Tailscale (VPN) Erfahrungsaustausch

Nachdem ich von WireGuard auf der FritzBox und wg-Tunnel als Android-App angetan war, wollte ich mal was neues ausprobieren.

Ich legte mir bei Tailscale einen Acccount an, mein Google-Account reichte.

Auf Home Assistant habe ich das AdsOn laufen und es als Subnet-Router konfiguriert, damit ich von außen Zugriff wie von zu hause habe.
Da ich 2 FritzBoxen untereinander per WireGuard verbunden habe, benötige ich 2 Routen, in der Regel benötigt man nur eine (unten im Bild).

Im der Admin-Konsole (Internerbrowser) habe ich unter dem Reiter "DNS" und Nameserver die IPv4 und IPv6 meines AdGuards eingetragen, alternativ gehört dort die IP der FritzBox rein.
Im der Search-Domain "Fritz.Box".
Magic DNS (weiter unten) habe ich aktiviert. Das ist, damit man Clients per Namen und nicht per IP ansprechen muss.

Ich habe die App auf Windows und ein paar Androidgeräten laufen.
Bei Android stellt man in den Systemeinstellungen unter VPN für Tailscale ein, dass es immer aktiv ist, damit es auch bei Systemstart startet.

Alternativ ist es z.B. per Automate steuerbar, der andere Befehl ist Analog mit "DISCONNECT" anstelle von "CONNECT" zu verwenden:

In der App oben, wo "Exit Node: none" steht, "Allow LAN Access" anwählen, damit, wenn man im Heimnetz ist, der Verkehr direkt läuft (zumindest verstehe ich es so).

Weiter in der App oben rechts auf die Einstellungen (Avatar):
- DNS Settings: Use Tailscale DNS
- Subnet Routing: Use Tailscale Subnets
Mehr war es im der App glaube ich nicht.

Setzt man sich einen vServer mit Linux auf oder auch nur so eine Linuxmaschine, kann man hier auch Tailscale installieren und ser einfach seinem Account hinzufügen. Ich habe leider gerade kein Beispiel, aber da ich es hinbekommen habe, ist es sehr einfach und das Wichtigste ist, dass es möglich ist. Aus der Erinnerung bekommt man einen Link in Linux angezeigt, den man per Browser aufruft und seinen Account bestätigt, mehr war es nicht.

Was mich am meisten gewurmt hat ist, dass die FritzBox so keine Telefonie über FritzApp Fon zulässt, da sich die IPs von Tailscale in einem für die FritzBox umbekannten bereich finden. Hier geht man in die FritzBox. Unter dem Punkt nach ganz unten, "weitere Einstellungen" aufklappen und weiter nach unten zu "Tabelle für statische Routen" und eine IPv4-Route anlegen:

Netzwerk und Subnetzmaske müssen so übernommen werden, um alle möglichen IPs von Tailscale abzudecken.
Bei Gateway wird die IP des Subnet-Routers, bei mir Home Assistant, eingetragen:

Damit müsste man bei der Konfiguration gut dabei sein. Vielleicht hat noch weitere Tips, anonsten viel Spaß bei der Umsetzung.

Alternativ kann man Headscale selbst hosten, was mit der Tailscale-App laufen soll.

Nachteil von Tailscale ist, dass es etwas langamer als reines WireGuard sein soll.

Vorteile:
App installieren, am Account anmelden, fertig - der neue Client ist sofort nutzbar.

DNS Verwaltung Zentral über die Admin-Konsole

IP Adressen für den Heimnetzbereich müssen nicht einzeln pro Client angepasst werden.

Keinerlei Portfreigaben nötig.

Kein DynDNS oder sonstiges nötig, sollte also auch dem DualStack-Lite Problem (war es das?) entgegenwirken.

MeinwNachteil von Tailscale ist, dass es etwas langamer als reines WireGuard sein soll.

Vorteile:

App installieren, am Account anmelden, fertig - der neue Client ist sofort nutzbar.

DNS Verwaltung Zentral über die Admin-Konsole

IP Adressen für den Heimnetzbereich muss nicht einzeln pro Client angepasst werden.

Keinerlei Portfreigaben nötig.

Kein DynDNS oder sonstiges nötig, sollte also auch dem DualStack-Lite Problem (war es das?) entgegenwirken.

Meiner Meinung nach erheblich robuster. Das heißt, bei schlechtem mobilen Internet erfolgt die Neuverbindung wesentlich schneller. Ich kann es nicht belegen, habe es jedoch mit den Kindern wie folgt getestet:
Fahrt zur Oma rund 1 Stunde.
Zuvor häufig mit WireGuard. Beim Test mit Tailscale waren die Beschwerden, dass das Internet nicht geht nicht so häufig und nicht so lang.

Da würde dann Headscale greifen, was man dann aber selbst einrichten muss.

Wo ich noch am gucken bin ist, ob es mit der Telefonie wirklich stabil läuft. Ein RTP-Proxy könnte helfen, wenn man z.B. Zoiper verwendet, aber den einzurichten ist wohl nicht ganz einfach.