Tailscale im Homelab: Fernzugriff ohne Portfreigabe

Das Problem: Der eigene Server ist von unterwegs nicht erreichbar

Ein Homelab läuft zu Hause hinter dem Router. Von innen ist alles erreichbar, von außen nichts – eingehende Verbindungen aus dem Internet lässt der Router standardmäßig nicht durch. Der klassische Weg dagegen ist eine Portfreigabe (auch Portforwarding): Man weist den Router an, Anfragen auf einem bestimmten Port an einen bestimmten Rechner im Heimnetz weiterzureichen. Dazu kommt meist ein DynDNS-Dienst, der die wechselnde öffentliche IP-Adresse des Anschlusses auf einen festen Namen abbildet.

Das funktioniert, hat aber zwei Haken. Erstens öffnet jede Portfreigabe einen Dienst zum ganzen Internet – inklusive automatisierter Scanner, die rund um die Uhr nach angreifbaren Logins suchen. Zweitens gibt es bei vielen Anschlüssen gar keine erreichbare öffentliche IP mehr: Bei DS-Lite oder Carrier-Grade-NAT (CGNAT) teilen sich viele Kunden eine Adresse, eingehende Verbindungen sind damit unmöglich. Portfreigabe fällt dann komplett aus.

Was Tailscale ist

Tailscale ist ein sogenanntes Mesh-VPN – ein virtuelles privates Netzwerk, in dem sich die Geräte möglichst direkt miteinander verbinden statt über einen zentralen Knoten. Technisch setzt es auf WireGuard auf, ein modernes, schlankes VPN-Protokoll. Die Client-Programme für Windows, macOS, Linux, iOS und Android sind quelloffen. Der Koordinationsserver, der die Geräte einander bekannt macht, ist proprietär und wird von Tailscale als Dienst betrieben; die Firma sitzt in Toronto.

Jedes angemeldete Gerät landet im eigenen „Tailnet“ und bekommt dort eine feste IP-Adresse aus dem Bereich 100.64.0.0/10 sowie eine IPv6-Adresse. Diese Adresse bleibt gleich, egal ob das Gerät zu Hause, im Büro oder im Mobilfunknetz hängt. Du erreichst deinen Heimserver also immer unter derselben Nummer.

Warum das ohne Portfreigabe funktioniert

Der Kern: Alle Tailscale-Clients bauen ausschließlich ausgehende Verbindungen auf – nach außen, so wie ein Browser eine Webseite lädt. Ausgehende Verbindungen lässt jeder Router ohne Konfiguration zu. Es ist keine Portfreigabe nötig, keine statische öffentliche IP und kein DynDNS. Das gilt auch hinter DS-Lite und CGNAT.

Damit sich zwei Geräte, die beide hinter einem Router sitzen, trotzdem direkt erreichen, nutzt Tailscale ein Verfahren namens NAT-Traversal per „Hole Punching“: Beide Seiten melden sich beim Koordinationsserver, tauschen über ihn ihre Adressinformationen aus und schießen dann gleichzeitig ein Loch in ihre jeweilige Firewall. Der Koordinationsserver vermittelt dabei nur – die eigentlichen Nutzdaten laufen nie über ihn.

Wenn eine direkte Verbindung nicht klappt

Manche Netzwerke lassen Hole Punching nicht zu. Für diesen Fall betreibt Tailscale sogenannte DERP-Relays: Server, die den Datenverkehr verschlüsselt weiterreichen, über TCP-Port 443, also wie normales HTTPS. Diese Relays sehen nur verschlüsselten Datensalat – die Ende-zu-Ende-Verschlüsselung von WireGuard bleibt erhalten, Tailscale kann den Inhalt nicht mitlesen.

Jede Verbindung startet zunächst über ein Relay und wird dann, sobald es geht, auf eine direkte Verbindung zwischen den beiden Geräten „hochgestuft“. Die verbreitete Sorge „alles läuft über Tailscale-Server, also ist es langsam“ trifft in den meisten Fällen also nicht zu. Seit Ende 2025 gibt es zusätzlich „Peer Relays“: einen eigenen Relay-Knoten im eigenen Netz (etwa auf einem NAS oder einem kleinen Server), der statt der HTTPS-Kapselung natives WireGuard über UDP nutzt und dadurch mehr Durchsatz bei weniger Latenz bietet. Zwei Peer-Relays pro Tailnet sind in allen Plänen kostenlos; nötig ist ein Client ab Version 1.86. Ob diese Funktion inzwischen offiziell fertig oder noch als Beta geführt wird, ist nicht eindeutig belegt.

Für die Firewall reicht: UDP-Port 41641 ausgehend (ideal für direkte Verbindungen) sowie TCP/UDP 443. Kein eingehender Port.

Tailscale im Homelab einrichten

Tailscale bringt fertige Pakete für die meisten Homelab-Plattformen mit: Synology (DSM), QNAP, Unraid, Docker, Home Assistant, OpenWRT/GL.iNet, pfSense/OPNsense, Proxmox (auf dem Host oder in einem LXC, also einem leichtgewichtigen Linux-Container) sowie Raspberry Pi. Auf einem gewöhnlichen Linux-Server ist es ein Paket aus dem Repository und ein tailscale up.

Zwei Dinge zur Synology-NAS (Network Attached Storage, ein Speicher, der am Netzwerk hängt): Der eingehende Zugriff auf die NAS selbst klappt mit dem offiziellen Paket unter DSM 7 sofort. Will man umgekehrt aus anderen NAS-Apps über Tailscale nach außen, bremst die DSM-7-Sandbox das standardmäßig aus. Und weil das Synology-Paketzentrum nur etwa quartalsweise aktualisiert, bietet Tailscale unter pkgs.tailscale.com eigene, aktuellere DSM-Pakete an.

Praktisch beim Zugriff ist MagicDNS: Damit bekommt jedes Gerät einen merkbaren Namen wie nas.tailnet-name.ts.net. Für diese Namen lassen sich automatisch HTTPS-Zertifikate von Let’s Encrypt ausstellen – auch im kostenlosen Plan.

Unsere Empfehlung

Synology DiskStation DS224+ 2 Bay Dekstop NAS
Eine Zwei-Bay-NAS von Synology ist ein typisches Ziel für den Fernzugriff ohne Portfreigabe, um den es in diesem Artikel geht. Preis: 409,90 € (Stand 04.09.2026).

Preis prüfen *

Nützliche Zusatzfunktionen

• Tailscale Serve stellt einen Webdienst unter einer sauberen HTTPS-Adresse bereit – aber nur innerhalb des Tailnets. Das ist ein privater Reverse-Proxy, also ein Vermittler, der Anfragen an den eigentlichen Dienst weiterreicht. Tailscale Funnel macht denselben Dienst öffentlich aus dem Internet erreichbar, beschränkt auf die Ports 443, 8443 und 10000, nur per TLS (verschlüsselt) und mit einem festen, nicht einstellbaren Bandbreitenlimit.
• Tailscale SSH erlaubt SSH-Zugriff (Fernwartung per Kommandozeile) ohne eigene Schlüsselverwaltung; wer worauf darf, regelt eine zentrale Richtlinie. Sitzungen lassen sich optional mitschneiden.
• Subnet-Router machen ein ganzes Heimnetz-Segment erreichbar, ohne auf jedem Gerät einen Client zu installieren. Exit-Nodes leiten den kompletten Internetverkehr eines Geräts über einen anderen Knoten – etwa über den Heimanschluss, wenn du in einem fremden WLAN sitzt.
• Schlüssel-Ablauf: Geräteschlüssel laufen standardmäßig nach 180 Tagen ab und müssen dann neu bestätigt werden (1 bis 180 Tage einstellbar). Für Dauerläufer wie einen Heimserver oder Subnet-Router schaltet man das pro Gerät ab („Disable key expiry“).

Was kostet das?

Für ein privates Homelab: nichts. Der kostenlose „Personal“-Plan ist ausdrücklich für nicht-kommerzielle Nutzung gedacht, und Privatgebrauch zählt dazu. Seit dem 8. April 2026 („Pricing v4″) umfasst er bis zu 6 Nutzer und unbegrenzt viele „user devices“. Neu als Grenzen dazugekommen sind maximal 50 „tagged resources“, 3 ACL-Gruppen (Regelgruppen für Zugriffsrechte) und 1.000 ephemere Resource-Minuten pro Monat (für kurzlebige, automatisch wieder entfernte Geräte). Ob die 50er-Grenze im Homelab stört, hängt davon ab, ob man Server als getaggte Ressourcen oder als normale Nutzergeräte führt – für die meisten dürfte es keine Rolle spielen. Der frühere Richtwert „3 Nutzer / 100 Geräte“ ist damit überholt; ebenso das Ende 2024 eingeführte kostenpflichtige „Personal Plus“, das mit Pricing v4 wieder abgeschafft wurde.

Die bezahlten Pläne heißen seit April 2026 Standard (8 USD pro Nutzer und Monat) und Premium (18 USD), dazu Enterprise auf Anfrage – für den Heimgebrauch normalerweise nicht nötig. Wer Exit-Nodes bei einem kommerziellen VPN-Anbieter nutzen will, kann das Mullvad-Add-on für 5 USD/Monat (5 Geräte) dazubuchen.

Tailscale selbst hosten? Und die Alternativen

Ein verbreiteter Irrtum ist, Tailscale sei komplett quelloffen und selbst hostbar. Die Clients ja – der Koordinationsserver nicht. Wer den nicht in fremder Hand haben will, nutzt Headscale, eine quelloffene Nachbildung des Koordinationsservers zum Selbsthosten. Das bringt volle Datenhoheit, dafür mehr Einrichtungs- und Wartungsaufwand.

WireGuard pur (mit Helfern wie wg-easy) ist die schlankste Variante, verlangt aber wieder einen erreichbaren Endpunkt mit offenem Port – genau das, was man mit Tailscale vermeiden wollte. NetBird ist Tailscale sehr ähnlich und wird oft genannt, wenn die Control-Plane selbst gehostet werden soll. Cloudflare Tunnel geht einen anderen Weg: Es veröffentlicht einzelne Dienste über Cloudflare, auf der Zugriffsseite braucht es keinen Client.

Sicherheit im Blick behalten

Der Zugriff im Tailnet wird über eine zentrale Richtliniendatei geregelt (ACL, also eine Zugriffsliste). Wer nichts konfiguriert, bei dem darf zunächst jedes eigene Gerät jedes andere erreichen. Für ein Homelab lohnt es sich, das einzuschränken: etwa dass das Handy nur an die NAS und an Home Assistant darf, nicht an alles. Geräte lassen sich dafür mit Tags gruppieren; die neuere „grants“-Syntax ergänzt oder ersetzt die alten „acls“-Blöcke.

Zwei weitere Bausteine: „Tailnet Lock“ verlangt, dass neue Geräte von bereits vertrauten Geräten signiert werden – selbst ein kompromittierter Koordinationsserver könnte dann kein fremdes Gerät ins Netz schmuggeln. Und mit Node-Sharing gibst du einzelne Geräte für Freunde oder Familie frei, ohne sie ins eigene Tailnet aufzunehmen.

Fazit

Für den Fernzugriff aufs Homelab ist Tailscale der bequemste Weg, der ganz ohne Portfreigabe, feste IP und DynDNS auskommt – und der auch hinter DS-Lite funktioniert, wo klassisches Portforwarding scheitert. Man tauscht dafür ein Stück Unabhängigkeit gegen Komfort: Der Koordinationsserver liegt bei einem Anbieter. Wer das nicht möchte, hat mit Headscale oder NetBird quelloffene Wege zum Selberhosten. Für den Anfang reicht der kostenlose Plan vollständig aus.