Tailscale: VPN moderna per team distribuiti

Tailscale è una VPN basata su WireGuard che ha ridefinito il modo in cui pensiamo all'accesso remoto. Nasce dall'idea di Avery Pennarun (co-fondatore) di rendere WireGuard usabile anche da non-esperti, gestendo automaticamente chiavi, NAT traversal e ACL. Per team distribuiti, freelance e PMI con risorse cloud ha sostituito le VPN tradizionali OpenVPN/IPsec.

Cosa rende Tailscale diverso

Tailscale è una mesh VPN: ogni device si parla direttamente con gli altri (non con un server centrale), usando WireGuard come datapath. Il coordinatore Tailscale (controllo centralizzato) gestisce solo chiavi pubbliche, ACL e discovery. La cifratura è end-to-end, il NAT traversal è automatico tramite DERP relay quando il P2P fallisce. L'autenticazione usa SSO (Google, Microsoft, GitHub, Okta), niente password da gestire.

Funzionalità chiave

Tailscale include: MagicDNS (nome host risolto automaticamente), Subnet routing per esporre LAN locali, Exit node per uscire su internet via un'altro Tailscale, Tailscale SSH con autenticazione integrata, ACL as code con HuJSON, Funnel per esporre servizi su internet via Tailscale, Taildrop per file transfer, Headscale open source come server di controllo self-hosted.

Procedura passo-passo

1. Crea account su tailscale.com con SSO (consigliato Google Workspace o Entra ID aziendale).
2. Installa il client su ogni device (Linux apt, macOS brew, Windows MSI, mobile store).
3. Esegui tailscale up. Il device si autentica via browser.
4. Conferma il device dalla console admin.
5. Definisci le ACL nel file policy.hujson per regolare chi accede a cosa.
6. Per esporre una LAN locale, abilita subnet routing su un gateway: tailscale up --advertise-routes=192.168.1.0/24.
7. Per uscire su internet via Tailscale, abilita exit node sul nodo desiderato.
8. Usa MagicDNS per riferirti ai device per nome (es. ping pc-mario).

Considerazioni di costo, formazione e governance

Un'aspetto spesso sottovalutato nella progettazione di una soluzione di rete e il total cost of ownership (TCO) sul medio-lungo periodo, non solo il prezzo di listino degli apparati. Vanno considerati: licenze annuali, contratti di manutenzione hardware, energia consumata, formazione del personale interno, costo di gestione operativa, costo di sostituzione a fine vita. Una soluzione apparentemente conveniente puo rivelarsi cara dopo 3-5 anni di esercizio se le licenze rinnovabili o il supporto tecnico crescono in modo significativo.

La formazione del team e un'investimento che ripaga sempre. Le tecnologie di rete moderne richiedono competenze trasversali: networking puro, sicurezza, automazione, cloud. Certificazioni come CCNA, CompTIA Network+, Aruba ACMA, Fortinet NSE, Mikrotik MTCNA sono percorsi consolidati. Per le PMI italiane esistono corsi finanziati da fondi interprofessionali (Fondimpresa, Fondir, For.Te) che coprono buona parte del costo. Pianificare il piano formativo annuale insieme al budget IT garantisce continuita e crescita delle competenze interne.

Sul piano della governance, una rete aziendale moderna richiede policy chiare e documentate: chi puo accedere a cosa, con quali credenziali, in quali orari, da quali device. Il framework consigliato in Italia per PMI e ISO/IEC 27001:2022 integrato con le linee guida AgID per la PA. Per settori specifici (finanza, sanita, energia) si applicano normative aggiuntive (PSD2, regolamento DORA, NIS2, GDPR in particolare). Stabilire un sistema di gestione della sicurezza delle informazioni (SGSI) ancorche minimale riduce il rischio operativo e facilita audit con clienti enterprise sempre più esigenti.

Errori comuni e come risolverli

• ACL troppo permissiva: default consente tutto. Definisci ACL granulari per principio del minimo privilegio.
• Subnet route non approvata: ricordati di approvare dalla console admin.
• DERP relay fallback: senza P2P il throughput crolla. Apri UDP 41641 sul firewall.
• Dipendenza dal coordinatore Tailscale: se va giù non puoi aggiungere nodi (i nodi esistenti continuano). Per evitare, usa Headscale.
• Free plan limiti: 100 device, 3 utenti. Per più serve piano business.

Approfondimenti tecnici e scenari avanzati

Nella pratica quotidiana di un sysadmin che lavora con Tailscale come VPN mesh moderna, alcuni aspetti aggiuntivi meritano attenzione particolare. La gestione corretta in ambienti enterprise richiede di considerare l'integrazione con altri sistemi già presenti, la scalabilità futura e gli aspetti operativi day-2 spesso sottovalutati nella fase di design iniziale. Una configurazione che funziona bene per 50 utenti puo creare problemi seri a 200, ed e fondamentale prevedere fin da subito i punti di crescita.

Sul piano della sicurezza, l'attenzione si e spostata negli ultimi anni dal perimetro tradizionale al modello zero trust, dove ogni accesso viene verificato indipendentemente dalla provenienza. Per Tailscale come VPN mesh moderna questo significa applicare principi come minimum privilege, segregation of duties e continuous verification anche dove storicamente si dava fiducia implicita. Audit log, monitoring di anomalie e alert tempestivi sono ormai requisiti di base, non optional. Le normative europee come NIS2 e DORA stanno rendendo questi requisiti vincolanti per categorie sempre più ampie di aziende italiane.

Dal punto di vista operativo, l'automazione e ormai necessaria per gestire infrastrutture moderne con risorse umane limitate. Tool come Ansible, Terraform e script Python permettono di trattare la configurazione di rete come codice, versionata in git con pull request, review e CI/CD. Anche in piccole PMI vale la pena investire in queste pratiche: il tempo recuperato in change ripetitivi compensa rapidamente la curva di apprendimento iniziale, e la qualità aumenta perché le configurazioni sono validate prima del deployment.

Infine, il rapporto con i fornitori e gli operatori di telecomunicazione e importante. Avere chiari i punti di contatto NOC, le procedure di apertura ticket, gli SLA contrattuali e i meccanismi di escalation evita di scoprire questi dettagli durante un'incident critico. Documentare contratti, scadenze, modalita di rinnovo e clausole di uscita in un repository accessibile al team riduce la dipendenza da singole persone e migliora la continuita operativa nel medio periodo.

Domande frequenti

D: Tailscale è gratuito?
R: Sì per uso personale e small team (3 utenti, 100 device).

D: Devo aprire porte sul firewall?
R: No, Tailscale fa NAT traversal automaticamente.

D: Posso fare self-host del coordinatore?
R: Sì con Headscale (terze parti, ma ufficialmente supportato come API compatibile).

Hai bisogno di aiuto?

Se vuoi affidare la gestione rete aziendale al team di G Tech Group, scrivici tramite il modulo di contatto.