Tailscale（テイルスケール）は、カナダのソフトウェア企業であるTailscale Inc.が開発・運営する、WireGuardを基盤としたメッシュ型仮想プライベートネットワークおよびゼロトラスト型ネットワーク接続サービスである。 端末、サーバー、仮想マシン、コンテナなどにクライアントを導入し、インターネット上に「tailnet」と呼ばれる暗号化されたオーバーレイネットワークを形成する。利用者や端末の認証には外部のアイデンティティプロバイダを利用し、接続元のユーザー、グループ、端末、タグなどに基づいたアクセス制御を行う。 一般的な消費者向けVPNサービスのように、通信元の匿名化や地理的位置の変更を主目的とするものではなく、個人または組織が所有する端末やサービスを安全に相互接続することを主な用途としている。
歴史 Tailscale Inc.は2019年、元Google技術者のエイブリー・ペナルン（Avery Pennarun）、デイヴィッド・クロウショー（David Crawshaw）、デイヴィッド・カーニー（David Carney）によって、カナダのトロントで設立された。 社名の「Tailscale」は、大規模サービスを意味する「Internet-scale」と対照的に、多数存在する小規模な問題、すなわち「ロングテール」の問題を解決するという考えから名付けられたとされる。 2020年3月、コマンドラインクライアントのソースコードが公開され、同年4月には300万米ドルのシード資金調達とともにサービスの正式提供が発表された。 2020年11月にはAccelを中心としたシリーズAで1,200万米ドルを調達した。2022年5月にはCRVおよびInsight Partnersが主導するシリーズBで1億米ドルを調達した。 2025年4月にはAccelが主導するシリーズCで1億6,000万米ドルを調達し、企業評価額は約15億米ドルと報じられた。
仕組み コントロールプレーンとデータプレーン Tailscaleのシステムは、端末情報や公開鍵、ネットワークポリシーを管理する「コントロールプレーン」と、実際の利用者データを転送する「データプレーン」に分離されている。 コントロールプレーンでは、Tailscaleのコーディネーションサーバーが端末の公開鍵、接続先候補、アクセス制御ポリシーなどを各クライアントへ配布する。一方、利用者の通信データは原則としてコーディネーションサーバーを通過せず、各端末間に構築されたWireGuardトンネルを通じて送受信される。 ユーザー認証はTailscale自身が提供する独自アカウントではなく、Google、、GitHub、Oktaなどの外部アイデンティティプロバイダへ委任できる。
NATトラバーサルとDERP 端末間の接続では、NATトラバーサルを利用して、可能な限り端末同士の直接的なピアツーピア接続を確立する。多くの場合、ルーターでの手動のポート開放は必要ない。 ファイアウォールやNATの構成により直接接続できない場合は、「DERP（Designated Encrypted Relay for Packets）」と呼ばれる中継サーバーを経由する。DERPサーバーが扱うのはWireGuardによって暗号化済みのパケットであり、通信内容を復号するための秘密鍵は保持しない。
IPアドレスと名前解決 各端末には、既定でRFC 6598に規定されたキャリアグレードNAT用アドレス範囲「100.64.0.0/10」から、安定したIPv4アドレスが割り当てられる。IPv6にも対応しており、端末にはTailscale固有のユニークローカルアドレスが割り当てられる。 「MagicDNS」を有効にすると、IPアドレスを直接入力せず、端末名またはtailnet内の完全修飾ドメイン名を使用して接続できる。
アクセス制御 Tailscaleでは、ユーザー、グループ、端末、タグ、IPアドレス、ポートおよびアプリケーション機能などを基準として、接続権限を定義できる。 アクセス制御には、従来のアクセス制御リスト（ACL）と、ネットワーク層およびアプリケーション層の権限を統合した「Grants」が存在する。Tailscaleは新規設定ではGrantsの利用を推奨している。 ポリシー評価自体は明示的に許可されていない通信を拒否する方式であるが、新しく作成されたtailnetの初期ポリシーでは、同一tailnet内の端末間通信が広く許可されている場合がある。
主な機能 サブネットルーター サブネットルーターは、Tailscaleクライアントを直接導入できないプリンター、監視カメラ、データベース、クラウド上のプライベートネットワークなどへのゲートウェイとして動作する。これにより、物理LANやクラウドのVPC全体をtailnetへ接続できる。
Exit Node 「Exit Node」は、特定のtailnet端末をインターネット接続用の出口として使用する機能である。クライアントの通常のインターネット通信を指定した端末経由で送信でき、外出先から自宅や組織のネットワークを経由して通信する用途などに利用される。
Tailscale SSH 「Tailscale SSH」は、tailnet内のSSH接続について、ユーザー認証と接続許可をTailscaleのアイデンティティおよびアクセス制御ポリシーで管理する機能である。公開鍵の手動配布を減らせるほか、再認証やセッション記録にも対応する。
ServeとFunnel 「Tailscale Serve」は、端末上で動作しているWebアプリケーションなどをtailnet内の他端末へ公開する機能である。 「Tailscale Funnel」は、ローカルサービスをtailnet外の一般インターネットへ公開する機能であり、受信ポートの開放や独自のリバースプロキシーを用意せずに公開URLを構成できる。
Taildrop 「Taildrop」は、tailnetに参加している個人所有端末間でファイルを転送する機能である。ファイルは利用可能な最適経路を通じて、暗号化されたピアツーピア通信で転送される。2026年1月時点ではアルファ版として提供されている。
セキュリティ Tailscaleクライアントは、端末上でWireGuard用の公開鍵と秘密鍵を生成する。秘密鍵は端末外へ送信されず、コントロールプレーンへ渡されるのは公開鍵のみである。このため、Tailscale Inc.やDERPサーバーは、端末間の通常の通信内容を復号できないとしている。 一方、コントロールプレーンは端末の公開鍵、接続先候補、ユーザーおよび端末情報、ネットワークポリシーなどの調整用メタデータを処理する。 「Tailnet Lock」を有効にすると、新たな端末の公開鍵をtailnetへ追加する際に、利用者が管理する署名鍵による承認を必須にできる。これはコントロールプレーンが侵害された場合でも、未承認の端末がネットワークへ追加されることを防止するための機能である。
オープンソース Tailscaleの主要なクライアントコード、デーモンである「tailscaled」、コマンドラインツールなどはGitHub上で公開され、主としてBSD 3-Clauseライセンスで提供されている。 LinuxおよびAndroid向けクライアントはユーザーインターフェースを含めて公開されている一方、Windows、macOS、iOSなどプロプライエタリOS向けクライアントの一部ユーザーインターフェースや、Tailscale Inc.が運営するコントロールプレーンは完全には公開されていない。 コミュニティーによって、Tailscaleクライアントと互換性のあるセルフホスト型コントロールサーバー「Headscale」も開発されている。
対応プラットフォーム 公式クライアントは主に以下のプラットフォームで提供されている。 Windows macOS Linux Android iOSおよびtvOS FreeBSDおよびOpenBSD（対応範囲に制限がある） SynologyおよびQNAPのNAS Docker Kubernetes
制約 Tailscaleのコントロールプレーンが利用できなくなった場合でも、既に確立されている端末間接続やキャッシュ済みのポリシーは継続して利用できる。一方、新しい接続の確立、鍵の変更、端末の追加、ポリシーの更新などは、コントロールプレーンが復旧するまで行えない場合がある。 また、Tailscaleが既定で使用する100.64.0.0/10のアドレス範囲を、インターネットサービスプロバイダー、既存の社内ネットワーク、または別のVPN製品も使用している場合、経路の競合が発生する可能性がある。
関連項目 WireGuard Virtual Private Network オーバーレイネットワーク Software Defined Networking Network Address Translation LogMeIn Hamachi Headscale
出典
外部リンク Tailscale公式ウェブサイト Tailscale公式ドキュメント Tailscale公式GitHubリポジトリ セキュリティ情報 Headscale公式ドキュメント