライバシーVPNを契約するか、Torを使用します。Tailscaleはその問題を解決するためのものではないためです。
FAQ
Tailscale は IP アドレスを隠しますか？
デフォルトでは隠しません。Tailscale が転送するのは、自分の tailnet 内にあるデバイス間のトラフィックだけです。ブラウザーでアクセスする Web サイトからは、Tailscale を使わない場合と同じように、接続中のネットワークのパブリック IP が見えます。これを変更するには、exit node を有効にします。Web サイトからは exit node のパブリック IP が見えるようになります。これは、exit node を実行している場所に応じて、VPS または自宅の接続のアドレスです。使用している ISP は、IP を割り当てたため、引き続きその IP を把握しています。exit node が ISP から隠すのは、どのサイトにアクセスしたかだけです。
ホテルの Wi-Fi で VPN の代わりに Tailscale を使えますか？
自分のマシンに接続する用途であれば、使えます。ノート PC と VPS または自宅のサーバー間のトンネルはエンドツーエンドで暗号化されるため、ホテルのネットワークから内容を読み取ることはできません。一般的な Web 閲覧で使えるのは、exit node を有効にした場合だけです。exit node がなければ、ホテルのネットワークには Tailscale をインストールしていない場合と同じように、アクセスしたすべてのサイトが見えます。
別の国から Netflix を視聴するために Tailscale を使えますか？
VPS 上の exit node では、通常は使えません。exit node により VPS の所在国の IP アドレスは使えますが、そのアドレスはデータセンターの IP アドレス帯に属しており、ストリーミングサービスは意図的にそのようなアドレス帯をブロックしています。対象国の自宅回線上に exit node を置くと、住宅用 IP アドレスになるため、一般に利用できます。この目的で Tailscale が独自の exit server を運用しているわけではありません。クライアントに表示される国の一覧は、有料アドオンに含まれる Mullvad の exit node の一覧だけです。
Tailscale はトラフィックを確認できますか？
いいえ。トラフィックの暗号化に使う鍵は各デバイス上で生成され、デバイスの外部に出ることはありません。Tailscale の coordination server は公開鍵と endpoint を配布し、直接接続に失敗した場合は relay が暗号化されたパケットを転送します。しかし、どちらも通過するデータを復号できません。Tailscale が保持するのはメタデータです。具体的には、tailnet 内のデバイスと、それらがオンラインだった時刻です。
Tailscale は NordVPN または Mullvad の代替になりますか？
いいえ。商用のプライバシー VPN は、すべてのトラフィックを数千人の顧客が共有するサーバー経由で転送するため、exit IP が利用者個人に直接結び付きません。Tailscale は自分のデバイス間でトラフィックを転送します。exit node を使う場合でも、その exit node は自分が料金を支払うマシンであり、自分と結び付いています。両者は異なる問題を解決する製品です。Tailscale は、1 つのクライアントで両方を利用したい人向けに、Mullvad の exit node をアドオンとして販売しています。