Tailscale verbindet Geräte mit einem privaten Netzwerk, dem Tailnet. Tailscale Serve kann einen lokalen Webdienst für Geräte in diesem Tailnet veröffentlichen und HTTPS für die Tailnet-Adresse bereitstellen. Das eignet sich, wenn Benutzer und Administratoren den Tailscale-Client auf ihren Geräten installieren können.

Tailscale ist ein externer Dienst. Der Server und jedes Gerät, das einen privaten Dienst verwenden soll, benötigen eine passende Tailscale-Installation und Kontokonfiguration.

Der grundlegende Ablauf ist:

1. Installieren Sie Tailscale auf Server und Clientgeräten.
2. Melden Sie sich beim selben Tailnet an.
3. Binden Sie den lokalen Webdienst möglichst an eine Loopback-Adresse.
4. Veröffentlichen Sie den lokalen HTTP- oder HTTPS-Port mit Tailscale Serve.
5. Beschränken Sie den Zugriff mit Tailnet-ACLs und der eigenen Anwendungsauthentifizierung.
6. Testen Sie den Dienst von einem freigegebenen Client.

Ein typischer Befehl veröffentlicht einen lokalen HTTP-Dienst auf Port 8080:

tailscale serve --bg http://127.0.0.1:8080
tailscale serve status

Syntax und verfügbare Optionen können sich zwischen Tailscale-Versionen ändern. Verwenden Sie die offizielle Dokumentation zu Tailscale Serve für die installierte Version.

Tailscale stellt eine Tailnet-Adresse bereit und kann ein Zertifikat für den Namen *.ts.net verwalten. Dieses Zertifikat gilt für die Tailscale-Adresse. Es stellt kein Zertifikat für Ihre eigene Kundendomain aus und macht den Dienst nicht öffentlich erreichbar.

Tailscale Funnel veröffentlicht einen Dienst im öffentlichen Internet. Das ist ein anderes Zugriffsmodell als Serve:

• Besucher müssen nicht Mitglied Ihres Tailnets sein.
• Tailnet-ACLs bieten Besuchern nicht denselben Schutz.
• Die Anwendung muss eigene Authentifizierung und Autorisierung anbieten.
• Verfügbarkeit, Domains, Ports und Limits hängen vom Tailscale-Dienst ab.

Lesen Sie vor der Aktivierung die offizielle Dokumentation zu Tailscale Funnel.

• Halten Sie den lokalen Serverport für nicht vertrauenswürdige Netzwerkschnittstellen unzugänglich.
• Verwenden Sie Tailnet-ACLs auf Basis von Benutzern, Gruppen und Geräten.
• Betrachten Sie eine Tailnet-Verbindung nicht als Ersatz für Anwendungsberechtigungen.
• Prüfen Sie Gerätefreigaben, Schlüssellaufzeiten und Verfahren zum Entfernen von Benutzern.
• Planen Sie die Abhängigkeit vom Tailscale-Control-Service ein.
• Veröffentlichen Sie Administrationsdienste nicht mit Funnel, wenn keine zusätzliche starke Zugriffsrichtlinie vorhanden ist.

Tailscale Serve eignet sich für interne Administration, Supportzugriff und kleine Benutzergruppen mit verwalteten Geräten. Ein DNS-01-Zertifikat mit Split-DNS eignet sich besser, wenn Benutzer eine normale Kundendomain ohne Clientinstallation verwenden sollen. Ein geschützter öffentlicher Tunnel eignet sich besser, wenn öffentlicher Browserzugriff erforderlich ist.