Tailscaleの使い方｜できることと活用例、安全に使う設定まで

Tailscale（テイルスケール）は、tailnetに参加した端末を、アクセス制御に従ってつなぐ専用のネットワークを作るサービスです。ポートを開けずに、外出先から自宅やVPSの端末につなげます。

この記事では自分の端末だけを登録する構成で、できること・活用方法を広く紹介します。そのうえで、安全に使うための設定と万全ではない点、FXのEAをVPSで動かす場合の注意をまとめます。

安全かどうかは後でしっかり見るよ。まず何者かを整理するね。

Tailscaleは、tailnetに参加した端末を、アクセス制御に従ってつなぐ専用のネットワーク（tailnet）を作るサービスです。この記事では自分の端末だけを登録する構成を扱います。

暗号化の仕組みにはWireGuardを使っていて、接続のためのポート開放やポートフォワードは要りません。

いいよ、全体を街にたとえてみるね。

インターネットは、だれでも通れる大通りです。ポートを開けたリモートデスクトップは、鍵のかかった玄関が大通りに面している状態にあたります。鍵はかかっていても、知らない人がそこまで来て、次々と合鍵を試せてしまいます。

Tailscaleは、自分の端末だけが通れる会員制の通路でつなぐ道具です。玄関を大通りに出さずに、外出先から自宅やVPSへ行き来できます。

そうなんだ。ここから出てくる用語も、先に言い換えておくね。

tailnetは、自分専用の通路でつながった端末の集まりです。アクセス制御（ACL）は、部屋ごとに「この人は入ってよい」と書いた名簿（合鍵の一覧）にあたります。

次の表の「中継」は、端末同士が直接つながれない時に立ち寄る中継所のようなものです。立ち寄っても暗号化は同じで、違いは速さです。

そのとおりだよ。

だからこそ、ログインに使うアカウントの2段階認証が、いちばん大事な守りになります。専用のアカウントを用意して、2段階認証を有効にしてください。

個人向けのPersonalプランは非商用のみで、利用者は6人まで、自分の端末は無制限です。登録の前に、ここを確認しておいてください。

Tailscaleでできることを、表にまとめます。「Personal」の列は、公式ページに「全プランで使える」と書かれている機能に「全プラン」と入れています（2026年10月22日時点）。

「—」は、公式ページでプランの記載を確認できなかったものです。可否の判断ではありません。

使えるよ。iOSとAndroidにもアプリがあります（公式のダウンロードページ）。Taildropの手順も、iOSとAndroid向けが公式にあります。

ただし、iOSとAndroidにはCLI（コマンド）がないので、tailscale status などの確認はPC側で行います。

用途ごとに、できることと注意点を短く紹介します。入口を閉じる手順は長くなるので、後の「安全に使う設定」にまとめています。

外出先から、自宅PCやVPSのWindowsの画面を操作する使い方です。Tailscaleを入れた接続元から、端末名かTailscaleのIPv4アドレス（100.から始まるアドレス）を、いつものRDPの宛先に入れます。

接続先にできるのは、Windowsの Pro・Enterprise・Education と Windows Server です。Windows 11 Homeは接続先にできません（接続元にはなれます）。

接続元のRDPアプリは、Windowsは標準の「リモートデスクトップ接続」、Mac・iPhone・AndroidはMicrosoftの「Windows App」です。

Homeで使いたい場合の別の手段のひとつが、GoogleのChromeリモートデスクトップです。公式ヘルプでは、PINを入力して接続し、セッションは暗号化されると説明されています。料金やWindows Homeでの対応は確認できていないので、使う前に公式で確認してください。

Macへは、macOSの画面共有（VNC）をTailscaleのアドレスでつなぐ例がありますが、専用の公式ガイドは確認できていないため、手順は書きません。

Linuxサーバーなどに、SSHでつなぐ使い方です。Tailscale SSHを有効にすると、Tailscaleが認証と認可を担い、SSHの鍵の配布・管理を減らせます。誰が入れるかは、アクセス制御のポリシーで決めます。

接続先にできるのは、Linuxか、macOSのオープンソース版（tailscaled）です。接続先で tailscale set --ssh を実行します。接続元は、Tailscaleが動いていればどの端末でも構いません。

この設定をすると、その端末のTailscaleのIPアドレスへの既存のSSH接続が固まるので、作業中の接続では行わないでください。SynologyやQNAPでは動きません。全プランで使えます（2026年10月22日時点）。

ひとりで運用しているなら、SSHで入れる人も自分だけに絞っておくと安心です。管理画面のアクセス制御（ポリシーファイル）には、通常の通信の許可とは別に、SSH用の規則（sshの欄）があります。どのアカウントから（src）、どの端末へ（dst）、どのユーザー名で（users）入れるかを決められます。

接続には、このSSHの規則と、ポート22への通信の許可の両方が必要です。

新しいtailnetには最初から控えめな規則が入っていて、自分の端末へは check モード（接続の前にもう一度ログインを求める方式。既定は12時間ごと）で入れます。書き方は公式ページ（Tailscale SSH）に沿って進めてください。

なお、WindowsはTailscale SSHの接続先になりません。運営者のWindowsのVPSでは、通常のSSHを使い、アクセス制御でMacからだけに限っています。

NASやファイルを外出先から使う方法が、2つあります。

ひとつは、SynologyのNASならPackage Center、QNAPならApp CenterからTailscaleを入れる方法です。ポートを開けずに、外出先からNASにつなげます。

Synology（DSM7）は、既定でNASへのTailscale経由の受信はできますが、NAS上の他のアプリからTailscale経由で送信するには追加設定が必要です。

もうひとつがTaildropで、自分の端末同士でファイルを直接送れます。macOS・iOS・Windows・Android・Linuxに対応し、管理画面でSend Filesを有効にします。

全プランで使えますが、公式は2026年10月22日時点でalpha（試験的な機能）と表記しています。他のユーザーの端末や、タグを付けた端末には送れません。

カフェなどの信頼できないWi-Fiで、外出先のインターネット通信をまるごと、自宅などの端末経由で出す使い方です。出口にする端末をexit nodeと呼びます。外出先から、自宅の回線を借りてネットを使うようなものです。

使うには、出口にする端末が名乗り出る、管理者が管理画面で許可する、使う側の端末で選ぶ、の3段階が要ります。既定では使えません。全プランで使えます（2026年10月22日時点）。

通信は出口側の回線を通るので、自宅の回線の速度の影響を受けます（筆者の見方）。また、使う側は既定では、出口経由の間は手元のローカルネットワークに入れません。MullvadのVPNサーバーを出口にする有料アドオンもあります（金額は公式で確認してください）。

Tailscaleを入れられない機器（プリンタやカメラなど）に、ゲートウェイ役の端末を経由してつなぐ使い方が、subnet routerです。Tailscaleを入れられない機器に代わって取り次ぐ、受付のような役目です。

ゲートウェイ役の端末にTailscaleを入れ、機器のあるネットワークの経路を広告して、管理画面で承認します。アクセス制御の許可も別に必要です。

配下の機器は、料金プランの端末数に数えません。全プランで使えます（2026年10月22日時点）。

Tailscaleを入れられる端末は、直接入れるほうが性能・安全性・設定のしやすさの点で望ましいと、公式は説明しています。

自宅のPCで動いているWebの画面やサービスを、tailnetの中だけにHTTPSで見せる機能がServeです。自分の通路の中だけで見られる掲示板のようなものです。使うにはHTTPS証明書の有効化が必要で、アクセス制御の規則もServeに適用されます。

ここからは運営者である自分の使い方です。普段使っているのは、Macとスマホの組み合わせです。Windowsの手順を手持ちのVPSで試した結果は、後の「8ステップ」の節に書いています。

ServeでHTTPSを使う証明書は、公開の証明書ログ（Certificate Transparency）に記録され、端末名が誰でも見られる状態になります。

端末名に個人がわかる情報があるなら、有効にする前に変更するよう、公式も注意しています。自分は、有効にする前に端末名を、個人を連想しない名前へ変えました。

2026年10月22日にMacで tailscale status を見たところ、スマホとの接続は直接ではなく、中継（東京）経由でした。Macのバージョンは1.102.4です。

中継でも暗号化は同じで、違いは速度です（公式の説明どおり）。

料金ページで、無料のPersonalは非商用向けという条件を確認したよ。どのプランが合うかは、各自が公式の条件を読んで決めてください。この記事では、運営者の契約内容には触れません。

Funnelは、Tailscaleを入れていない相手にも、URLでインターネットへ公開する機能です。Serveがtailnetの中だけなのに対して、Funnelは誰にでも届きます。たとえるなら、Serveは自分の通路の中だけで見られる掲示板で、Funnelは道路に貼るポスターです。

使うには、MagicDNS、HTTPS、ポリシーのfunnel属性が要り、ポートは443・8443・10000だけです。帯域には変更できない上限があります。全プランで使えますが、公式は2026年10月22日時点でbeta（試験段階）と表記しています。

URLを知っている人なら誰でも届くので、tailnetの中だけで足りるならServeを使ってください。

Funnelの既定の状態は、公式ページでは確認できませんでした。Funnelのページは「既定で無効」と書く一方、Serveのページには、要件を有効にする同意画面の説明の直後に「既定で有効」という記載があり、同じ初期状態を指すかは不明確です（2026年10月22日時点）。

機能を使う許可（ポリシーのfunnel属性など）と、実際にサービスが公開されているかは別です。使わない場合も、対象の端末で tailscale funnel status を実行し、公開しているサービスが無いことを確認してください。

他の人に、特定の1台だけを使わせる機能がSharingです。招待リンク（またはメール）で共有し、受け取った人は共有された1台だけにつなげて、tailnetの他の端末にはつながりません。

全プランで使えますが、リンクでの共有は2026年10月22日時点でbeta表記です。招待リンクはパスワードと同じように扱い、使われなかったリンクは30日で期限切れになります。

招待を受け入れると、受け入れた側のメールアドレスとアイコン、受け入れた側のtailnetの端末の物理IPアドレスの情報が、共有された端末に開示されます。共有した側は、共有の画面で受け入れた人のメールとアイコン画像を確認できます。

FXの自動売買（EA）をVPSで動かしている場合は、VPSのRDPの入口をインターネットに出さず、Tailscale経由で入る形にします。ここでは、EAで運用する人が追加で気をつける点だけをまとめます。

無人で動かし続けるための確認や、VPS会社の選び方は、別の記事にまとめています。

RDPの入口は「外から入ってくる接続」で、MT4/MT5が業者のサーバーへ「自分からつなぐ通信」とは別だよ。

公式の資料で確認できる範囲を、表にまとめます。

EA専用のVPSなら、インターネットから受け付ける必要がある接続は、管理に使うリモートデスクトップ（とSSH）だけです。MT4/MT5は自分から業者のサーバーへつなぐ送信で動くので、この2つをTailscale経由に切り替えれば、公開IP側の受信はすべて閉じる形にできます。
ここがTailscaleを入れる一番の利点だと考えています（筆者の見方）。

Tailscale自体も、公式によれば多くの場合ファイアウォールのポートを開ける必要がなく、直接つながらない時は中継（DERP）経由で通信が続きます（速さは落ちます）。

ただし、受信の規則をすべて消すと、Tailscale経由のリモートデスクトップも通らなくなります。リモートデスクトップの規則は後の8ステップのとおりスコープを絞って残し、それ以外に受信を許す規則が残っていないかを一覧で確かめます。

設定を変えたあとは、MT4/MT5がサーバーにつながり、EAが動いていることを必ず自分の目で確認します。上の表は公式の説明に基づく整理で、お使いの環境で通信が止まらないことを保証するものではありません。

VPSの中には、MT4/MT5とEAに必要なものだけを置きます。ブラウザにパスワードを保存せず、他のサービスの認証情報も置きません。EAの設定ファイル（setファイルなど）は、サーバーの外にも保存します。

違うんだ。たとえばHyonixのチェックポイントは、公式がバックアップではないと明記していて、再インストールや初期化で消えます。

業者のサーバーに受け付け済みの通常のSL/TPは、VPSが止まっても残ります。一方、EAの内部で行う決済の判断や、トレーリングストップ（MetaTraderでは端末側で動き、端末が止まると動きません）は止まります。

VPS会社の選び方（管理画面のコンソール・スナップショットの性質・自己管理の範囲）と、無人稼働の確認は、次の記事で扱っています。

検討例のひとつがHyonixです。公式の案内で確認できたのは、管理画面にServer Consoleがあること、チェックポイントが1台に1つでバックアップではないことです。契約は安全対策の条件ではありません。

ここまで紹介した機能のうち、自分が実際に使っている構成をまとめます。

端末は3台です。自宅のMac、iPhone、そしてFXの自動売買を動かすWindows ServerのVPSで、VPSには2026年10月22日にTailscaleを入れました。主な使い方は、次の表の3つです。

そうだよ。端末名を変えた件や中継の実測も含めて、詳しくは前のServeの節に書いています。

VPSのほうは、iPhoneのWindows AppからTailscaleのアドレスでつなぎます。VPSの受信規則とアクセス制御を絞り、確かめた経路では、公開IPからはリモートデスクトップにもSSHにもつながらず、Tailscale経由ではつながりました。

SSHは、アクセス制御でMacからだけに限っています。

そこが気になって変えたんだ。変更前は、VPSのリモートデスクトップとSSHが、公開IPから誰でも接続を試せる状態でした。

入口を絞るのとは別に、ログインの設定（ロックアウトなど）の確認も必要です。4つの層の節で書いたとおり、Windows Serverの既定の値は自分で確かめます。

普段使っている接続を挙げると、Mac・iPhoneからVPSのリモートデスクトップ、MacからVPSのSSH、iPhoneからMacの作業画面です。

tailnetの中では、VPSを接続元にしてMacやiPhoneへつなぐ通信は許可していません。試した接続先でも、つながらないことを確かめました。VPSから自宅側へ広がる通路を増やさないための、筆者の考えです。

そうなんだ。締め出された時の入口には、VPS会社の管理画面のコンソールを想定していて、画面が表示されるところまで確かめました。

キーの期限は各端末で確認して、切れる前に再認証する予定を立てています。

これは入口を減らした構成で、この構成なら安全と言い切れるわけではありません。

ここからは、すでにRDPをインターネットに公開しているVPSやPCを、Tailscale経由に切り替える手順です。

いきなり入口を閉じず、1層ずつ変えて、そのたびに確認するのがコツです。

RDPは標準で3389番のポートを使います。VPSや自宅PCでこのポートをインターネットに出していると、誰でも入口を探せる状態になります。

インターネットに公開された入口には、自動で何度もログインを試すアクセスが来ることが珍しくありません。Microsoftも、総当たり攻撃（ブルートフォース）はWindowsが攻撃される主な方法の上位3つに入ると説明しています。

補助にはなるけど、主な対策にはしないほうがいいと思っているよ（筆者の見方）。Microsoftは別のページで、別のポートでの運用は推奨しないとも書いています。

VPS会社が独自のポートを既定にしている例もあります。たとえばHyonixは、2026年7月8日以降の新規注文と再インストールで、RDPの既定ポートを26688にしています。契約した時期にかかわらず、実際の接続情報と待受ポートを確認してください。

運営者の手持ちのVPS（Windows Server 2022）1台で、この8ステップに沿って設定を変え、接続を確かめました（2026年10月22日）。

Tailscale経由では、リモートデスクトップとSSHの待ち受けのポートへつながりました。Tailscaleを通らない経路から公開IPの同じポートへ試すと、変更前はつながり、変更後はつながらなくなりました。アクセス制御で許可していない向きの接続（VPSから自分のMacへ）も通りませんでした。

リモートデスクトップへのログインは、スマホのWindows AppからTailscaleのアドレスで1回確かめています。今回の再起動では、約70秒後にTailscale経由のSSHが戻り、リモートデスクトップのポートにもつながりました。

安全は、1つの設定ではなく層で考えます。次の図の①〜④を、上から順に見ていきます。

①ログインに使うアカウントの2段階認証：Tailscale自体は認証を扱わず、IDプロバイダに任せています。2段階認証はIDプロバイダ側で設定し、パスワードの使い回しもやめてください。

②Tailscaleのアクセス制御（ACL）：ACLもgrantsも、明示した許可に基づく仕組みです。ただし新しいtailnetには、全端末間を許す初期ポリシー（ACLの設定が無い時は全許可）があります。

名簿にたとえると、最初は全員の名前が、すべての部屋の欄に書いてある状態です。

入れた直後は端末同士がお互いにつながれる状態なので、今の許可を確認して整理し、必要な許可（誰が・どの端末の・どのポートへ）を決めて定義し、STEP6のとおり許可した端末だけが通ることを確かめます。

ポートを指定して絞ることができます。設定の書き方は公式ページ（ACLs・Grants）に沿って進めてください。端末の名前やアドレスは環境ごとに違うため、設定コードの例は載せません。

絞る場所はいくつかあって、効く範囲が違うんだ。表で比べてみます。ポート番号の変更は補助的な位置づけです。

ファイアウォールのスコープは、門番に「この範囲から来た人だけ通して」と伝える設定にあたります。ただし範囲の指定は、来た方角で通すかを決めるだけで、本人確認ではありません。

④Windowsのログイン側：NLA（ネットワークレベル認証）は、セッションを確立する前にログイン認証を求める仕組みで、Microsoftは有効のままにすることを推奨しています。ログインに失敗し続けた時にロックする設定（ロックアウト）も確認します。

NLAは、玄関で先に名乗らせてから中に入れる仕組みです。ロックアウトは、鍵を何度も間違えると一時的に扉を閉める仕組みです。

Windows 11 22H2の新規セットアップ（または2022年10月11日の累積更新を初回セットアップの前に適用した場合）は、失敗10回・10分・リセット10分が既定です。

KBが説明する、組み込みローカルAdministratorの新しいロックアウト動作はRDPなどのネットワークログオンだけが対象で、コンソールログオンはロック中でも許可されます。

一般のユーザーでも同じとは限らないため、復旧用のアカウントで実際にコンソールからログオンできることを、別に確認してください。

Windows Server（VPS）の既定の値は、公式の資料では確認できませんでした。自分のVPSで net accounts を使って確認し、必要なら設定します。

VPSによっては、ロックアウトのしきい値が「Never」（何回間違えてもロックしない）になっていることがあります。

ロックアウトは自分が間違えた時にも効くので、戻れる入口を先に確保しておく理由のひとつです。

Tailscaleは入口を減らす道具で、万全にする道具ではありません。

まず、2026年10月のサーバー停止のような事故を、この対策で防げるのかを整理します。

2026年10月21日、お名前.com デスクトップクラウドは、第三者による不正アクセスで一部のお客様のサーバー環境に不正なプログラムが設置されたと発表しました。あわせて、全プランを対象に、順次サーバーを停止すると案内しています。

原因や侵入経路は、2026年10月22日時点の公式のお知らせには書かれていません。この記事では原因を推測しません。

代わりに、入口を閉じる対策で何が防げて何が防げないかを、考えられる経路ごとに整理します。下の表は筆者の見解で、今回の件の経路を示すものではありません。

そのとおり。入口を閉じるのは、防げる経路を1つ減らす対策で、提供会社側の事故や停止までは防げません。だから「中に置かない」と「予備を持つ」を組み合わせます。

先ほどのお知らせでも、サーバー内に認証情報（IDやパスワードなど）を保管している場合は速やかに変更するよう案内されていて、同じパスワードを他のサービスで使っている場合はそちらも変更するよう求められています。

Tailnet Lockは、新しい端末の参加に信頼済みの端末の署名を必要にする機能で、公式は、Tailscale側が侵害された場合に備える目的の機能として説明しています。Personalでも使え、既定はオフです。この記事では名前と目的の紹介にとどめ、設定手順は載せません。

Tailscaleはセキュリティ告知のページを公開しているので、告知を見てアップデートを当てる習慣をつけてください。どの対策も、不正アクセスや停止の可能性をなくすものではありません。

つながらない時は、次の順番で確認します。上から順に見ていくと、原因を絞りやすくなります。

STEP1で確かめた、戻れる入口（コンソール）から入って、設定を見直そう。公式のトラブルシューティングも参考になります。

手順そのものは難しくありませんが、いちばん大事なのは、制限を変える前に「戻れる入口」を確かめることです。

使いたい用途から1つ選んで、まずは自分の端末同士で試してみてください。