Tailscale 入門マニュアル

インターネットの通信は、データを小さな小包（パケット）に分けて送る仕組みです。小包には必ず「宛先」と「送り元」が書かれています。この住所にあたるのが IP アドレスです。

• ルーター ── 家の中（LAN）とインターネット（WAN）の境目に立つ機械です。家の中の機器が外へ出るときは、必ずここを通ります
• ポート番号 ── 1台の機器の中で、どのアプリ宛てかを区別する「部屋番号」です。Web は 443 番、リモートデスクトップは 3389 番、のように決まっています
• DNS ── 「example.com」のような名前を IP アドレスに引き直す電話帳です。人は名前で覚え、機械は番号でつなぎます

グローバル IP が家に1つしかないのに、家の中の何台もの機器が同時にインターネットを使えるのは、ルーターが NAT（アドレス変換）をしているからです。

これまでは、この壁に穴をあける方法として次のようなものが使われてきました。

• ポート開放（ポートフォワーディング） ── ルーターの表に「この番号に来たらこの機器へ」と手で書き足す方法。ただし穴は世界中に向けて開くので、攻撃の的にもなります
• そもそも開けられない回線も多い ── スマホのモバイル回線や一部の光回線では、通信会社の側でもう一段 NAT がかかっています（CGNAT）。v6プラスなどの「IPv4 over IPv6」方式では、使えるポートが限られていたり、ポート開放ができなかったりします
• VPN サーバーを立てる ── 家にVPNの入口を作る方法。安全ですが、結局ポート開放や設定の手間が要ります

VPN（仮想プライベートネットワーク）は、インターネットの上に暗号化した「専用の通り道（トンネル）」を作り、離れた機器どうしを同じ家の中にいるかのようにつなぐ技術です。会社の VPN を使ったことがある人も多いでしょう。

従来型の VPN は、全員が中央の VPN サーバー（ハブ）につながる形でした。相手がすぐ隣にいても、通信はいったんハブまで行って戻ってきます。ハブが混めば全員が遅くなり、ハブが止まれば全員が止まります。

Tailscale の要点は、「つなぎ方を決める仕事」と「データを運ぶ仕事」を分けたことです。前者を Tailscale 社のサーバーが、後者を各端末が担当します。

• コーディネーションサーバー ── tailnet の「名簿係」です。どの端末が参加していて、それぞれの公開鍵と連絡先は何かを管理し、各端末に配ります。データ本体はここを通りません。このサーバーが一時的に止まっても、すでにつながっている端末どうしは通信を続けられます
• WireGuard の鍵 ── 端末はそれぞれ自分で鍵のペアを作り、秘密鍵は端末から外へ出しません。サーバーに渡るのは公開鍵だけなので、Tailscale 社にも通信の中身は読めません
• 100.x.y.z のアドレス ── 各端末には 100.64.0.0/10 の範囲から固定のアドレスが配られます。Wi-Fi からモバイル回線に切り替わっても、この番号は変わりません
• MagicDNS ── 端末の名前（例：my-nas）だけでつながるようにする機能です。新しく作った tailnet では最初から有効です

NAT を越えて直接つながるまで

第二章で見たとおり、ふつうは外からの通信は NAT で捨てられます。Tailscale は、両側から同時に「出ていく」通信を送り合うことで、それぞれのルーターの対応表に行を作らせ、直接の道を開きます（NAT トラバーサル、いわゆる「穴あけ」）。

「自分の端末どうしを、どこにいても安全につなぐ」が基本です。よくある使い方を並べます。

逆に、不特定多数に公開する Web サイトの配信は本来の用途ではありません（そのための「Funnel」という機能はあります）。また、会社の PC に入れる場合は、必ず社内のルールと情報システム部門の許可を確認してください。

• アカウント ── Tailscale には独自のパスワードがありません。Google・Microsoft・GitHub・Apple のアカウント（または OIDC）でログインします。どれで作ったかは後で大切になるので、覚えておきましょう
• 同じアカウントでそろえる ── 自分の端末は、すべて同じアカウントでログインします。別のアカウントで入ると、別の tailnet になってしまいます
• 2台以上 ── つなぐ相手が要るので、最低2台に入れます。この記事では「自宅の Windows PC」と「Mac・スマホ」を例にします

ダウンロード先は次のとおりです（すべて公式）。執筆時点の最新版は 1.102.4 でした。

アカウントは、最初の1台にアプリを入れてログインした時点で自動的にできます。先にブラウザーで作っておくこともできます（login.tailscale.com/start）。

会社のドメインのメールアドレスで登録すると、組織向けの Enterprise プランの14日間トライアルになります。個人で試すなら、Gmail などの個人アカウントを使いましょう。

まずは「つながれる側」になる自宅の Windows PC から。

Mac 版には入手方法が3つあり、公式のおすすめは Tailscale のサイトから入れるスタンドアロン版です。App Store の審査を待たずに更新が届き、機能の制限もありません。手軽さを取るなら Mac App Store 版でもかまいません。

ログインが済むと、メニューバーのアイコンから接続のオン・オフや端末の一覧が使えます。2026年3月からは、記事の冒頭の写真のようなウインドウ表示も正式に使えるようになりました。MacBook のノッチ（画面上部の切り欠き）の裏にメニューバーのアイコンが隠れてしまっても、ウインドウから操作できます。

App Store 版を入れた場合は、手順 02〜03 の代わりに「VPN 構成の追加を許可」するだけで済みます。なお、スクリーンタイムの Web フィルターと App Store 版がぶつかることがあると公式に案内されています。

スマホの「VPN」はいつも1つしか使えません。ほかの VPN アプリ（会社の VPN や広告ブロックアプリなど）を使うと、Tailscale は切れます。

ブラウザーで管理画面（Admin console の Machines）を開くと、tailnet に参加した端末が一覧できます。ここがすべての設定の拠点です。

• ADDRESSES ── 各端末の 100 で始まるアドレス。右の「∨」から MagicDNS 名と一緒にコピーできます
• LAST SEEN ── 緑の「Connected」ならオンライン。オフラインなら最後に見えた時刻が出ます
• Add device ── 新しい端末用のダウンロード先を、OS ごとに案内してくれます

端末に分かりやすい名前を付ける

端末名は OS のホスト名から自動で付きます（「desktop-7k2…」など）。行の右端の「…」→Edit machine name で変えておくと、後で名前でつなぐときに楽です。

常時つなぐ端末は、鍵の期限を外す

安全のため、各端末の鍵には期限があり（新しい tailnet では180日）、切れると再ログインが必要です。外出先から使う自宅 PC が期限切れになると、家に帰るまで入れません。こうした端末は「…」→Disable key expiry で期限を外しておきます。

① まずは疎通を確認する

Windows ならコマンドプロンプトか PowerShell で、Mac はアプリの設定から CLI を入れるとターミナルで、次のコマンドが使えます。

# 参加している端末の一覧（アドレス・名前・OS・状態）
tailscale status

# Tailscale 経由で相手に届くか、直結か中継かを確かめる
tailscale ping my-nas
pong from my-nas (100.88.4.5) via 203.0.113.9:41641 in 9ms   ← 直結
pong from my-nas (100.88.4.5) via DERP(tok) in 38ms         ← 中継

表示は一例です。「via DERP」のままでも通信はできます。何度か試すうちに直結に切り替わることもあります。

② 名前でつなぐ（MagicDNS）

ブラウザーやアプリでは、IP アドレスの代わりに端末名をそのまま使えます。NAS の管理画面なら、アドレス欄に http://my-nas:5000 のように入れるだけです。

③ 外から自宅の Windows PC を操作する（リモートデスクトップ）

ルーターのポート開放は一切不要です。リモートデスクトップの 3389 番ポートは、インターネットには一度も開きません。

④ 自分の端末どうしでファイルを送る（Taildrop）

Taildrop はまだアルファ版の機能で、最初に管理画面の Settings → General で「Send Files」をオンにします。Mac は加えて、システム設定 → 一般 → ログイン項目と機能拡張 → 共有で Tailscale をオンにします。

• 送る ── Mac：Finder で右クリック →「共有」→ Tailscale ／ Windows：右クリック →「Send with Tailscale」／ iPhone・Android：共有ボタン → Tailscale
• 受け取る ── Mac と Windows は「ダウンロード」フォルダーへ。iPhone・Android は通知から開きます
• 制限 ── 送れるのは自分の端末どうしだけです（同じ tailnet でも他人の端末へは送れません）

⑤ 外出先の通信を自宅経由にする（出口ノード）

出口ノード使用中は、家の回線の速さがそのまま上限になります。外出先のプリンターなど手元の機器も使いたいときは「Allow local network access」をオンにします。

• 使わなくなった端末は削除 ── 売却・紛失した端末は、管理画面の「…」→Remove。その端末の鍵はすぐに無効になります
• Tailscale 社に止められたら？ ── コーディネーションサーバーが止まっても、つながっている端末どうしは通信を続けられます。ただし新しい接続や設定の変更はできません
• 自前で全部やりたい人へ ── コーディネーションサーバーを自分で動かすオープンソースの互換実装（Headscale）もあります。ただし運用の手間は自分持ちです