Tailscale op een GL.iNet travel router: installatie en exit nodes

Wat is Tailscale?

Tailscale bouwt een privénetwerk, een zogenoemde tailnet, tussen al je apparaten. Het gebruikt WireGuard voor de versleuteling, maar regelt sleutels, adressen en het opzetten van verbindingen voor je. Apparaten maken uitgaande verbindingen en vinden elkaar via de coördinatieservers van Tailscale. Daardoor werkt het vaak ook als je thuis geen publiek IP-adres hebt of achter CGNAT zit, situaties waarin een eigen VPN-server niet bereikbaar is.

Standaard routeert Tailscale alleen verkeer tussen apparaten in je tailnet. Je gewone internetverkeer gaat dus niet automatisch via thuis. Wil je dat wel, dan gebruik je een exit node.

Welke routers ondersteunen het?

Tailscale zit sinds firmware 4.2 in GL.iNet-routers, maar niet elk model heeft genoeg geheugen. Volgens de officiële lijst van GL.iNet worden onder meer deze travel routers ondersteund:

• GL-E5800 Mudi 7
• GL-BE3600 Slate 7
• GL-MT3000 Beryl AX
• GL-AXT1800 Slate AX
• GL-X3000 Spitz AX en GL-XE3000 Puli AX
• De Brume-modellen GL-MT2500 en GL-MT5000, handig als thuiskant

Niet ondersteund zijn onder meer de GL-E750V2 (Mudi), GL-SFT1200 (Opal), GL-MT300N-V2 (Mango) en de GL-AR300M-serie. Wil je Tailscale gebruiken, controleer dit dan voor je een router kiest; zie ook onze vergelijking.

GL.iNet noemt de functie nog bèta. Verder raadt GL.iNet af om Tailscale tegelijk te gebruiken met een OpenVPN-client, WireGuard-client, ZeroTier of vergelijkbare functies, omdat dat routeringsconflicten kan geven.

Tailscale aanzetten en koppelen

1. Maak een account bij Tailscale en installeer de app op je telefoon of laptop.
2. Ga in het admin panel van je router naar APPLICATIONS > Tailscale, zet de schakelaar aan en klik op Apply.
3. Na korte tijd verschijnt een Device Bind Link. Klik erop, log in bij Tailscale en bevestig de router met Connect.
4. In de Tailscale Admin Console zie je de router nu met een eigen adres in de 100.x.x.x-reeks.

Test de verbinding vanaf een ander apparaat in je tailnet: ping het adres, of open het admin panel van de router via dat adres in je browser. Zo kun je je travel router ook op afstand beheren, bijvoorbeeld als een reisgenoot hulp nodig heeft.

Het netwerk achter de router delen

Advertise LAN Subnets

Met deze optie (in firmware ouder dan 4.9 heette ze Allow Remote Access LAN) kunnen apparaten in je tailnet ook de apparaten achter de router bereiken, bijvoorbeeld een NAS thuis op 192.168.8.110. Na het aanzetten moet je de route goedkeuren: klik in de Admin Console op de drie puntjes bij de router, kies Edit route settings en schakel de subnet-route in.

Advertise WAN Subnets

Deze optie (voorheen Allow Remote Access WAN) deelt het netwerk aan de WAN-kant, dus het netwerk waar de router zelf op aangesloten is. Ook dit moet je goedkeuren in de Admin Console. Gebruik dit met beleid op travel routers: op een hotelnetwerk wil je meestal niet dat dat netwerk via je tailnet bereikbaar is.

Via thuis internetten met een exit node

Een exit node stuurt al het internetverkeer van een ander apparaat door. Volgens GL.iNet werkt dat in de praktijk als een gewone VPN: je verkeer lijkt van de locatie van de exit node te komen. Dat is handig als je onderweg diensten gebruikt die een Nederlandse verbinding verwachten, zoals een bankapp.

Custom Exit Nodes op je travel router

1. Zorg thuis voor een apparaat dat exit node kan zijn, zoals een computer met Tailscale of een tweede GL.iNet-router.
2. Zet op dat apparaat Run exit node aan en keur het in de Admin Console goed als exit node.
3. Keur in de Admin Console ook de subnet-routes van je travel router goed.
4. Ga op de travel router naar APPLICATIONS > Tailscale, zet Custom Exit Nodes aan, klik op vernieuwen en kies het apparaat thuis.

Alle apparaten op je travel router gaan nu via thuis het internet op. Krijgen ze geen verbinding, controleer dan eerst of de subnet-routes van de travel router zijn goedgekeurd. GL.iNet waarschuwt ook dat de verbinding kan wegvallen als de router een DNS-server met een privé-adres gebruikt; stel dan een publieke DNS-server in bij de DNS-instellingen.

Run Exit Node op een GL.iNet-router thuis

Vanaf firmware 4.9 kan een GL.iNet-router zelf exit node zijn. Zet Run Exit Node aan, ga naar de Admin Console, kies Edit route settings en vink Use as exit node aan. GL.iNet raadt aan om bij die router Disable key expiry te kiezen. Tailscale vraagt apparaten namelijk periodiek om opnieuw in te loggen, en een verlopen sleutel op je exit node thuis wil je niet ontdekken als je net op reis bent.

IP Masquerading

Ook vanaf 4.9 is er IP Masquerading. Het verkeer van apparaten achter de router lijkt dan van de router zelf te komen. Je hoeft dan geen subnet-routes in te stellen, en apparaten zonder Tailscale-app, zoals een tv-stick, kunnen toch via het tailnet. Dit is de eenvoudigere manier om een exit node te gebruiken.

Veilig beheren

Tailscale maakt je router bereikbaar vanaf al je eigen apparaten, en dat vraagt wat discipline:

• Houd je Tailscale-account goed beveiligd. Wie toegang heeft tot je account, kan apparaten aan je tailnet toevoegen. Gebruik een sterk wachtwoord en tweestapsverificatie bij de dienst waarmee je inlogt.
• Verwijder apparaten die je kwijt bent direct uit de Admin Console. Een gestolen laptop met een actieve Tailscale-sessie heeft anders nog steeds toegang tot je netwerk.
• Gebruik nog steeds een sterk beheerderswachtwoord op de router. Tailscale vervangt de login van het admin panel niet. Zie gastennetwerk en wachtwoorden.
• Deel alleen de subnets die je echt nodig hebt. Elke goedgekeurde route maakt een stukje netwerk bereikbaar.
• Zet Tailscale uit als je het niet gebruikt. Op een travel router die je alleen af en toe op afstand beheert, scheelt dat ook wat rekenkracht.

Tailscale of een eigen WireGuard-server?

• Tailscale is ideaal als je geen publiek IP hebt, geen poorten wilt openzetten of veel apparaten wilt koppelen. Je bent wel afhankelijk van een externe dienst voor de coördinatie.
• Een eigen WireGuard-server is volledig in eigen beheer, maar vraagt een publiek IP, port forwarding en eventueel DDNS. Zie eigen VPN-server thuis.

Gebruik je Tailscale om onderweg via thuis te internetten, zet dan geen andere VPN-client tegelijk aan. Wil je extra zekerheid tegen lekken, lees dan ook VPN kill switch; let wel op dat de kill switch-opties in het VPN Dashboard bedoeld zijn voor de WireGuard- en OpenVPN-tunnels. Werk je onderweg, kijk dan ook naar thuiswerken vanuit het buitenland.