Tailscale auf dem Raspberry Pi – VPN ohne Portfreigabe

Passende Hardware im Überblick

Boards – Tailscale läuft auf jedem Pi:
Raspberry Pi 5 mit 8GB RAM – die Empfehlung für den Heimserver (Link)*
Raspberry Pi 5 mit 16GB RAM – wenn noch viele Dienste dazukommen (Link)*
Raspberry Pi 5 mit 4GB RAM – reicht für Router-Aufgaben locker (Link)*
Raspberry Pi 4 Starter-Set – der günstige Einstieg (Link)*
Raspberry Pi Zero 2 W – genügt als reiner Zugangspunkt (Link)*
db-tronic Pi-5-Komplettset mit Gehäuse, Kühler und Netzteil (Link)*

Speicher – ein Dauerläufer will keine müde Karte:
SanDisk Extreme A2 128GB – die solide Speicherkarte (Link)*
Geekworm X1001 M.2-HAT für den Pi 5 (Link)*
Intenso M.2 NVMe SSD 500GB – günstig und ausreichend (Link)*
Crucial P310 NVMe SSD 500GB – die schnellere Wahl (Link)*

Strom, Netzwerk und Gehäuse für den Rund-um-die-Uhr-Betrieb:
Offizielles 27-W-Netzteil für den Pi 5 (Link)*
Geekworm X1200 USV – damit der Zugang den Stromausfall überlebt (Link)*
Waveshare PoE-HAT für den Netzwerkschrank (Link)*
Passives Alu-Gehäuse – lautlos und wartungsfrei (Link)*
Offizielles Gehäuse für den Zero 2 W (Link)*

Kurz gesagt: Was bringt Tailscale auf dem Raspberry Pi?

Tailscale auf dem Raspberry Pi ist der bequemste Weg, von unterwegs ins eigene Heimnetz zu kommen – ganz ohne Portfreigabe, ohne feste IP-Adresse und ohne DynDNS. Die Kurzfassung:

• Installation in einer Zeile: curl -fsSL https://tailscale.com/install.sh | sh, danach sudo tailscale up und die angezeigte Adresse im Browser bestätigen. Angemeldet wird sich über einen bestehenden Zugang, etwa Google, Microsoft, GitHub oder Apple.
• Keine Portfreigabe nötig: Alle Geräte bauen ausgehende Verbindungen auf. Deshalb funktioniert das auch hinter DS-Lite, CGNAT, im Hotel-WLAN oder im Mobilfunknetz – überall dort, wo eine Portfreigabe gar nicht möglich wäre.
• Technik darunter ist WireGuard: Verschlüsselung und Datentransport übernimmt das bewährte WireGuard-Protokoll. Tailscale kümmert sich nur um Schlüsselverteilung, Anmeldung und Verbindungsaufbau.
• Ein Pi öffnet das ganze Heimnetz: Als Subnet-Router gibt der Pi den kompletten Adressbereich des Heimnetzes frei – Drucker, NAS und Router werden erreichbar, ohne auf jedem Gerät etwas zu installieren.
• Als Exit-Node leitet der Pi den gesamten Internetverkehr eines Notebooks oder Handys über den heimischen Anschluss – praktisch im offenen WLAN und im Ausland.
• Kostenlos für den privaten Gebrauch: Der Personal-Tarif deckt Subnet-Router, Exit-Nodes, MagicDNS und Funnel ab und reicht für ein Zuhause bequem aus.

Was Tailscale auf dem Raspberry Pi leistet – WireGuard-Mesh ohne Portfreigabe

Klassische VPN-Lösungen funktionieren nach dem Muster Einwahl: Es gibt einen Server mit öffentlicher Adresse und einen offenen Port, und alle Clients verbinden sich dorthin. Genau daran scheitert es heute reihenweise, weil viele Anschlüsse gar keine eigene öffentliche IPv4-Adresse mehr bekommen. Bei DS-Lite und bei Mobilfunkverträgen teilen sich viele Kunden eine Adresse – eine Portfreigabe geht ins Leere.

Tailscale dreht das Prinzip um. Es gibt keinen zentralen Einwahlserver, sondern ein Mesh: Jedes Gerät kann mit jedem anderen direkt sprechen. Dafür meldet sich jedes Gerät bei einem Koordinationsserver an und hinterlegt dort seinen öffentlichen Schlüssel und die Adressen, unter denen es gerade erreichbar ist. Der Koordinationsserver verteilt diese Angaben an die übrigen Geräte des eigenen Netzes, das bei Tailscale Tailnet heißt.

Anschließend senden beide Seiten gleichzeitig ausgehende UDP-Pakete zueinander. Weil jede Firewall ausgehende Verbindungen erlaubt und die passende Rückrichtung kurzzeitig offen hält, entsteht ein direkter Tunnel – dieses Verfahren nennt sich Hole Punching. Kein Port muss geöffnet werden, kein DynDNS-Dienst ist im Spiel. Jedes Gerät bekommt zusätzlich eine feste Adresse aus dem Bereich 100.64.0.0/10, die sich nie ändert, egal in welchem Netz das Gerät gerade hängt.

Klappt der direkte Weg einmal nicht – etwa bei besonders strengen Firmen-Firewalls oder doppeltem NAT –, schaltet sich automatisch ein Relay-Server dazwischen. Der sieht allerdings nur verschlüsselte Pakete, weil die WireGuard-Verschlüsselung durchgehend zwischen den Endgeräten besteht. Ob eine Verbindung direkt oder über ein Relay läuft, verrät tailscale status.

Tailscale auf dem Raspberry Pi installieren – Schritt für Schritt

1. System aktualisieren: Ein aktuelles 64-Bit-Raspberry-Pi-OS (Bookworm oder Trixie) genügt, die Lite-Variante reicht völlig. Vorher einmal aktualisieren mit sudo apt update && sudo apt full-upgrade.
2. Konto anlegen: Auf tailscale.com registrieren. Ein eigenes Passwort wird nicht vergeben – die Anmeldung läuft über einen bestehenden Zugang bei Google, Microsoft, GitHub, Apple oder per Passkey.
3. Installieren: curl -fsSL https://tailscale.com/install.sh | sh – das offizielle Skript erkennt Raspberry Pi OS, bindet das Paketdepot ein und installiert den Dienst. Spätere Aktualisierungen kommen dann ganz normal über apt mit.
4. Anmelden: sudo tailscale up ausführen. Im Terminal erscheint eine Adresse; im Browser geöffnet und bestätigt, taucht der Pi Sekunden später in der Geräteliste auf. Das funktioniert auch über SSH, weil die Adresse einfach kopiert werden kann.
5. Adresse prüfen: tailscale ip -4 zeigt die neue 100er-Adresse des Pi, tailscale status listet alle Geräte des Tailnets samt Verbindungsart.
6. Zweites Gerät hinzufügen: Auf Handy oder Notebook die Tailscale-App installieren und mit demselben Zugang anmelden. Beide Geräte sehen sich sofort, ohne dass am Router irgendetwas geändert wird.
7. Verbindung testen: tailscale ping raspberrypi zeigt an, ob die Verbindung direkt zustande kommt oder über ein Relay läuft. Direkt ist der Normalfall und deutlich schneller.
8. Schlüsselablauf abschalten: Geräteschlüssel laufen standardmäßig nach 180 Tagen ab. Für einen Dauerläufer in der Admin-Konsole beim Pi Disable key expiry setzen – sonst fällt er irgendwann kommentarlos aus dem Netz.

Subnet-Router und Exit-Node einrichten

Bis hierher ist nur der Pi selbst erreichbar. Damit das komplette Heimnetz aus der Ferne zugänglich wird, übernimmt er die Rolle eines Subnet-Routers. Voraussetzung ist die IP-Weiterleitung im Kernel, die auf Raspberry Pi OS ab Werk aus ist:

echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf

Danach meldet der Pi seinen Adressbereich an – bei einer FRITZ!Box üblicherweise so: sudo tailscale set --advertise-routes=192.168.178.0/24. Der zweite, gern übersehene Schritt: In der Admin-Konsole muss die Route unter Edit route settings ausdrücklich freigegeben werden. Erst dann erreichen die anderen Geräte Drucker, NAS, Router-Oberfläche und alles Weitere im Heimnetz, ohne dass dort irgendetwas installiert wird.

Der Exit-Node ist die zweite Rolle. Er leitet nicht nur einzelne Adressbereiche, sondern den gesamten Internetverkehr eines Geräts über den heimischen Anschluss – etwa im offenen Hotel-WLAN oder im Urlaub. Aktiviert wird er mit sudo tailscale set --advertise-exit-node und muss ebenfalls in der Admin-Konsole freigegeben werden. Auf dem Client heißt der Befehl sudo tailscale set --exit-node=100.x.y.z; mit dem Zusatz --exit-node-allow-lan-access=true bleibt gleichzeitig das Netz am aktuellen Standort erreichbar, etwa der Drucker im Büro. Abgeschaltet wird mit sudo tailscale set --exit-node= ohne Angabe.

Beim Tempo gilt eine einfache Faustregel: Der Flaschenhals ist praktisch immer der Upload der heimischen Leitung, nicht der Pi. Ein Pi 5 verschlüsselt WireGuard-Verkehr deutlich schneller, als ein typischer DSL- oder Kabelanschluss nach oben liefert.

MagicDNS, Tailscale SSH und Freigaben für andere

MagicDNS nimmt einem das Merken der 100er-Adressen ab. Jedes Gerät bekommt automatisch einen Namen nach dem Muster geraetename.tailnet-name.ts.net; im eigenen Tailnet genügt der kurze Name. Bei allen neueren Konten ist die Funktion von Haus aus aktiv. Als angenehme Nebenwirkung lassen sich damit über tailscale cert echte HTTPS-Zertifikate ausstellen, und tailscale serve stellt eine lokale Weboberfläche verschlüsselt im Tailnet bereit – etwa die von Home Assistant oder Nextcloud.

Tailscale SSH geht noch einen Schritt weiter: Mit sudo tailscale set --ssh übernimmt Tailscale die Anmeldung am Pi. Statt Schlüsseldateien zu verteilen, entscheidet die Identität im Tailnet über den Zugang – der klassische SSH-Port muss nach außen nirgends offen sein. Im kostenlosen Tarif ist diese Funktion für eine kleine Zahl an Hosts enthalten, was für ein Zuhause meist genügt.

Für Freigaben an andere Personen gibt es die Sharing-Funktion: Ein einzelnes Gerät wird per Einladung an eine fremde Adresse geteilt, und die Empfängerin sieht ausschließlich dieses Gerät, nicht das restliche Netz. Geteilte Geräte stehen zudem unter Quarantäne – sie dürfen auf Anfragen antworten, aber selbst keine Verbindungen in das fremde Netz aufbauen. Ein Exit-Node lässt sich mitteilen, freigegebene Subnetz-Routen dagegen nicht: Die bleiben immer im eigenen Tailnet. Praktisch ist das etwa, um Verwandten den Zugriff auf einen Medienserver zu geben, ohne ihnen das halbe Heimnetz zu öffnen.

Tailscale, WireGuard, ZeroTier und Cloudflare Tunnel im Vergleich

Die Auswahl fällt leichter, wenn man die Frage anders stellt: Wer nur eine Weboberfläche auch Fremden zeigen möchte, ist mit einem Cloudflare Tunnel besser bedient. Wer sein eigenes Netz von überall so nutzen will, als säße er zu Hause, nimmt Tailscale. Und wer einen Anschluss mit echter öffentlicher IPv4-Adresse hat und niemandem außer sich selbst vertrauen möchte, baut WireGuard von Hand – dann allerdings mit spürbar mehr Aufwand bei jedem neuen Gerät.

Datenschutz, kostenlose Grenzen und Headscale als eigene Steuerung

Der wichtigste Punkt beim Datenschutz ist die Trennung zwischen Steuerung und Verkehr. Der Koordinationsserver in der Cloud kennt Metadaten: öffentliche Schlüssel, Gerätenamen, Betriebssysteme, die aktuell benutzten öffentlichen Adressen und wer wann online ist. Die eigentlichen Nutzdaten laufen dagegen direkt zwischen den Geräten und sind durchgehend WireGuard-verschlüsselt – auch dann, wenn ein Relay sie weiterreicht. Der Anbieter kann diese Inhalte nicht lesen.

Ein theoretisches Restrisiko bleibt: Wer die Steuerung kontrolliert, könnte einem Netz ein zusätzliches Gerät unterschieben. Genau dagegen gibt es Tailnet Lock – dann müssen neue Geräteschlüssel von bereits vertrauenswürdigen Geräten signiert werden, und ein untergeschobener Schlüssel bliebe wirkungslos. Wer sich mit dem Thema beschäftigt, sollte den Pi ohnehin generell absichern.

Beim Preis ist die Lage entspannt: Der kostenlose Personal-Tarif ist auf private Nutzung ausgelegt, erlaubt mehrere Nutzer und persönliche Geräte und enthält Subnet-Router, Exit-Nodes, MagicDNS, Funnel sowie Zugriffsregeln und Tailscale SSH in einem für ein Zuhause ausreichenden Umfang. Erst gewerbliche Nutzung, viele markierte Server-Ressourcen oder feingliedrige Rechteverwaltung führen in einen Bezahltarif.

Wem selbst die Steuerung in fremder Hand zu viel ist, greift zu Headscale – einem quelloffenen Nachbau des Koordinationsservers. Headscale beherrscht heute den Großteil dessen, was man privat braucht: MagicDNS, Subnet-Router, Exit-Nodes, Zugriffsregeln, Tailscale SSH, Dateiübertragung und einen eingebauten Relay-Server; die Anmeldung kann über einen eigenen OpenID-Connect-Anbieter laufen. Ein Haken bleibt aber bestehen: Headscale braucht selbst eine öffentlich erreichbare Adresse. Auf einem Pi hinter DS-Lite läuft es deshalb nicht sinnvoll – dafür ist ein kleiner Mietserver nötig. Wer nur die eigene Portfreigabe umgehen möchte, verschiebt das Problem damit nur.

Typische Fehler und Stolpersteine

• IP-Weiterleitung nicht aktiviert: Der häufigste Fehler überhaupt. Subnet-Router und Exit-Node melden zwar eine Warnung beim Start, verwerfen aber sonst kommentarlos alle Pakete. Die drei sysctl-Zeilen aus dem Abschnitt oben lösen das dauerhaft.
• Routen nicht freigegeben: --advertise-routes ist nur ein Angebot. Ohne die Bestätigung in der Admin-Konsole passiert nichts, und die Fehlersuche auf dem Pi bleibt ergebnislos.
• Schlüssel abgelaufen: Nach 180 Tagen fällt ein Gerät ohne Vorwarnung aus dem Netz – ausgerechnet dann, wenn man aus der Ferne darauf zugreifen will. Für den Pi zu Hause gehört Disable key expiry zur Grundeinrichtung.
• Doppelter Adressbereich: Wenn das Heimnetz und das Hotel-WLAN beide 192.168.178.0/24 benutzen, weiß das Notebook nicht mehr, wohin. Abhilfe schafft ein ungewöhnlicher Adressbereich zu Hause, etwa 192.168.42.0/24.
• Verbindung läuft nur über ein Relay: Zeigt tailscale status dauerhaft relay, blockiert meist eine Firewall den ausgehenden UDP-Verkehr oder es liegt doppeltes NAT vor. tailscale netcheck zeigt, woran es hakt.
• DNS-Konflikt mit dem Werbeblocker: MagicDNS setzt einen eigenen Resolver. Wer Pi-hole auch unterwegs nutzen will, trägt dessen Tailscale-Adresse in den DNS-Einstellungen des Tailnets ein und aktiviert dort das Überschreiben des lokalen DNS.
• Der Zugang hängt am Strom: Fällt der Pi aus, ist der Fernzugriff weg – und niemand ist vor Ort. Eine kleine USV und ein zweites Gerät im Tailnet, etwa ein alter Zero, sind billige Versicherungen.

Häufige Fragen zu Tailscale auf dem Raspberry Pi

Funktioniert Tailscale hinter DS-Lite und CGNAT?
Ja, und das ist der Hauptgrund für seine Beliebtheit. Weil beide Seiten ausgehende Verbindungen aufbauen und der Koordinationsserver nur vermittelt, ist keine eingehende Erreichbarkeit nötig. Selbst wenn der direkte Weg scheitert, springt ein verschlüsseltes Relay ein.

Brauche ich zusätzlich DynDNS oder eine Portfreigabe?
Nein, beides entfällt vollständig. Jedes Gerät behält seine feste 100er-Adresse, unabhängig davon, in welchem Netz es sich gerade befindet. Die Zwangstrennung des Anschlusses spielt keine Rolle mehr.

Welcher Raspberry Pi reicht dafür aus?
Für den reinen Zugang genügt sogar ein Zero 2 W. Soll der Pi als Exit-Node den kompletten Internetverkehr verschlüsseln, ist ein Pi 4 oder besser ein Pi 5 die vernünftige Wahl – wobei die heimische Leitung meist früher an ihre Grenze kommt als das Board.

Ist Tailscale wirklich dauerhaft kostenlos?
Für den privaten Gebrauch ja. Der Personal-Tarif deckt mehrere Nutzer und die üblichen Haushaltsgeräte ab und enthält alle hier beschriebenen Funktionen. Kostenpflichtig wird es bei gewerblicher Nutzung und bei größeren Umgebungen mit vielen markierten Servern.

Kann der Anbieter meinen Datenverkehr mitlesen?
Nein. Die Inhalte sind zwischen den Endgeräten mit WireGuard verschlüsselt, auch beim Umweg über ein Relay. Sichtbar sind für den Koordinationsserver nur Metadaten wie Gerätenamen, öffentliche Schlüssel und Verbindungszeiten. Wer auch das vermeiden will, betreibt Headscale auf einem eigenen Server.

Was ist der Unterschied zu Raspberry Pi Connect?
Raspberry Pi Connect bringt Bildschirm und Kommandozeile eines einzelnen Pi in den Browser – bequem, aber auf dieses eine Gerät begrenzt. Tailscale baut dagegen ein vollwertiges Netz auf, in dem sich alle Geräte und optional das ganze Heimnetz erreichen lassen.

Wie werde ich Tailscale wieder los?
sudo tailscale down trennt die Verbindung, sudo apt purge tailscale entfernt das Paket. Zusätzlich sollte das Gerät in der Admin-Konsole gelöscht werden, damit es nicht als Karteileiche im Tailnet stehen bleibt.

Fazit

Kaum ein Projekt bringt so viel Nutzen bei so wenig Aufwand wie Tailscale auf dem Raspberry Pi: eine Installationszeile, eine Anmeldung über einen bestehenden Zugang, und der Fernzugriff steht – auch an Anschlüssen, an denen ein klassisches VPN gar nicht erst starten würde. Unsere klare Empfehlung: Richte gleich bei der Erstinstallation den Subnet-Router mit ein und schalte den Schlüsselablauf ab. Beides kostet zwei Minuten und erspart später genau die zwei Situationen, in denen man am wenigsten nachbessern kann – nämlich unterwegs, wenn plötzlich der Drucker fehlt oder der Pi kommentarlos aus dem Netz gefallen ist. Wer maximale Unabhängigkeit sucht, sollte ehrlich rechnen: Headscale verlagert die Steuerung ins eigene Haus, verlangt dafür aber einen öffentlich erreichbaren Server. Für die allermeisten Heimnetze ist der kostenlose Personal-Tarif der bessere Deal, und der von Hand gebaute WireGuard-Tunnel bleibt die Wahl für alle mit echter öffentlicher IP-Adresse und Lust auf Handarbeit.

* = Affiliate Link (raspi-config.de ist Teilnehmer des Partnerprogramms von Amazon EU, das zur Bereitstellung eines Mediums für Websites konzipiert wurde, mittels dessen durch die Platzierung von Werbeanzeigen und Links zu Amazon.de Werbekostenerstattung verdient werden kann.)