Является ли Tailscale VPN и что он скрывает

Является ли Tailscale VPN? Краткий ответ

Является ли Tailscale VPN? Технически — да. Tailscale создает туннели WireGuard между вашими устройствами, и каждый пакет, проходящий через такой туннель, шифруется сквозным образом. В том смысле, который большинство людей вкладывает в этот вопрос, — нет. По умолчанию Tailscale не скрывает ваш публичный IP-адрес от веб-сайтов и не направляет ваш интернет-трафик через сторонние серверы. Администратор отельного Wi-Fi по-прежнему будет видеть, какие сайты вы посещаете. Tailscale передает трафик только между вашими собственными машинами. Чтобы получить функциональность коммерческого VPN для обеспечения приватности, нужно добавить exit node — это изменит то, что скрывается и от кого.

В остальной части этого руководства мы разделим два значения термина «VPN», а затем для каждой конфигурации укажем, кто и что может видеть. Если ваш реальный вопрос звучит как «скроет ли это меня», ответ зависит от того, от кого именно вы скрываетесь. Поэтому для каждой конфигурации ниже указаны стороны, от которых она вас защищает, и стороны, от которых она вас не защищает.

Два значения термина "VPN"

У этого термина есть два значения, и ответ на заголовок зависит от того, какое из них вы имеете в виду.

Первоначальное значение — виртуальная частная сеть: частная сеть, построенная поверх публичной. Офис компании и ноутбук удаленного сотрудника работают так, будто они соединены одним кабелем, хотя пакеты передаются через интернет. Цель здесь — доступность и шифрование между участниками. В этой модели никто не пытается скрыться от посещаемых веб-сайтов.

Потребительское значение — это продукт для обеспечения конфиденциальности. Вы устанавливаете приложение и выбираете страну. Весь ваш интернет-трафик начинает идти через сервер провайдера. Веб-сайты видят адрес провайдера, а ваш ISP (интернет-провайдер) видит только зашифрованный поток данных к этому серверу. Цель — скрыть ваш IP от сайтов, а направления вашего трафика — от сторон на вашем локальном пути. Ваш ISP по-прежнему знает ваш адрес, так как именно он его вам назначил.

Tailscale относится к первому типу. Это mesh VPN: каждое устройство в вашей tailnet (частной сети, которую Tailscale строит для вас) получает стабильный частный адрес в диапазоне 100.64.0.0/10 и взаимодействует с другими устройствами через туннель WireGuard — напрямую, если сеть это позволяет, или через зашифрованный ретранслятор, если нет. В статье Что такое Tailscale и как взаимодействуют координационный сервер и ретрансляторы эта архитектура описана подробно, поэтому данное руководство не будет её повторять. Важен лишь один факт: по умолчанию трафик в публичный интернет никогда не попадает в туннель. В него направляется только трафик, адресованный другим устройствам в вашей tailnet.

Что скрывает Tailscale и от кого

Честный ответ — это список сторон, а не просто «да» или «нет». Каждый пункт ниже сначала описывает поведение по умолчанию, а затем изменения при использовании exit node.

Трафик между вашими устройствами

Скрыт от всех на пути следования. Когда ваш ноутбук обращается к VPS по адресу в tailnet, пакеты шифруются протоколом WireGuard на одном устройстве и расшифровываются на другом. Wi-Fi в отеле и ваш провайдер видят только UDP-поток между двумя адресами. Серверы Tailscale не владеют ключами для расшифровки этого трафика. Каждый закрытый ключ генерируется на устройстве и никогда не покидает его, поэтому аудит безопасности Tailscale рассматривает координационный сервер как справочник, а не как посредника. Эта защита активна с момента установки Tailscale. Дополнительная настройка не требуется.

Ваш публичный IP, видимый веб-сайтам

По умолчанию не скрыт. Откройте браузер и перейдите на любой сайт. Запрос покидает ноутбук через обычный сетевой интерфейс, поэтому сайт видит публичный IP сети, к которой вы подключены. Tailscale не участвует в этом процессе, так как пункт назначения не является адресом в tailnet. При включенном exit node сайт видит публичный IP этого узла. Ваш провайдер в любом случае знает ваш адрес, так как он его выдал; exit node скрывает от провайдера не то, кто вы, а то, куда направляется ваш трафик.

Ваши пункты назначения, видимые провайдеру или локальному Wi-Fi

По умолчанию не скрыты. Провайдер или оператор сети в кафе видит IP-адрес каждого сайта, к которому вы подключаетесь, и обычно имя хоста, так как рукопожатие TLS (transport layer security) передает его в открытом виде. Tailscale не влияет на этот трафик, так как он не проходит через туннель. При использовании exit node локальная сеть видит только один зашифрованный UDP-поток к exit node. Возможность видеть пункты назначения переходит от локальной сети к владельцу сервера, на котором запущен exit node.

Гео-разблокировка

По умолчанию не работает, с exit node — работает частично. Стриминговые сервисы проверяют страну вашего публичного IP. Exit node на VPS дает вам страну расположения VPS, что помогает, но вы получаете IP дата-центра. Стриминговые сервисы покупают списки диапазонов IP-адресов дата-центров и часто блокируют их, так как почти никто не смотрит телевидение из дата-центра. Exit node в вашем доме, на обычном интернет-канале, — это конфигурация, которая обычно проходит такие проверки и соответствует модели доступности, для которой создавался Tailscale.

Что видит сам Tailscale

Метаданные, но никогда не сам трафик. Координационный сервер знает, какие устройства входят в ваш tailnet, их публичные ключи, текущие конечные точки и время последнего подключения. Он не видит содержимое туннеля и не знает, какие сайты вы посещаете. Когда два устройства не могут соединиться напрямую, зашифрованные байты передаются через ретранслятор, но ретранслятор не может их расшифровать. Именно эта часть архитектуры делает возможным бесплатный тариф, о чем подробнее сказано ниже.

Как работает путь через exit node

Exit node — это устройство в вашей tailnet, которое берет на себя пересылку трафика в публичный интернет от имени других узлов. Когда вы выбираете его на своем ноутбуке, Tailscale устанавливает маршрут по умолчанию через туннель. В результате каждый пакет, не предназначенный для вашей локальной сети (LAN), сначала отправляется на exit node, а тот пересылает его в интернет со своего собственного IP-адреса. В этот момент Tailscale работает как коммерческий VPN, с той лишь разницей, что сервер на другом конце принадлежит вам.

Настройка на Linux VPS состоит из двух этапов. На VPS включите IP forwarding, а затем анонсируйте узел. Документация Tailscale по exit node рекомендует выполнить tailscale up после передачи --advertise-exit-node в tailscale set:

echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf
sudo tailscale set --advertise-exit-node
sudo tailscale up

Затем подтвердите использование exit node в панели управления Tailscale, так как анонсированный маршрут не будет задействован, пока администратор его не одобрит. На ноутбуке выведите список доступных в вашей tailnet exit node и выберите одну из них. После этого проверьте, какой узел активен:

tailscale exit-node list
sudo tailscale set --exit-node=my-vps
tailscale status

Чтобы убедиться, что маршрут работает, посетите сайт для проверки IP в браузере и сравните отображаемый адрес с публичным IP вашего VPS. Чтобы прекратить использование exit node, передайте пустое значение: sudo tailscale set --exit-node=. Если вам по-прежнему нужно обращаться к принтеру или NAS в локальной сети при активном exit node, добавьте --exit-node-allow-lan-access=true, иначе маршрут по умолчанию будет отправлять эти пакеты на exit node.

Это весь механизм работы. Руководство по запуску Tailscale exit node на VPS охватывает вопросы настройки межсетевого экрана, квоты пропускной способности провайдера, поведение DNS и причины снижения скорости передачи данных, поэтому начните с него, когда будете разворачивать решение для реальных задач.

Почему Tailscale бесплатен и что это значит

Персональный тариф Tailscale бесплатен, и его ограничения реальны, а не являются пробным периодом: бесплатный тариф покрывает небольшое количество пользователей и гораздо больше устройств, чем нужно для домашнего использования. Причина, по которой он может быть бесплатным, та же, по которой это не сервис для обеспечения приватности. Коммерческий VPN-сервис оплачивает серверы, через которые проходит весь ваш трафик, поэтому каждый пользователь ежедневно обходится провайдеру в стоимость полосы пропускания. Tailscale почти не передает ваш трафик. Прямые соединения устанавливаются между устройствами, а реле передают зашифрованные пакеты только в том случае, если прямой путь недоступен. Стоимость обслуживания одного персонального пользователя для Tailscale близка к нулю, а доход компания получает от команд, которые платят за функции контроля доступа и аудита.

Для вас это имеет последствия. Нет никакой толпы других пользователей, разделяющих с вами выходной IP-адрес, и нет компании, обещающей не логировать ваш просмотр страниц, потому что Tailscale вообще не видит, что вы просматриваете. Если вы хотите, чтобы исходящий трафик выходил не с ваших собственных машин, Tailscale продает доступ к серверам Mullvad в качестве платного дополнения (по состоянию на октябрь 2026 года), что превращает продукт в гибрид: Tailscale для mesh-сети и Mullvad для выхода в интернет. Это единственная конфигурация, в которой Tailscale напоминает потребительский VPN, если вы не настраиваете выходной узел самостоятельно.

Модели угроз: от чего защищает каждая конфигурация

Модель угроз — это четкое описание того, от кого вы скрываетесь и что именно они могут увидеть. Каждая из приведенных ниже конфигураций защищает от одних субъектов, но не от других. Выбирайте ту, которая соответствует вашим реальным задачам, а не ту, что кажется наиболее «приватной».

Обычная tailnet без exit node

Защищает от: любого лица на сетевом пути между вашими устройствами, которое может перехватить или изменить трафик. При использовании Wi-Fi в отеле SSH-подключение к вашему VPS по его адресу в tailnet безопасно от соседа по столику, даже если сеть открыта. Вы можете полностью закрыть 22 порт на публичном файрволе VPS.

Не защищает от: обычного веб-серфинга. Сайты видят ваш реальный IP-адрес, а администрация отеля и ваш провайдер видят, какие ресурсы вы посещаете. Эта конфигурация не обеспечивает приватность в публичном интернете, и не стоит рассматривать её как средство защиты.

Exit node на собственном VPS

Защищает от: отслеживания ваших посещений локальной сетью и провайдером. Они видят только один поток WireGuard до адреса вашего VPS. Сайты видят IP-адрес VPS, а не отеля.

Не защищает от: провайдера VPS. Трафик покидает exit node в том же виде, в котором поступил, поэтому провайдер видит все адреса назначения и имена хостов, а также может прочитать любые данные, передаваемые без TLS. VPS также связан с вами платежными реквизитами, поэтому анонимности нет: IP-адрес, используемый одним человеком, идентифицирует этого человека. IP-адреса дата-центров легко классифицируются, поэтому стриминговые сервисы и некоторые банки относятся к ним с подозрением. Пропускная способность ограничена лимитами вашего VPS и тем, идет ли туннель напрямую или через ретранслятор, что описано в разнице между прямым и ретранслируемым соединением Tailscale.

Exit node дома

Защищает от: тех же рисков в локальной сети и у провайдера, что и в случае с VPS, но с использованием домашнего IP-адреса, который проходит проверки, недоступные для диапазонов дата-центров. Полезно, когда вы путешествуете и хотите, чтобы ваш трафик выходил в сеть из дома.

Не защищает от: вашего домашнего провайдера, который теперь видит весь ваш «путешествующий» трафик. Скорость исходящего соединения дома обычно является узким местом, так как каждый байт, который вы скачиваете за границей, сначала должен быть передан через ваше домашнее соединение.

Выход через Mullvad или коммерческий VPN

Защищает от: тех же рисков в локальной сети и у провайдера, что и в случае с VPS, плюс разрывает связь между IP-адресом выхода и вашим именем, так как один и тот же адрес используют тысячи других клиентов. Это модель угроз, для которой создаются коммерческие VPN для обеспечения приватности.

Не защищает от: самого VPN-провайдера, который находится в том же положении, что и провайдер вашего VPS. Вы доверяете их политике логирования вместо собственного сервера. Это также не защищает от самого веб-сайта, который по-прежнему может идентифицировать вас через cookies и ваши учетные данные.

Когда ничего из этого недостаточно

Если сторона, от которой вы скрываетесь, — это сам веб-сайт или лицо, способное принудить оператора узла выхода выдать записи, ни одна конфигурация VPN не поможет. Это модель угроз, для которой создан Tor, где ни один отдельный ретранслятор не знает одновременно, кто вы и куда направляетесь. Сравнение Tor и VPN определяет эту границу, и это то, что стоит прочитать следующим, если под фразой «скрыть мой IP» вы на самом деле подразумевали «оставаться анонимным».

Когда Tailscale является подходящим инструментом?

Используйте Tailscale, если ваша задача — получить доступ к собственным устройствам: NAS за домашним роутером, VPS, который вы не хотите открывать для доступа из Интернета, Raspberry Pi у родственников или рабочая станция, к которой вы подключаетесь по SSH из любого места. Для таких задач этот инструмент лучше классического VPN-сервера, так как не нужно открывать порты и поддерживать работу центрального сервера, а компромиссы при сравнении с обычным WireGuard в основном сводятся к тому, хотите ли вы управлять ключами вручную. Добавьте exit node на VPS, если вам нужен фиксированный исходящий IP-адрес или необходимо обойти ограничения враждебной локальной сети. Покупайте коммерческий VPN для приватности или используйте Tor, если ваша цель — скрыть свою личность, так как Tailscale не предназначен для решения этой задачи.

FAQ

Скрывает ли Tailscale мой IP-адрес?

По умолчанию — нет. Tailscale передает трафик только между устройствами в вашей собственной tailnet. Веб-сайт, который вы посещаете через браузер, видит публичный IP-адрес сети, в которой вы находитесь, точно так же, как и без Tailscale. Чтобы изменить это, включите exit node. Тогда веб-сайты будут видеть публичный IP-адрес exit node — это адрес вашего VPS или домашнего подключения, в зависимости от того, где запущена нода. Ваш провайдер по-прежнему знает ваш IP, так как он его назначил; exit node лишь скрывает от провайдера список посещаемых вами сайтов.

Можно ли использовать Tailscale вместо VPN в Wi-Fi сети отеля?

Для доступа к собственным машинам — да. Туннель между вашим ноутбуком и VPS или домашним сервером зашифрован сквозным шифрованием, поэтому сеть отеля не может его прочитать. Для обычного веб-серфинга — только если вы включите exit node. Без неё сеть отеля видит каждый посещаемый вами сайт, так же, как если бы Tailscale не был установлен.

Работает ли Tailscale для просмотра Netflix из другой страны?

Обычно нет, если exit node находится на VPS. Exit node действительно предоставляет IP страны, где расположен VPS, но этот адрес принадлежит диапазону дата-центра, а стриминговые сервисы целенаправленно блокируют такие диапазоны. Exit node на домашнем подключении в нужной стране имеет резидентский IP и, как правило, работает. Tailscale не предоставляет собственные exit-серверы для этих целей; единственный список стран в клиенте — это набор exit nodes от Mullvad, доступный в рамках платного дополнения.

Видит ли Tailscale мой трафик?

Нет. Ключи, шифрующие ваш трафик, генерируются на каждом устройстве и никогда не покидают его. Координационный сервер Tailscale распространяет публичные ключи и конечные точки, а его реле пересылают зашифрованные пакеты, если прямое соединение установить не удалось, но никто из них не может расшифровать передаваемые данные. Tailscale хранит только метаданные: какие устройства входят в вашу tailnet и когда они были в сети.

Является ли Tailscale заменой для NordVPN или Mullvad?

Нет. Коммерческий VPN для обеспечения приватности направляет весь ваш трафик через серверы, которые используются тысячами других клиентов, поэтому ваш исходящий IP не привязан лично к вам. Tailscale направляет трафик между вашими собственными устройствами, и даже при использовании exit node это машина, за которую вы платите и которая связана с вами. Эти два продукта решают разные задачи. Tailscale предлагает exit nodes от Mullvad в качестве дополнения для тех, кому нужно совместить оба решения в одном клиенте.