Tailscale vs NordVPN Meshnet: zamiennik czy dodatek?

Tailscale czy NordVPN Meshnet: krótka odpowiedź

Tailscale nie zastępuje NordVPN, bo każde z tych narzędzi robi coś innego. NordVPN ukrywa twój ruch przed siecią, w której jesteś, i wypuszcza go do internetu z serwera NordVPN. Tailscale łączy twoje własne urządzenia w prywatną sieć i domyślnie nie zmienia drogi reszty ruchu. Bezpośrednim odpowiednikiem Tailscale jest Meshnet, czyli funkcja wbudowana w aplikację NordVPN.

Jeśli już płacisz za NordVPN, Tailscale może być dodatkiem, a nie zamiennikiem. Na jednym laptopie te dwa programy często ze sobą kolidują. Oba używają zakresu adresów 100.64.0.0/10, a firewall NordVPN potrafi odrzucać ruch Tailscale. Poniżej wyjaśniamy, skąd to się bierze, jak to sprawdzić i jak wybrać narzędzie do konkretnego zadania.

Dwa różne zadania: tunel do internetu i sieć własnych urządzeń

Główny tunel NordVPN to VPN (wirtualna sieć prywatna) w komercyjnym znaczeniu tego słowa. Laptop szyfruje cały ruch i wysyła go do jednego serwera NordVPN, na przykład w Warszawie albo we Frankfurcie. Strony internetowe widzą adres IP tego serwera, a nie twój. Operator hotspotu w pociągu albo w kawiarni widzi tylko zaszyfrowany strumień danych do jednego adresu.

Ten tunel ma wyraźne granice. Jeśli jesteś zalogowany do Google albo Facebooka, te serwisy nadal wiedzą, kim jesteś, bo rozpoznają cię po koncie, a nie po adresie IP. Tunel nie chroni przed złośliwym oprogramowaniem ani przed fałszywą stroną banku. Nie usuwa też zaufania, tylko je przenosi: zamiast twojego dostawcy internetu ruch widzi teraz serwer wyjściowy NordVPN. Nie daje również dostępu do twoich urządzeń. Z serwera NordVPN nie wejdziesz na swój VPS ani na domowy NAS.

Tailscale buduje tailnet, czyli prywatną sieć twoich urządzeń. Każde urządzenie dostaje stały adres z zakresu 100.64.0.0/10 i stałą nazwę. Ruch płynie bezpośrednio między urządzeniami w tunelach WireGuard (nowoczesny protokół VPN wbudowany w jądro Linuksa). Serwer koordynacyjny Tailscale rozdaje tylko klucze publiczne i adresy. Ruch do zwykłych stron domyślnie idzie dalej twoim łączem, bez żadnej zmiany. To znaczy, że sam Tailscale niczego nie ukrywa przed operatorem hotspotu. Robi to dopiero węzeł wyjściowy (exit node), o którym piszemy niżej.

Czy w takim razie Tailscale to w ogóle VPN? To osobne pytanie z osobną odpowiedzią, opisaną w tekście czy Tailscale jest VPN-em i czym różni się od komercyjnych usług.

Meshnet kontra tailnet: porównanie jeden do jednego

Meshnet pojawił się w 2022 roku. Od marca 2023 nie wymaga płatnej subskrypcji: wystarczy darmowe konto Nord Account. Robi to samo co Tailscale. Łączy twoje urządzenia bezpośrednio, w zaszyfrowanych tunelach opartych na WireGuard. Różnice są w szczegółach.

• Adresy. Oba systemy używają zakresu 100.64.0.0/10. Tailscale podaje to wprost w dokumentacji. Dokumentacja Meshnetu tego zakresu nie podaje. Znaleźliśmy go w regułach firewalla, które dodaje klient NordVPN dla Linuksa: zgłoszenie #659 w repozytorium NordSecurity/nordvpn-linux na GitHubie pokazuje reguły łańcucha FORWARD z 100.64.0.0/10 jako źródłem ruchu Meshnetu.
• Nazwy. Meshnet nadaje nazwy w formacie użytkownik-góra.nord, na przykład secret.meerkat-altai.nord. Tailscale nadaje nazwy MagicDNS w domenie ts.net.
• Limity. Meshnet pozwala dodać do 10 urządzeń na jednym koncie NordVPN. NordVPN podaje łącznie do 60 urządzeń, razem z urządzeniami innych osób. Darmowy plan Personal w Tailscale obejmuje do 6 użytkowników i nie ma limitu urządzeń.
• Ruch przez inne urządzenie. Meshnet umie kierować ruch przez inne twoje urządzenie. W Tailscale to samo robi węzeł wyjściowy.
• Serwery z Linuksem. Aplikacja NordVPN dla Linuksa obsługuje rodziny Ubuntu, Debian, Fedora i openSUSE. Tailscale ma oficjalne pakiety dla większej liczby dystrybucji, a także obraz Dockera.
• Uprawnienia. W Meshnecie ustawiasz uprawnienia osobno dla każdego urządzenia, na przykład dostęp do sieci lokalnej: nordvpn meshnet peer local allow <urządzenie>. Tailscale ma jeden plik zasad dla całej sieci.
• Kod. Klient Tailscale jest otwarty, a serwer koordynacyjny zamknięty. Jego otwartym odpowiednikiem jest Headscale. NordVPN opublikował klienta dla Linuksa oraz biblioteki libtelio (sieć Meshnet) i libdrop (wysyłanie plików).

Na Linuksie Meshnet włączasz i sprawdzasz tak:

nordvpn set meshnet on
nordvpn meshnet peer list

Druga komenda powinna wypisać twoje urządzenie z nazwą .nord i adresem Meshnetu, a pod nim inne urządzenia z ich stanem. Pusta lista innych urządzeń oznacza, że na pozostałych sprzętach Meshnet nie jest jeszcze włączony na tym samym koncie.

Co się stało z Meshnetem w 2025 roku

W sierpniu 2025 NordVPN ogłosił, że wyłączy Meshnet 1 grudnia 2025. Jako powód podał małe zainteresowanie i wysoki koszt utrzymania. Użytkownicy mocno zaprotestowali, bo wielu z nich używało Meshnetu do gier, przesyłania plików i dostępu do domowych urządzeń. W aktualizacji z 29 września 2025 NordVPN wycofał tę decyzję i zapowiedział otwarcie kodu Meshnetu. Biblioteki libtelio i libdrop były już wtedy otwarte.

Stan na 6 października 2026: dokumentacja Meshnetu prowadzona przez NordVPN pod adresem meshnet.nordvpn.com nadal opisuje włączanie funkcji i dodawanie urządzeń na wszystkich systemach. Zapowiedź otwarcia całego Meshnetu sprawdź sam w repozytoriach NordSecurity na GitHubie, bo tam będzie widać, co faktycznie opublikowano.

Z tej historii wynika jedna praktyczna lekcja. Meshnet zależy od decyzji jednej firmy. Tailscale też, ale tailnet można przenieść na Headscale i inne narzędzia, opisane w zestawieniu alternatyw dla Tailscale, także takich do postawienia na własnym serwerze.

Ile kosztuje NordVPN i Tailscale w Polsce

Tailscale, stan na październik 2026: plan Personal jest darmowy, dla maksymalnie 6 użytkowników i bez limitu urządzeń. Dodatek Mullvad kosztuje 5 USD miesięcznie za każde 5 urządzeń. Tailscale rozlicza się w dolarach, więc twój bank przeliczy kwotę na złotówki po swoim kursie. Co dokładnie dostajesz za darmo, a gdzie zaczynają się ograniczenia, opisujemy w tekście limity darmowego planu Tailscale.

NordVPN pokazuje ceny w złotówkach na nordvpn.com/pl. Cena zależy od długości okresu i od pakietu. Cena za pierwszy okres jest promocyjna, a po nim subskrypcja odnawia się po wyższej cenie standardowej. Przed zapłatą przeczytaj linijkę o cenie odnowienia. Meshnet nie kosztuje nic ekstra, bo działa nawet bez subskrypcji.

Czy można używać Tailscale i NordVPN jednocześnie?

Tailscale odpowiada na to w artykule bazy wiedzy „Can I use Tailscale alongside other VPNs?”, zaktualizowanym 12 stycznia 2026. Teoretycznie się da. W praktyce zwykle potrzebujesz obejścia. Przeszkody są konkretne.

Firewall drugiego VPN-a odrzuca ruch Tailscale

Większość komercyjnych VPN-ów ustawia ostre reguły firewalla. Ich zadanie to zablokować każdy pakiet, który próbuje ominąć tunel. Według Tailscale może to sprawić, że drugi VPN odrzuci cały ruch Tailscale. Objaw jest prosty: po włączeniu NordVPN tailscale ping do innego urządzenia przestaje dostawać odpowiedź, a w tailscale status urządzenia wyglądają na niedostępne.

Telefon pozwala na jeden VPN naraz

Android i iOS uruchamiają tylko jeden VPN jednocześnie. Włączenie Tailscale rozłącza NordVPN, a włączenie NordVPN rozłącza Tailscale. Żadne ustawienie w aplikacjach tego nie zmienia, bo to ograniczenie samego systemu. Na telefonie trzeba wybrać jedno albo użyć węzła wyjściowego.

Ten sam zakres adresów 100.64.0.0/10

Zakres 100.64.0.0/10 jest zarezerwowany dla CGNAT (carrier-grade NAT, wspólne adresy u dostawcy internetu). Tailscale bierze z niego adresy urządzeń. Meshnet robi to samo. Jeśli oba działają na jednym laptopie, dwa różne programy przypisują adresy z tej samej puli i obu potrzebne są trasy do tych adresów. Kernel może wysłać pakiet tylko jedną trasą. Tailscale ostrzega, że inny VPN w tym zakresie koliduje z adresami 100.x.y.z.

To samo dotyczy niektórych sieci komórkowych i osiedlowych dostawców internetu z CGNAT. Jeśli twój operator daje ci adres z tego zakresu, problem nie dotyczy tylko NordVPN.

Jak sprawdzić konflikt na laptopie z Linuksem

Najpierw zobacz, jakie interfejsy są aktywne i jakie adresy mają:

ip -br addr
tailscale ip -4
nordvpn status

W wyniku ip -br addr szukaj tailscale0 i interfejsu NordVPN. Przy protokole NordLynx zwykle nazywa się on nordlynx. tailscale ip -4 wypisuje twój adres w tailnecie, a nordvpn status pokazuje, czy tunel NordVPN jest połączony.

Potem sprawdź, którędy kernel wyśle pakiet do konkretnego urządzenia. Wstaw adres urządzenia z Meshnetu albo z Tailscale:

ip route get 100.101.102.103
ip rule
ip route show table 52

ip route get podaje interfejs, którym naprawdę wyjdzie pakiet. ip rule pokazuje regułę Tailscale 5270: from all lookup 52. Ta reguła ma wyższy priorytet niż główna tabela routingu, więc adresy z tabeli 52 trafiają do tailscale0, zanim kernel w ogóle zajrzy do tras NordVPN. Jeśli adres urządzenia z Meshnetu pasuje do trasy z tabeli 52, pakiet pójdzie do Tailscale i nigdy nie dotrze do urządzenia w Meshnecie.

Tailscale filtruje też ruch przychodzący. Zobacz jego łańcuch firewalla:

sudo iptables -S ts-input

Znajdziesz tam regułę podobną do -A ts-input -s 100.64.0.0/10 ! -i tailscale0 -j DROP. Oznacza ona: odrzuć każdy pakiet z adresu 100.64.0.0/10, który nie przyszedł przez tailscale0. Pakiety z Meshnetu mają adresy źródłowe z tego zakresu i przychodzą innym interfejsem, więc ta reguła je odrzuca. Druga strona robi podobnie: w zgłoszeniu #659 widać, że klient NordVPN dodaje reguły DROP dla ruchu z 100.64.0.0/10 do sieci prywatnych.

Wyjście z konfliktu: węzły Mullvad i tryb userspace

Zanim zaczniesz obchodzić konflikt, Tailscale radzi rozważyć węzły wyjściowe Mullvad. W styczniowej wersji artykułu firma opisuje je jako betę. To płatny dodatek z cennika powyżej. Zamiast dwóch VPN-ów masz jeden program: Tailscale łączy twoje urządzenia, a ruch do internetu wychodzi przez serwer Mullvad. Działa to też na telefonie, bo system widzi tylko jeden VPN.

tailscale exit-node list
tailscale set --exit-node=<nazwa-węzła>

Pierwsza komenda wypisuje dostępne węzły wyjściowe, a z dodatkiem Mullvad także serwery Mullvad z ich lokalizacją. Po drugiej komendzie strona sprawdzająca adres IP powinna pokazać adres wybranego węzła, a nie twój.

Drugie wyjście to tryb userspace networking. Tailscale nie tworzy wtedy interfejsu sieciowego, więc nie dodaje tras ani reguł firewalla, które kolidują z NordVPN. Zamiast tego działa jako serwer proxy SOCKS5 (protokół pośredniczący dla połączeń). Na Ubuntu i Debianie usługa czyta flagi z pliku /etc/default/tailscaled. Ustaw w nim:

FLAGS="--tun=userspace-networking --socks5-server=localhost:1055"

Następnie uruchom usługę ponownie i sprawdź połączenie:

sudo systemctl restart tailscaled
tailscale status
tailscale ping <nazwa-urządzenia>

tailscale ping powinien dostać odpowiedź pong. Zwykły ping w tym trybie nie działa, bo nie ma interfejsu, przez który system mógłby wysłać pakiet ICMP. Programy, które mają mówić z tailnetem, muszą używać proxy localhost:1055. Na przykład curl z opcją --socks5-hostname localhost:1055 dotrze do serwera WWW na twoim VPS. To wygodne dla kilku narzędzi, ale niewygodne jako codzienne rozwiązanie dla całego systemu.

Własny węzeł wyjściowy na VPS

Jest trzecia droga: jeden Tailscale i własny węzeł wyjściowy na VPS. Wtedy w hotelowym Wi-Fi cały ruch idzie zaszyfrowany do twojego serwera, a stamtąd do internetu. W tej samej sieci masz dostęp do swoich urządzeń. Na telefonie to jedna aplikacja, więc limit jednego VPN-a przestaje przeszkadzać. Konfigurację krok po kroku opisuje poradnik jak zrobić węzeł wyjściowy Tailscale na własnym VPS.

Trzeba pamiętać o dwóch kompromisach. Twój ruch widzi teraz dostawca VPS, a nie NordVPN. Adres IP serwera należy tylko do ciebie, więc nie mieszasz się z tysiącami innych użytkowników jak na serwerze NordVPN. To dobre dla prywatności w lokalnej sieci, ale słabsze dla anonimowości wobec stron. Co dokładnie widzi Tailscale, a czego nie, opisujemy w tekście czy Tailscale jest bezpieczny i kto ma dostęp do kluczy.

Co wybrać: decyzja według zadania

• Prywatność w publicznym Wi-Fi i adres IP z innego kraju: główny tunel NordVPN. Do tego został zbudowany i ma serwery w wielu krajach.
• Dostęp do własnych urządzeń i VPS: Tailscale. Meshnet wystarczy, jeśli już masz konto Nord, wszystkie urządzenia mają obsługiwane systemy i mieścisz się w 10 urządzeniach na koncie.
• Jedno i drugie w jednej aplikacji: Tailscale z własnym węzłem wyjściowym na VPS albo z dodatkiem Mullvad.
• NordVPN i Tailscale na jednym laptopie: sprawdź trasy komendami z tego tekstu. Jeśli kolidują, przełącz Tailscale w tryb userspace albo zrezygnuj z jednego z nich.

FAQ

Czy Tailscale zastępuje NordVPN?

Nie, bo rozwiązują inne problemy. NordVPN wysyła cały twój ruch do internetu przez swój serwer i ukrywa go przed lokalną siecią. Tailscale łączy twoje urządzenia w prywatną sieć i domyślnie nie zmienia drogi zwykłego ruchu. Tailscale zastąpi NordVPN dopiero wtedy, gdy dodasz węzeł wyjściowy: własny na VPS albo serwery Mullvad z płatnego dodatku.

Czy mogę mieć jednocześnie włączone Tailscale i NordVPN na telefonie?

Nie. Android i iOS uruchamiają tylko jeden VPN naraz, więc włączenie jednej aplikacji rozłącza drugą. Jeśli na telefonie potrzebujesz i prywatności, i dostępu do własnych urządzeń, użyj jednej aplikacji: Tailscale z węzłem wyjściowym albo NordVPN z Meshnetem.

Czy NordVPN Meshnet nadal działa w 2026 roku?

Tak. NordVPN zapowiedział wyłączenie Meshnetu na 1 grudnia 2025, ale w aktualizacji z 29 września 2025 wycofał tę decyzję i obiecał otworzyć jego kod. Na 6 października 2026 dokumentacja NordVPN pod adresem meshnet.nordvpn.com nadal opisuje włączanie Meshnetu na wszystkich systemach. Do korzystania z niego wystarczy darmowe konto Nord Account.

Dlaczego po włączeniu NordVPN nie widzę urządzeń w Tailscale?

Najczęstszy powód to firewall NordVPN. Odrzuca on ruch, który próbuje ominąć tunel NordVPN, a ruch Tailscale wygląda dla niego właśnie tak. Druga przyczyna to wspólny zakres 100.64.0.0/10, jeśli działa też Meshnet. Na Linuksie ip route get z adresem urządzenia pokaże, którym interfejsem idzie pakiet. Rozwiązaniem jest tryb userspace networking w Tailscale albo węzeł wyjściowy zamiast drugiego VPN-a.

Jakiego zakresu adresów używa NordVPN Meshnet?

Meshnet używa zakresu 100.64.0.0/10, tego samego co Tailscale. Dokumentacja Meshnetu tego nie podaje. Widać to w regułach firewalla, które dodaje klient NordVPN dla Linuksa, na przykład w zgłoszeniu #659 w repozytorium NordSecurity/nordvpn-linux. Właśnie dlatego Meshnet i Tailscale na jednym komputerze mogą ze sobą kolidować.