Czy Tailscale jest darmowy? Limity planu Personal

Czy Tailscale jest darmowy? Tak, w planie Personal

Tailscale jest darmowy w ramach planu Personal. Darmowy poziom nie posiada daty wygaśnięcia i obejmuje większość funkcjonalności produktu. Ogranicza on liczbę osób, które mogą dołączyć do sieci, a nie liczbę podłączonych urządzeń. Według stanu na 10 października 2026 r., strona z cennikiem Tailscale wskazuje, że plan Personal obejmuje sześciu użytkowników, nieograniczoną liczbę urządzeń użytkownika, 50 otagowanych zasobów oraz dostęp do niemal wszystkich funkcji.

Najpierw wyjaśnienie dwóch pojęć. Tailnet to prywatna sieć: jedno konto, jedna lista użytkowników, jeden plik polityki. Seat (miejsce) to jedna osoba wewnątrz danego tailnetu. Tailscale rozlicza się za miejsce, więc licznik opiera się na liczbie osób. Ten jeden fakt decyduje o tym, czy dana konfiguracja jest darmowa.

Każda poniższa liczba jest wartością opublikowaną z datą weryfikacji. Ceny i limity ulegają zmianom, dlatego należy potwierdzić je na stronie z cennikiem przed planowaniem budżetu. Struktura oferty zmienia się znacznie wolniej i to ona jest kluczowa: zliczane są osoby oraz otagowana infrastruktura, podczas gdy płatne plany oferują dodatkowe możliwości, a nie większy limit urządzeń. WireGuard, protokół tunelowania wykorzystywany wewnątrz, jest taki sam w każdym planie, a co Tailscale dodaje do standardowego WireGuard wyjaśnia ten podział.

Co jest uznawane za użytkownika, a co za urządzenie

Każda maszyna w sieci tailnet posiada właściciela. Po zalogowaniu się przy użyciu własnej tożsamości, maszyna jest przypisana do użytkownika. Tailscale określa to jako urządzenie użytkownika, a sekcja FAQ dotycząca cennika jasno precyzuje: „Urządzenia użytkowników są darmowe i nielimitowane”. Laptop, telefon, komputer stacjonarny i tablet zajmują łącznie jedno miejsce, a nie cztery.

Rejestracja maszyny przy użyciu tagu powoduje, że jej właścicielem staje się dany tag. Tailscale określa to jako zasób otagowany i to właśnie zasoby otagowane są wliczane do limitów planu. Serwery i routery powinny być otagowane, ponieważ współdzielona maszyna nie powinna należeć do osoby, która akurat wykonała na niej polecenie logowania. Według stanu na 10 października 2026 plan Personal obejmuje 50 zasobów otagowanych, a strona z cennikiem wskazuje możliwość dokupienia kolejnych w cenie 1 USD miesięcznie za sztukę, w modelu samoobsługowym. VPS wykonujący zadania dla wszystkich użytkowników należy do tej kategorii, niezależnie od tego, czy jest to router podsieci ogłaszający zakres prywatny, czy węzeł wyjściowy obsługujący ruch wychodzący.

Otaguj serwer w momencie dołączania do sieci, aby nigdy nie figurował w tailnet jako maszyna przypisana do Ciebie:

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up --advertise-tags=tag:server

tailscale status

tailscale status wyświetla węzeł wraz z właścicielem, pod którym został zarejestrowany. Tag musi już istnieć w pliku polityki tailnet w sekcji tagOwners, ponieważ tag stanowi nadanie uprawnień własności, a węzeł nie może przyjąć tagu, którego nikt nie nadał. Jeśli tagu nie ma w polityce, węzeł nie może go przejąć.

Dlatego darmowy plan bywa zaskakujący w obu kierunkach. Domowe laboratorium z trzydziestoma maszynami zalogowanymi na tego samego użytkownika zajmuje jedno miejsce i jest darmowe. Czteroosobowy zespół, w którym każdy się loguje, zajmuje cztery miejsca z sześciu dostępnych, co również jest darmowe. Dwanaście osób nie kwalifikuje się do darmowego planu niezależnie od liczby urządzeń, ponieważ limit dotyczy liczby osób.

Zasoby efemeryczne to trzecia kategoria. Węzeł rejestrujący się przy użyciu efemerycznego klucza uwierzytelniającego, na przykład runner ciągłej integracji lub pod Kubernetes, usuwa się po zatrzymaniu i korzysta z miesięcznej puli minut zamiast zajmować slot zasobu. Według stanu na 10 października 2026 plany Personal i Standard mają 1000 takich minut miesięcznie, a Premium 10 000. Węzeł, który pozostaje aktywny dłużej niż cztery godziny, przestaje być traktowany jako efemeryczny i staje się zwykłym zasobem otagowanym.

Jeszcze jeden szczegół dotyczący rozliczeń: zaproszony użytkownik nie zajmuje miejsca, dopóki nie zacznie korzystać z tailnet. FAQ cennika stanowi, że użytkownik „nie zajmuje miejsca, dopóki nie zaloguje się po raz pierwszy do konsoli administracyjnej lub nie uwierzytelni pierwszego urządzenia”. Zaproszenia można wysyłać wcześniej, bez ponoszenia opłat za osoby, które nigdy nie dołączą.

Koszty płatnych planów

[
  {
    "plan": "Personal",
    "usd_per_user_month": 0
  },
  {
    "plan": "Standard",
    "usd_per_user_month": 8
  },
  {
    "plan": "Premium",
    "usd_per_user_month": 18
  }
]

Plan Personal jest darmowy. Plan Standard kosztuje 8 dolarów amerykańskich za użytkownika miesięcznie, a plan Premium 18 dolarów, zgodnie z cennikiem opublikowanym 10 października 2026 roku. Wycena planu Enterprise jest przygotowywana indywidualnie przez dział sprzedaży i uwzględnia niestandardową liczbę użytkowników oraz limity. Plany Standard i Premium znoszą limit użytkowników, dlatego dla większości zespołów powodem rozpoczęcia opłat jest siódmy członek zespołu, a nie czterdziesty serwer. Przeliczenie cen katalogowych na rzeczywisty miesięczny rachunek wymaga zsumowania stanowisk oraz otagowanych zasobów, co dla obu przypadków przedstawia szczegółowe zestawienie dla gospodarstwa domowego oraz pięcioosobowego zespołu.

Które funkcje wymagają płatnego planu

Są to ograniczenia funkcjonalne. Dodawanie maszyn nie powoduje przejścia na wyższy plan. Robi to natomiast tworzenie bardziej złożonych polityk dostępu.

Listy kontroli dostępu (ACL, czyli reguły określające, który użytkownik może uzyskać dostęp do której maszyny) wyraźnie to pokazują. Sam plik polityki jest dostępny w każdym planie. Liczba grup, które można w nim zdefiniować, już nie.

[
  {
    "plan": "Personal",
    "acl_groups": 3
  },
  {
    "plan": "Standard",
    "acl_groups": 10
  },
  {
    "plan": "Premium",
    "acl_groups": 300
  }
]

Plan Personal pozwala na 3 grup, Standard na 10, a Premium na 300. Grupa to nazwany zbiór użytkowników, więc jest to w praktyce limit precyzji podziału osób. Trzy grupy wystarczą na "mnie", "rodzinę" i "gości". Nie wystarczą jednak dla firmy z wieloma działami.

Pozostałe ograniczenia, zweryfikowane 10 października 2026 r. na podstawie strony z cennikiem oraz dokumentacji funkcji Tailscale:

• Własny dostawca tożsamości (IdP), czyli logowanie jednokrotne (SSO) z dowolnym używanym już dostawcą OIDC, jest dostępne w każdym planie, w tym w Personal. Tailscale zniosło ograniczenie dla płatnych planów w kwietniu 2024 r. i informuje, że "SSO jest ponownie dostępne za darmo dla wszystkich". Konfiguracja własnego OIDC wymaga jedynie dowodu własności domeny oraz dostawcy spełniającego wymagania techniczne, a nie konkretnego planu. Plan Standard dodaje w tym zakresie SCIM, który automatycznie synchronizuje użytkowników i grupy z dostawcy.
• Zatwierdzanie urządzeń oraz podstawowe sprawdzanie stanu urządzenia (system operacyjny i wersja Tailscale) są dostępne w każdym planie. Integracje stanu urządzenia z systemami zarządzania urządzeniami mobilnymi (MDM) oraz narzędziami bezpieczeństwa punktów końcowych zaczynają się od planu Standard.
• Zaawansowane role użytkowników, takie jak administrator rozliczeń, administrator IT czy audytor, zaczynają się od planu Standard.
• Logi przepływu sieciowego zaczynają się od planu Premium, podobnie jak zaawansowane funkcje Tailscale SSH. Podstawowe Tailscale SSH jest dostępne w każdym planie, a cennik ogranicza je do 5 hostów.

Rejestrowanie sesji SSH to przypadek wymagający uważnej analizy, ponieważ dowodzi, że ograniczenia te są nakładane na poszczególne funkcje, a nie liniowo według planów, oraz że ulegają one zmianom. Dokumentacja rejestrowania sesji Tailscale wymienia funkcję opartą na rejestratorze dla planów Personal i Enterprise, ale według stanu na 10 października 2026 r. oznacza tę funkcję jako przestarzałą: Tailscale nie oferuje jej już poprzez tsrecorder, wsparcie dla obecnych użytkowników kończy się w sierpniu 2027 r., a dokumentacja kieruje do Tailscale PAM. Strona z cennikiem grupuje rejestrowanie SSH, Kubernetes oraz baz danych w ramach osobno płatnego rozszerzenia Privileged Access Management. Przed oparciem na tym wymogów zgodności należy sprawdzić aktualną stronę.

Dlaczego darmowa sieć tailnet zgłasza komunikat "Reached use limit"

Konsola administracyjna wyświetla komunikat "Reached use limit", gdy sieć tailnet nie może przyjąć kolejnego użytkownika. Dokumentacja referencyjna komunikatów Tailscale, sprawdzona 10 października 2026, wymienia trzy przyczyny: dodanie większej liczby użytkowników niż pozwala na to plan, konto, które nie zostało poprawnie zaktualizowane po zmianie planu, oraz politykę organizacji ograniczającą dostęp do sieci tailnet. W planie Personal najczęstszą przyczyną jest siódma osoba, ponieważ plan ten limituje liczbę użytkowników. Plany Standard i wyższe nie posiadają limitu użytkowników, więc w przypadku planu płatnego komunikat wskazuje na problem z konfiguracją konta, a udokumentowanym rozwiązaniem Tailscale jest kontakt z działem wsparcia. W przypadku logowania przy użyciu domeny firmowej należy zapytać administratora IT, czy polityka firmy nie ogranicza logowania do Tailscale. Żadna z tych przyczyn nie dotyczy liczby podłączonych laptopów i telefonów, więc liczenie urządzeń po wyświetleniu tego komunikatu jest nieefektywne. Należy otworzyć konsolę administracyjną i w pierwszej kolejności policzyć konta użytkowników.

Czy do własnego przekaźnika DERP wymagany jest płatny plan?

DERP (Designated Encrypted Relay for Packets) to sieć przekaźnikowa Tailscale. Gdy dwa węzły nie mogą nawiązać bezpośredniego połączenia przez NAT (network address translation), ich zaszyfrowany ruch jest przekierowywany przez serwer DERP. Uruchomienie własnego przekaźnika DERP wymaga konfiguracji w pliku polityki tailnet, a dokumentacja Tailscale dotycząca własnych serwerów DERP nie wskazuje na żadne ograniczenia planów według stanu na 10 października 2026. Ta sama strona nadal oznacza własne serwery DERP jako wersję alpha.

Należy precyzyjnie określić, co zmienia własny przekaźnik, ponieważ w tym miejscu często myli się przekaźnik z samodzielnym hostowaniem (self-hosting). Własny serwer DERP przenosi ścieżkę danych zapasowych na maszynę, której jesteś właścicielem. Ścieżka sterowania pozostaje bez zmian. Serwer koordynacyjny Tailscale nadal przechowuje klucze węzłów, plik polityki oraz listę użytkowników. Nigdy nie przechowuje kluczy prywatnych, które odszyfrowują ruch, więc to, co atakujący faktycznie zyskuje po przejęciu serwera koordynacyjnego jest kwestią o węższym zakresie, niż mogłoby się wydawać. Jeśli chcesz, aby ta część znajdowała się na Twoim własnym sprzęcie, przekaźnik nie jest odpowiednim narzędziem. Wymagane jest inne rozwiązanie płaszczyzny sterowania (control plane).

Kiedy własny serwer sterujący Headscale ma sens?

Headscale, otwartoźródłowy serwer sterujący Tailscale zastępuje serwer koordynujący rozwiązaniem uruchomionym na własnym VPS (virtual private server). Klienci Tailscale pozostają bez zmian. Wskazują one na Twój serwer zamiast na serwer Tailscale, dzięki czemu nie ma limitów użytkowników ani opłat za stanowiska.

Zacznijmy od kwestii finansowych, ponieważ różnica jest mniejsza, niż można oczekiwać. Jedno stanowisko w planie Standard kosztuje 8 dolarów amerykańskich miesięcznie. Mały VPS zdolny do uruchomienia serwera sterującego kosztuje mniej więcej tyle, co jedno lub dwa stanowiska. Bilans finansowy nie zmienia się, dopóki nie opłacasz kilku osób, a w przypadku domowego laboratorium dla jednej osoby, które i tak było darmowe, koszt pozostaje zerowy. Samodzielne hostowanie w celu zaoszczędzenia pieniędzy przy sieci pięciu urządzeń jest nieopłacalne.

W rzeczywistości wybór polega na kompromisie między kontrolą a nakładem pracy. Headscale przechowuje listę użytkowników oraz plik polityk na maszynie, której jesteś właścicielem, w wybranym przez Ciebie kraju, bez udziału konta dostawcy w ścieżce komunikacji. Zgodnie z dokumentacją projektu sprawdzoną 10 października 2026, obsługuje on ACL i uprawnienia, tagi, routery podsieci, węzły wyjściowe (exit nodes), MagicDNS, Taildrop, Tailscale SSH, rejestrację węzłów przez OpenID Connect (OIDC) oraz wbudowany serwer DERP. Funkcje Funnel oraz Serve nie są jeszcze wspierane, więc publikowanie usług za pomocą Serve lub Funnel wymaga na razie korzystania z serwera sterującego Tailscale. Brakuje również logów przepływu sieciowego, grup OIDC nie można używać wewnątrz reguł ACL, a projekt z założenia obsługuje tylko jedną sieć typu tailnet.

Oto zakres prac, które przejmujesz na siebie:

• Odpowiadasz za dostępność serwera sterującego. Istniejące tunele będą przekazywać ruch przez pewien czas, ponieważ węzły posiadają już swoje klucze. Wszystko, co wymaga koordynacji, przestaje działać: nowe węzły nie mogą się zarejestrować, wygasające klucze nie mogą zostać odnowione, a zmiany w politykach nie docierają do węzłów.
• Odpowiadasz za aktualizacje. Headscale implementuje protokół, który klienci Tailscale stale zmieniają, więc Twój harmonogram aktualizacji zależy od wydań klientów, a nie od Twojego kalendarza.
• Odpowiadasz za bazę danych i jej kopie zapasowe. Utrata tego stanu oznacza konieczność ponownej rejestracji każdego węzła.
• Odpowiadasz za TLS (transport layer security) na publicznym punkcie końcowym serwera, ponieważ klienci łączą się z serwerem sterującym przez HTTPS.

To uczciwy rachunek. Wybierz to rozwiązanie, jeśli powodem jest potrzeba kontroli lub liczba użytkowników, przy której model płatności za stanowisko jest niekorzystny. Nie rób tego, aby zaoszczędzić osiem dolarów.

Własny serwer NetBird to alternatywne rozwiązanie do samodzielnego hostowania. Dostarcza on własny serwer sterujący, własny system obsługi tożsamości oraz własny interfejs webowy i jest tworzony jako produkt, a nie jako reimplementacja serwera sterującego innej firmy. Obie opcje wiążą się z utrzymywaniem usługi, od której zależy Twoja sieć. Najpierw podejmij decyzję, czy chcesz zarządzać taką usługą, a dopiero potem wybierz konkretne rozwiązanie.

FAQ

Czy plan darmowy Tailscale to wersja próbna?

Nie. Personal to darmowy poziom bez daty wygaśnięcia. Według stanu na 10 października 2026 r. obejmuje on sześciu użytkowników, nieograniczoną liczbę urządzeń użytkownika oraz 50 otagowanych zasobów. Zawiera niemal pełny zestaw funkcji, w tym logowanie jednokrotne (SSO) przy użyciu własnego dostawcy tożsamości OIDC. Nie obejmuje natomiast możliwości dostępnych w płatnych planach, takich jak większa liczba grup ACL, provisioning SCIM, zaawansowane role użytkowników czy logi przepływu sieciowego. Aktualne limity należy sprawdzić na stronie z cennikiem Tailscale, ponieważ są one okresowo aktualizowane.

Ile urządzeń można dodać w darmowym planie Tailscale?

Liczba własnych urządzeń jest nieograniczona. FAQ dotyczące cennika Tailscale wskazuje, że urządzenia użytkownika, czyli każdy węzeł, który nie jest otagowany, są darmowe i nielimitowane. Liczone są natomiast zasoby otagowane, czyli serwery i routery zarejestrowane z użyciem tagu; w planie Personal na dzień 10 października 2026 r. limit ten wynosił 50. Starsze poradniki wspominające o limicie 20 lub 100 urządzeń opisują poprzedni model cenowy, który nie jest już stosowany.

Dlaczego w mojej sieci tailnet pojawia się komunikat "Reached use limit"?

W planie Personal najczęstszą przyczyną jest dodanie siódmej osoby, ponieważ plan ten ogranicza liczbę użytkowników, a nie maszyn. Tailscale wskazuje również na konta, które nie zostały poprawnie zaktualizowane po zmianie planu, oraz polityki organizacji ograniczające dostęp. W przypadku planu płatnego, który nie posiada limitu użytkowników, należy skontaktować się z pomocą techniczną Tailscale. W pierwszej kolejności należy sprawdzić liczbę kont użytkowników w konsoli administracyjnej. Nieotagowane laptopy i telefony nie są przyczyną tego błędu.

Czy Headscale jest tańsze niż płacenie za Tailscale?

Tylko powyżej kilku płatnych stanowisk. Serwer VPS zdolny do uruchomienia Headscale kosztuje mniej więcej tyle, co jedno lub dwa stanowiska w planie Standard miesięcznie, więc mała sieć tailnet nie generuje oszczędności, a sieć jednoosobowa była darmowa od początku. Headscale opłaca się, gdy użytkownik chce posiadać kontrolę nad płaszczyzną sterowania na własnym sprzęcie lub gdy liczba użytkowników sprawia, że model cenowy za stanowisko staje się nieopłacalny. Koszt jest operacyjny: aktualizacje podążające za wydaniami klienta Tailscale, kopie zapasowe bazy danych, certyfikat TLS wymagający odnowienia oraz konieczność samodzielnego usuwania awarii.