Tailscale no Windows: o que ajustar depois de instalar

Tailscale no Windows: por que funciona e depois para

O Tailscale no Windows quase sempre funciona no primeiro dia. Os problemas aparecem depois: o PC some da rede quando você sai da conta, a chave expira meses depois, o Windows trata a interface do Tailscale como rede pública e o firewall descarta o ping. Os quatro casos vêm de configurações que a instalação deixa no padrão, e cada um tem um teste que você mesmo pode rodar.

Um cenário comum: você instalou o Tailscale para jogar em LAN com os amigos, ou para acessar o PC de casa a partir do notebook. Tudo respondeu no primeiro teste. Na semana seguinte, nada conecta. As seções abaixo tratam um problema por vez, sempre com o comando que confirma a correção.

Um termo antes de começar: tailnet é a rede privada formada por todos os dispositivos ligados à sua conta do Tailscale. Se ainda não está claro o que o Tailscale faz por baixo, leia antes o que é o Tailscale e como ele monta a rede.

Instalação: o mínimo que você precisa saber

O cliente exige Windows 10 ou mais recente, ou Windows Server 2016 ou mais recente. Baixe o instalador .exe mais recente pela página oficial de instalação para Windows. O mesmo instalador serve para Windows de 32 e de 64 bits. Depois de instalar, entre na sua conta pelo ícone do Tailscale na bandeja do sistema, a área perto do relógio.

Todos os comandos deste guia são para o PowerShell, e quem roda é você, no próprio PC. A documentação do Tailscale diz apenas que, no Windows, a CLI (interface de linha de comando) é usada ao executar o .exe pelo terminal. Se o PowerShell não reconhecer o comando tailscale, rode o mesmo comando de dentro da pasta onde o Tailscale foi instalado, escrevendo .\tailscale.exe no lugar de tailscale.

Por que o Tailscale desconecta quando você sai da conta do Windows

No padrão, o Tailscale no Windows fica preso ao usuário que está com a sessão aberta. A documentação oficial descreve o efeito de forma direta: quando o usuário sai da conta ou o computador reinicia, o Tailscale desconecta até alguém entrar de novo.

Num notebook, isso faz sentido. No PC de casa que você quer acessar de fora, esse é o problema. O Windows instala uma atualização, reinicia e para na tela de login. Como ninguém entrou na conta, o Tailscale não volta, e o PC fica fora da tailnet para todos os outros dispositivos.

A solução é o modo unattended (sem supervisão). Com ele, o Tailscale continua rodando mesmo depois que o usuário atual sai da conta. O modo existe só no Windows. Ele exige que o dispositivo já esteja autenticado e conectado à tailnet.

Ativar pelo ícone da bandeja

1. Clique com o botão direito no ícone do Tailscale na bandeja do sistema.
2. Passe o mouse sobre Preferences.
3. Clique em Run unattended.
4. Quando o aplicativo pedir confirmação, escolha Yes.

Os nomes dos menus acima são os da documentação oficial. Uma marca de seleção ao lado de Run unattended indica que o modo está ativo. Para desativar, clique de novo no mesmo item e a marca some.

Ativar pelo PowerShell

tailscale set --unattended=true

O tailscale set altera só a opção que você passa e não mexe no resto da configuração. Para desativar depois:

tailscale set --unattended=false

Se você está preparando uma máquina que vai ficar sem ninguém na frente, a documentação mostra também a forma com chave de autenticação. Troque tskey-auth-xxxxx pela sua chave real:

tailscale up --unattended=true --authkey=tskey-auth-xxxxx

O cuidado com várias contas no mesmo PC

Quando o modo unattended está ativo, a conta do Windows que o ativou passa a ser dona da configuração do Tailscale naquele PC. Os outros usuários não conseguem trocar de perfil nem mudar a configuração até o modo ser desativado. Num PC de família, com uma conta para cada pessoa, ative o modo na conta de quem vai cuidar do Tailscale.

Como confirmar que funcionou

Saia da sua conta do Windows, sem desligar o PC. Em outro dispositivo da tailnet, rode:

tailscale status

A primeira coluna mostra o IP do Tailscale de cada máquina, e a segunda mostra o nome. Procure o PC de casa na lista. Depois teste a conexão com tailscale ping --tsmp nome-do-pc. O motivo do --tsmp está na seção sobre o firewall, mais abaixo. Se o PC responde com a sessão fechada, o modo unattended está funcionando.

A chave do dispositivo expira em 180 dias

O modo unattended cuida dos reinícios. A expiração da chave é um prazo separado. Cada dispositivo na tailnet tem uma chave de nó, e em tailnets novas o prazo padrão de expiração é de 180 dias. O prazo real depende da configuração da sua tailnet. Quando a chave expira e o dispositivo não se autentica de novo, as conexões de e para ele param de funcionar.

Na prática, o PC de casa funciona por meses e um dia para. Nada mudou no PC. A chave venceu, e o PC precisa se autenticar de novo, o que exige alguém fazer login no Tailscale nele.

Para uma máquina que precisa ficar sempre disponível, um administrador da tailnet pode desligar a expiração só para ela. No console de administração, abra a página Machines, clique no menu da linha do dispositivo e escolha Disable Key Expiry. A documentação também diz que um administrador pode estender por um tempo uma chave que já expirou.

Pense antes de desligar. Sem expiração, o dispositivo fica autorizado até alguém removê-lo do console. Faça isso só em máquinas que ficam num lugar que você controla, como o PC de casa. Num notebook que sai com você todo dia, deixe a expiração ligada. Se quiser entender o que o Tailscale guarda e o que ele nunca vê, leia se o Tailscale é seguro e quem controla as chaves.

O adaptador do Tailscale está como rede Pública ou Privada?

O Windows classifica cada conexão de rede numa categoria. As duas que importam aqui, nas palavras da Microsoft:

• Public (Pública): o PC fica escondido dos outros dispositivos da rede e não pode ser usado para compartilhar impressora e arquivos.
• Private (Privada): o PC pode ser descoberto e pode ser usado para compartilhar impressora e arquivos, se você configurar isso.

Existe uma terceira categoria, DomainAuthenticated, para redes de empresa ligadas a um domínio. Ela não se aplica a um PC de casa.

Isso importa porque o Tailscale cria um adaptador de rede próprio no Windows, e esse adaptador também recebe uma categoria. Quando o Tailscale não consegue marcar o adaptador como privado, ele mostra a mensagem Windows network configuration failed. A documentação explica essa mensagem como falha ao definir a categoria de rede como privada no adaptador do Tailscale. Com o adaptador como Público, o Windows trata o tráfego que chega pela tailnet como trataria a rede de um aeroporto. O seu PC fica escondido, e a pasta compartilhada com o amigo não aparece.

Verificar a categoria

Abra o PowerShell e rode:

Get-NetConnectionProfile

O comando lista os perfis de conexão do PC. Procure o perfil do adaptador do Tailscale e veja o valor de NetworkCategory. O nome exato do adaptador muda de máquina para máquina, então leia o que o seu PC mostrar. Quando souber o nome do adaptador (o alias da interface), filtre só ele:

Get-NetConnectionProfile -InterfaceAlias "NOME-DO-ADAPTADOR"

Se não estiver como Private

Comece pelo que a documentação do Tailscale sugere para a mensagem Windows network configuration failed:

• Reinicie o cliente do Tailscale.
• Atualize o Tailscale para a versão mais recente.
• Rode o Tailscale como administrador.
• Procure outro software de VPN (rede privada virtual) ou de rede que possa estar em conflito.
• Confirme que nenhum firewall ou antivírus está bloqueando o Tailscale.
• Confirme que o adaptador do Tailscale existe e está ativado.
• Confirme que nenhuma política desativou os serviços de roteamento IP e de DNS (sistema de nomes de domínio).
• Instale todas as atualizações do Windows.

Se a categoria continuar errada, o próprio Windows permite mudá-la pelo PowerShell. Este passo é uma opção do lado do Windows. A página do Tailscale não o recomenda. O exemplo da Microsoft define Public, e aqui só esse valor muda, para Private. Abra o PowerShell como administrador e troque o nome do adaptador pelo que você encontrou acima:

Get-NetConnectionProfile -InterfaceAlias "NOME-DO-ADAPTADOR" | Set-NetConnectionProfile -NetworkCategory Private

Rode Get-NetConnectionProfile de novo e confirme o valor de NetworkCategory. O cmdlet não aceita DomainAuthenticated, porque o Windows define esse valor sozinho quando a rede se autentica num controlador de domínio.

Faça essa mudança só no adaptador do Tailscale. Marcar como Privada a rede Wi-Fi de uma lanchonete deixa o seu PC visível para desconhecidos.

Por que o ping pelo Tailscale não responde no Windows

O sintoma: o amigo vê o seu PC em tailscale status, mas o ping para o IP do Tailscale não tem resposta. A página do Tailscale sobre problemas de ping no Windows explica a causa. O Windows costuma ter regras de firewall agressivas até para ICMP (Internet Control Message Protocol, o protocolo do ping), tanto na entrada quanto na saída. A orientação é garantir que os dispositivos Windows consigam enviar e receber ICMP.

Separar o túnel do firewall

Antes de mexer em qualquer regra, descubra onde está o bloqueio. A opção --tsmp do tailscale ping envia um ping que passa pelo WireGuard mas não pela pilha de rede do sistema operacional de nenhum dos dois lados. Isso quer dizer que o Firewall do Windows não chega a ver esse pacote. Rode os dois testes no outro dispositivo:

tailscale ping --tsmp nome-do-pc
ping IP-DO-TAILSCALE

Troque nome-do-pc pelo nome da máquina e IP-DO-TAILSCALE pelo IP da primeira coluna de tailscale status. Se o tailscale ping --tsmp responde e o ping comum não, o túnel está bom e o bloqueio está no firewall do PC de destino. Se nem o tailscale ping responde, o firewall do Windows não é a causa. Volte às seções sobre o modo unattended e a expiração da chave.

Ativar só a regra de eco, sem desligar o firewall

Desligar o Firewall do Windows por alguns minutos é um teste mais rápido, e a própria página do Tailscale chama esse teste de mais arriscado. Para uso normal, ative só a regra que deixa o PC responder ao ping.

O nome das regras muda com o idioma do Windows. A Microsoft documenta que o nome de exibição de uma regra depende da localidade, então num Windows em português os nomes podem aparecer traduzidos. Por isso, liste as regras antes de copiar qualquer nome:

Get-NetFirewallRule -DisplayName "*ICMPv4*" | Format-Table DisplayName, Enabled, Direction, Profile

O * é um curinga, e o parâmetro -DisplayName aceita curingas. Se a lista vier vazia, troque ICMPv4 por outra palavra que apareça no nome das regras do seu Windows. Na lista, procure a regra de entrada (Inbound) que trata da solicitação de eco (echo request) ICMPv4 e veja em quais perfis ela vale. Uma regra que vale só para o perfil Privado não ajuda se o adaptador do Tailscale estiver como Público. Por isso a seção anterior vem primeiro.

Com o nome exato copiado, ative a regra num PowerShell aberto como administrador:

Enable-NetFirewallRule -DisplayName "NOME EXATO DA REGRA"

Nunca rode Enable-NetFirewallRule sem parâmetros. A documentação da Microsoft avisa que, sem parâmetros, o cmdlet ativa todas as regras do Firewall do Windows no computador. Passe sempre -DisplayName com o nome completo.

Depois, do outro dispositivo, rode ping IP-DO-TAILSCALE de novo. Respostas normais confirmam que a regra resolveu. Se o seu PC também precisa pingar os PCs dos amigos, repita o processo nas máquinas Windows deles, porque a orientação do Tailscale vale para envio e recebimento.

Área de Trabalho Remota pelo Tailscale: o limite do Windows Home

Muita gente instala o Tailscale para usar a Área de Trabalho Remota (RDP, Remote Desktop Protocol) no PC de casa. Esse limite vem do Windows. A Microsoft documenta que as edições Home do Windows não podem receber conexões de Área de Trabalho Remota. As edições Pro, Enterprise e Education, além do Windows Server, podem. Um Windows Home ainda funciona como cliente, para você se conectar a outra máquina.

A mesma página da Microsoft lembra que o firewall do PC remoto precisa permitir as conexões de Área de Trabalho Remota, e recomenda ativar o recurso só em redes confiáveis. Se a conexão chega mas o login falha, o Tailscale tem duas páginas próprias sobre isso na seção de solução de problemas do Windows: uma sobre problemas de login por RDP e outra sobre restrições de conta de usuário no RDP.

Pela tailnet, você também não precisa abrir a porta do RDP no roteador para a internet inteira. Esse é o assunto de usar o Tailscale no lugar de redirecionamento de portas.

E se o PC de casa não puder ficar ligado o tempo todo

Uma opinião nossa, sem promessa de recurso: se o PC de casa fica ligado só para ser o ponto fixo da rede, um VPS na mesma tailnet pode fazer esse papel, e um VPS como exit node do Tailscale mostra um uso comum para ele.

Lista de verificação depois de instalar

• Modo unattended ativado, com a marca ao lado de Run unattended.
• Expiração da chave revista no console, para as máquinas fixas.
• Adaptador do Tailscale como Private em Get-NetConnectionProfile.
• Regra de entrada de eco ICMPv4 ativada pelo nome exato, com o firewall ligado.

FAQ

Por que o Tailscale desconecta quando eu saio da minha conta no Windows?

No padrão, o Tailscale no Windows depende do usuário com a sessão aberta. Quando o usuário sai da conta ou o PC reinicia, ele desconecta até alguém entrar de novo. Ative o modo unattended pelo ícone da bandeja (Preferences, depois Run unattended) ou rode tailscale set --unattended=true no PowerShell. A conta do Windows que ativar o modo passa a ser dona da configuração do Tailscale naquele PC.

Meu PC sumiu da tailnet depois de meses sem mudança nenhuma. O que aconteceu?

A causa mais comum é a expiração da chave do dispositivo. Em tailnets novas, o prazo padrão é de 180 dias, e quando a chave expira sem nova autenticação as conexões param. Faça login no Tailscale de novo nesse PC. Para uma máquina fixa num lugar que você controla, um administrador pode usar Disable Key Expiry na página Machines do console de administração.

Como vejo se o adaptador do Tailscale está como rede Privada?

Rode Get-NetConnectionProfile no PowerShell e procure o perfil do adaptador do Tailscale. O campo NetworkCategory mostra a categoria. Se não for Private, siga a lista de correções do Tailscale para a mensagem "Windows network configuration failed". Como opção do lado do Windows, Set-NetConnectionProfile -NetworkCategory Private muda a categoria de um perfil específico, num PowerShell aberto como administrador.

Por que o ping pelo Tailscale não responde no Windows?

O Firewall do Windows costuma bloquear ICMP, o protocolo do ping. Confirme com tailscale ping --tsmp nome-do-pc, que não passa pela pilha de rede do sistema: se ele responde e o ping comum não, o bloqueio está no firewall. Liste as regras com Get-NetFirewallRule -DisplayName "*ICMPv4*" e ative só a regra de eco de entrada com Enable-NetFirewallRule -DisplayName e o nome exato. Nunca rode Enable-NetFirewallRule sem parâmetros, porque isso ativa todas as regras do firewall.

Dá para acessar um Windows Home pela Área de Trabalho Remota via Tailscale?

Não como destino. A Microsoft documenta que as edições Home não podem receber conexões de Área de Trabalho Remota. Pro, Enterprise, Education e Windows Server podem. O Windows Home ainda serve como cliente, por exemplo para você se conectar de um notebook com Home a um PC com Windows Pro.