Tailscale без белого IP: как безопасно подключаться к NAS, Home Assistant и домашней сети из интернета

Как работает Tailscale простыми словами

Tailscale создаёт частную сеть, которую называют tailnet. Устройства получают собственные Tailscale IP и могут связываться друг с другом через зашифрованные туннели WireGuard.

При этом NAS не обязательно должен иметь публичный IP-адрес. Телефон тоже может находиться за мобильным NAT. Tailscale пытается установить прямое peer-to-peer соединение между устройствами.

Управляющая инфраструктура Tailscale отвечает за идентификацию устройств, выдачу сетевых параметров и политики доступа. Содержимое обычного peer-to-peer трафика передаётся в зашифрованном виде между узлами.

Почему Tailscale работает без белого IP и за CGNAT

Обычный port forwarding требует, чтобы входящее соединение из интернета дошло до вашего роутера. При CGNAT внешний адрес принадлежит оборудованию провайдера, поэтому вы не можете самостоятельно настроить на нём проброс порта.

Поэтому Tailscale особенно удобен для LTE/5G, дач, квартир и других подключений, где провайдер не выдаёт белый IPv4.

Если сначала нужно понять, есть ли у вас CGNAT: Серый IP и CGNAT: почему не работает удалённый доступ .

Direct connection и DERP: почему скорость бывает разной

Tailscale пытается установить прямое соединение между двумя устройствами. Для обхода NAT используются механизмы NAT traversal.

DERP нужен прежде всего как fallback для сложного NAT, firewall и других условий, при которых peer-to-peer соединение не получилось.

Использование DERP не означает, что содержимое трафика становится открытым для relay-сервера: данные остаются защищены туннелем между узлами.

Самая простая схема: Tailscale на каждом нужном устройстве

Если клиент Tailscale можно установить и на устройство дома, и на удалённое устройство, дополнительная маршрутизация не нужна.

После авторизации устройства появляются в одной tailnet и получают адреса Tailscale.

Когда этот вариант лучший

• нужен доступ к одному NAS;
• нужен SSH или RDP к одному серверу;
• Home Assistant работает на системе, где можно запустить Tailscale;
• не требуется доступ ко всем принтерам, камерам и IoT-сегментам;
• нужно минимизировать количество маршрутов и firewall-правил.

Tailscale для NAS: Synology, QNAP, TrueNAS и Unraid

Tailscale имеет готовые сценарии для популярных NAS. В официальной документации отдельно перечислены Synology, QNAP, TrueNAS SCALE и Unraid.

Что после этого можно открывать

• DSM или другую панель NAS;
• SMB/NFS по задаче;
• SSH;
• веб-приложения NAS;
• фото и домашние сервисы;
• backup targets.

Synology также можно использовать как subnet router, если необходимо через него получать доступ не только к самому NAS, но и к другим устройствам домашней LAN.

Tailscale и Home Assistant

Home Assistant часто нужен снаружи: посмотреть состояние дома, температуру, камеры, протечки или инженерные системы.

Открывать Home Assistant обычным пробросом порта не обязательно. Один из вариантов - добавить его в tailnet.

Для Home Assistant OS существуют community apps/add-ons Tailscale. Они позволяют подключить систему к tailnet и при необходимости рекламировать локальные маршруты.

Что важно

• критичные автоматизации должны продолжать работать без Tailscale и без интернета;
• Tailscale нужен только для удалённого доступа;
• не делайте облачный туннель частью локальной логики света, отопления или протечки;
• сохраняйте backup конфигурации Home Assistant отдельно.

Subnet Router: как открыть доступ ко всей домашней подсети

Не на каждое устройство можно установить Tailscale. Например, IP-камера, принтер, старый NVR или контроллер автоматики может вообще не поддерживать сторонние приложения.

В таком случае один Tailscale-узел можно сделать маршрутизатором до локальной подсети.

Subnet router рекламирует маршруты, например:

192.168.1.0/24
192.168.100.0/24

После административного подтверждения маршрута и настройки политик удалённые Tailscale-клиенты могут обращаться к разрешённым адресам этих подсетей.

Где разместить subnet router

• Linux mini-PC;
• домашний сервер;
• NAS;
• поддерживаемый роутер;
• отдельная VM/LXC по архитектуре.

Exit Node и Subnet Router - это разные функции

Если задача - с телефона открыть NAS дома, exit node обычно не нужен.

Exit node используют, когда конкретное устройство должно отправлять свой обычный интернет-трафик через домашний узел.

Если на tailnet используются собственные Grants, доступ к exit node также должен быть разрешён политикой для autogroup:internet.

MagicDNS: как открывать устройства по имени, а не по IP

Tailscale присваивает устройствам адреса, но запоминать их неудобно. MagicDNS позволяет обращаться к узлам по имени.

Для домашнего сервера это удобно:

nas
homeassistant
proxmox
backup-server

MagicDNS автоматически регистрирует имена tailnet-устройств.

Для локальной DNS-архитектуры: AdGuard Home или Pi-hole: DNS для домашней сети .

Grants: почему нельзя оставлять «всем доступ ко всему»

На небольшой личной tailnet дефолтная политика может быть удобной, но при добавлении членов семьи, работников или нескольких объектов права лучше ограничивать.

В актуальной документации Tailscale для новых политик рекомендуется использовать Grants. Старый ACL syntax продолжает поддерживаться, но новые возможности развиваются прежде всего в Grants.

Принцип хорошей политики:

• телефону владельца - Home Assistant и NAS;
• ноутбуку администратора - серверы и router management;
• члену семьи - только нужные сервисы;
• гостевому пользователю - конкретный shared device;
• не выдавать доступ к CCTV/IoT subnet без необходимости.

Нужно ли открывать порты на роутере

Для обычного использования Tailscale вручную пробрасывать порт NAS, Home Assistant или SSH наружу обычно не требуется.

Tailscale пытается использовать прямые UDP-соединения. При сложном NAT или строгом firewall соединение может уйти через relay.

Поэтому открытие входящего порта "ради Tailscale" и прямой проброс веб-панели NAS - разные вещи. Второе для частной административной панели обычно не требуется.

От чего зависит скорость Tailscale

На реальную скорость влияют:

Если дома тариф 500/100 Мбит/с, удалённое скачивание с NAS не получит 500 Мбит/с: в направлении наружу домашний канал ограничен примерно 100 Мбит/с ещё до накладных расходов.

Практичная архитектура для дома

Пример

Tailnet
├── phone-owner
├── laptop-owner
├── nas
├── homeassistant
└── server-router
    ├── 192.168.20.0/24  Servers
    └── 192.168.30.0/24  CCTV

Не обязательно рекламировать Main, Guest и IoT, если удалённому администратору нужны только серверы и NVR.

Как настроить Tailscale безопасно

• используйте защищённую учётную запись identity provider;
• включите MFA там, где она доступна;
• удаляйте старые и потерянные устройства из tailnet;
• не используйте reusable auth key без реальной необходимости;
• для серверов используйте tags и ограниченные Grants;
• не рекламируйте лишние subnet routes;
• не отключайте firewall NAS и серверов;
• обновляйте Tailscale client;
• не открывайте web-панели наружу параллельно "на всякий случай".

Auth keys

Для автоматического подключения серверов могут использоваться authentication keys. Одноразовый ключ безопаснее многоразового в сценарии, где key нужен только при первоначальном присоединении устройства.

Что проверять, если Tailscale подключился, но сервис не открывается

1. 1

   Проверьте статус устройства

   Оба узла должны отображаться online или корректно достижимыми.

2. 2

   Проверьте Tailscale IP

   Сначала попробуйте доступ по IP, потом разбирайтесь с DNS.

3. 3

   Проверьте сам сервис

   DSM, Home Assistant или SSH должны работать локально на нужном интерфейсе и порту.

4. 4

   Проверьте firewall

   ОС или NAS может блокировать трафик с Tailscale-интерфейса.

5. 5

   Проверьте Grants

   Маршрут может существовать, но policy запрещает соединение.

6. 6

   Для subnet router проверьте route

   Он должен быть advertised и одобрен.

7. 7

   Проверьте пересечение подсетей

   Удалённая сеть 192.168.1.0/24 может конфликтовать с такой же сетью дома.

8. 8

   Проверьте direct/relay

   Если сервис работает медленно, определите реальный путь трафика.

Tailscale, обычный WireGuard или белый IP: что выбрать

Когда я бы выбрал Tailscale

• CGNAT;
• NAS и Home Assistant для личного использования;
• несколько устройств и несколько площадок;
• нет желания поддерживать собственный публичный VPN-server;
• важны удобные identity-based permissions.

Когда обычный WireGuard может быть логичнее

• есть белый IP;
• роутер хорошо поддерживает WireGuard;
• нужен полностью самостоятельный control plane;
• администратор готов вручную вести keys, routes и firewall.

Если внешний адрес не открывается именно из домашней сети: NAT Loopback и Hairpin NAT .

Типичные ошибки при настройке Tailscale