Tailscale VPS Installatiegids: Zero-Config Veilige Toegang

Tailscale maakt een mesh VPN aan tussen al uw apparaten — VPS, laptop, telefoon, thuisserver. Geen poort doorsturen, geen firewallregels, gewoon veilige toegang overal.

Wat is Tailscale?

Tailscale is een zero-config VPN gebouwd op WireGuard:

• Mesh netwerk — Elk apparaat verbindt direct met elk ander
• Geen centrale server — Verkeer gaat apparaat-naar-apparaat
• Doorbreken van NAT — Werkt achter firewalls/CGNAT
• SSO-integratie — Gebruik Google/Microsoft/GitHub login
• Gratis tier — 100 apparaten, 3 gebruikers

Zie het als een privé-internet voor uw apparaten.

Waarom Tailscale Gebruiken op VPS?

Zonder Tailscale

Uw laptop → Internet → VPS (poort 22 open, blootgesteld aan aanvallen)

Met Tailscale

Uw laptop → Tailscale netwerk → VPS (geen open poorten, versleuteld)

Voordelen:

• Sluit poort 22 voor het internet
• Toegang tot VPS van overal zonder IP-whitelisting
• Verbind VPS met thuisnetwerk resources
• Deel toegang veilig met teamleden

Aan de Slag

Stap 1: Maak een Tailscale Account aan

1. Ga naar tailscale.com
2. Meld u aan met Google/Microsoft/GitHub
3. U krijgt een uniek tailnet (zoals uwnaam.ts.net)

Stap 2: Installeer op Uw Computer

macOS:

brew install tailscale
tailscale up

Linux:

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up

Windows: Download van tailscale.com/download

Na het uitvoeren van tailscale up, autoriseer in de browser.

Stap 3: Installeer op VPS

SSH naar uw VPS normaal (één laatste keer via openbaar IP):

ssh root@your-vps-ip

# Installeer Tailscale
curl -fsSL https://tailscale.com/install.sh | sh

# Start en authenticeer
sudo tailscale up

U krijgt een URL om te autoriseren — open deze in de browser.

Stap 4: Verbind via Tailscale

Uw VPS heeft nu een Tailscale IP (zoals 100.x.x.x):

# Vind het Tailscale IP van uw VPS
tailscale ip -4

# Vanaf uw laptop, SSH via Tailscale
ssh root@100.x.x.x

Werkt overal vandaan — koffieshop, hotel, telefoon hotspot.

Beveilig Uw VPS

Nu Tailscale werkt, sluit openbare SSH (onderdeel van goede VPS beveiligingspraktijk):

# Op uw VPS (via Tailscale verbinding!)
sudo ufw deny 22/tcp

# Of verwijder de regel helemaal
sudo ufw delete allow 22/tcp

# Controleer
sudo ufw status

Poort 22 is nu gesloten voor het internet. Alleen Tailscale verbindingen werken.

Gebruik MagicDNS

Schakel MagicDNS in via de Tailscale beheerconsole voor vriendelijke namen:

# In plaats van:
ssh root@100.64.0.2

# Gebruik:
ssh root@my-vps
# of
ssh root@my-vps.yourname.ts.net

Veel makkelijker te onthouden.

Exit Node: Verkeer Routeren via VPS

Maak uw VPS een VPN exit node:

# Op VPS
sudo tailscale up --advertise-exit-node

Goedkeuren in beheerconsole, dan op uw laptop:

# Routeer al het verkeer via VPS
tailscale up --exit-node=my-vps

# Stop met gebruik van exit node
tailscale up --exit-node=

Nu loopt al uw internetverkeer via uw VPS IP. Nuttig voor:

• Omzeilen van geo-beperkingen
• Consistent IP voor diensten met whitelisting
• Privacy op openbare WiFi

Subnet Router: Toegang tot Thuisnetwerk

Toegang tot uw thuis LAN vanuit VPS (of andersom):

# Op thuisserver
sudo tailscale up --advertise-routes=192.168.1.0/24

Goedkeuren van routes in beheerconsole. Nu kan uw VPS 192.168.1.x apparaten bereiken.

Gebruiksscenario’s:

• VPS toegang tot thuis NAS
• Thuisautomatisering van overal
• Back-up VPS naar thuisopslag

SSH Configuratie

Voeg toe aan ~/.ssh/config voor gemak:

Host vps
    HostName my-vps.yourname.ts.net
    User root

Host vps-direct
    HostName 100.64.0.2
    User root

Nu gewoon: ssh vps

Tailscale + Docker

Voor Docker containers om Tailscale te gebruiken:

Optie 1: Host Netwerk

Container gebruikt de Tailscale van de host:

services:
  app:
    network_mode: host

Optie 2: Tailscale Sidecar

Container krijgt zijn eigen Tailscale identiteit:

services:
  tailscale:
    image: tailscale/tailscale
    hostname: my-service
    environment:
      - TS_AUTHKEY=tskey-xxxxx
      - TS_STATE_DIR=/var/lib/tailscale
    volumes:
      - tailscale-state:/var/lib/tailscale
    cap_add:
      - NET_ADMIN
      - SYS_MODULE

  app:
    network_mode: service:tailscale
    depends_on:
      - tailscale

volumes:
  tailscale-state:

Genereer een auth sleutel in beheerconsole → Instellingen → Sleutels.

Tailscale SSH

Tailscale kan SSH-authenticatie volledig afhandelen:

# Op VPS
sudo tailscale up --ssh

Nu werkt SSH met Tailscale authenticatie — geen SSH-sleutels nodig:

ssh my-vps
# Authenticeert via Tailscale identiteit

Configureer machtigingen in beheerconsole → Toegangscontroles.

Toegang Delen met Team

ACL Voorbeeld

{
  "acls": [
    {
      "action": "accept",
      "src": ["group:devs"],
      "dst": ["tag:servers:*"]
    }
  ],
  "tagOwners": {
    "tag:servers": ["admin@company.com"]
  },
  "groups": {
    "group:devs": ["dev1@company.com", "dev2@company.com"]
  }
}

Tag uw VPS:

sudo tailscale up --advertise-tags=tag:servers

Nu heeft alleen group:devs toegang tot getagde servers.

Funnel: Diensten Openbaar Beschikbaar Maken

Tailscale Funnel stelt diensten beschikbaar op het internet via het netwerk van Tailscale:

# Maak lokale poort 8080 openbaar beschikbaar
tailscale funnel 8080

U krijgt een URL zoals https://my-vps.yourname.ts.net/

Voordelen:

• Geen poort doorsturen nodig
• Automatische HTTPS
• Werkt achter CGNAT

Nadelen:

• Verkeer loopt via Tailscale
• Beperkte bandbreedte op gratis tier
• Alleen HTTPS (poorten 443, 8443, 10000)

Beste VPS voor Tailscale

Tailscale zelf is lichtgewicht (<50MB RAM), maar uw workloads variëren:

Provider	Plan	Prijs	Beste Voor
Hetzner	CX11	€3,79/mnd	Alleen exit node
Hostinger	KVM1	$4,99/mnd	Algemeen gebruik
Vultr	VC2	$6/mnd	Meerdere regio’s

Voor exit nodes op meerdere locaties zijn de 32 regio’s van Vultr ideaal.

Monitoring & Probleemoplossing

Controleer Status

tailscale status
# Toont alle apparaten in uw tailnet

tailscale netcheck
# Test connectiviteit, DERP relays, etc.

tailscale ping my-vps
# Directe connectiviteitstest

Veelvoorkomende Problemen

Kan niet verbinden na herstart:

sudo systemctl enable tailscaled
sudo systemctl start tailscaled
sudo tailscale up

Verkeer gaat via relay (traag):

# Controleer of directe verbinding mogelijk is
tailscale ping -c 5 my-vps
# "via DERP" betekent via relay, "pong from" betekent direct

Directe verbinding vereist:

• UDP poort 41641 uitgaand (meestal open)
• Of beide apparaten op hetzelfde netwerk

Apparaat offline in beheerconsole:

# Op het apparaat
tailscale status
sudo tailscale up

Geavanceerd: Headscale (Zelf-Gehost)

Wilt u de coördinatieserver van Tailscale niet gebruiken? Voer Headscale uit:

docker run -d \
  -p 8080:8080 \
  -v headscale-data:/var/lib/headscale \
  headscale/headscale

Verbind dan clients:

tailscale up --login-server=https://your-headscale-server

Afwegingen:

• Volledige controle
• Geen Tailscale account nodig
• Maar: Geen MagicDNS, Funnel of beheerconsole

Voor de meeste gebruikers is de gratis tier van Tailscale voldoende.

Beveiligingsbest Practices

1. Gebruik ACL’s

Gebruik niet de standaard “alles toestaan”. Definieer expliciete machtigingen:

{"acls": [{"action": "accept", "src": ["*"], "dst": ["*:22,443"]}]}

2. Schakel Sleutelverloop In

Stel in de beheerconsole een vervaldatum voor apparaatsleutels in (bijv. 90 dagen). Dwingt herauthenticatie af.

3. Gebruik Tags

Tag servers en gebruik op tags gebaseerde ACL’s. Eenvoudiger te beheren dan individuele apparaten.

4. MFA op SSO

Uw Tailscale account erft SSO-beveiliging. Schakel MFA in op Google/GitHub.

5. Auditlogboeken

Schakel auditlogboeken in via de beheerconsole. Bekijk toegangspatronen.

Veelgestelde Vragen

Is Tailscale gratis?

Ja, de gratis tier omvat 100 apparaten en 3 gebruikers. Ruim voldoende voor persoonlijk gebruik.

Is Tailscale veilig?

Ja. WireGuard-versleuteling, end-to-end. Tailscale kan uw verkeer niet zien (alleen coördinatie).

Vertraagt Tailscale verbindingen?

Meestal niet — directe verbindingen hebben WireGuard-snelheid. Verbindingen via relay (DERP) zijn langzamer maar zeldzaam.

Kan ik Tailscale en gewone SSH gebruiken?

Ja. Houd poort 22 open voor noodtoegang, of gebruik Tailscale exclusief.

Tailscale vs WireGuard?

Tailscale gebruikt WireGuard als basis. Tailscale voegt toe: zero-config, SSO, ACL’s, NAT-doorvoer.

Samenvatting

Tailscale transformeert VPS-toegang:

Ervoor	Erna
Poort 22 open voor internet	Geen open poorten
IP-whitelist beheer	Toegang van overal
SSH-sleutels overal	SSO-authenticatie
Complexe VPN-installatie	Installatie met één commando

Installatie duurt 5 minuten. Sluit poort 22 voor altijd.

Snel starten:

# Op VPS
curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up

# Sluit openbare SSH
sudo ufw deny 22/tcp

Dat is het. Veilige VPS-toegang van overal.