Tailscale: VPN moderna per team
Tailscale è una rete VPN mesh costruita sopra WireGuard, che elimina la complessita della gestione delle chiavi e del NAT traversal grazie a un coordinatore centrale (control plane) e a relay STUN/DERP. È pensata per team distribuiti che vogliono accedere a server e workstation come se fossero in LAN.
Come funziona Tailscale
Il control plane di Tailscale distribuisce le chiavi pubbliche tra i nodi autenticati via SSO (Google Workspace, Microsoft 365, Okta, GitHub). I nodi tentano connessioni dirette WireGuard; se NAT impossibile, ripiegano su relay DERP cifrati. Magic DNS consente di raggiungere ogni macchina con nome breve.
Procedura passo-passo
- Crea account su tailscale.com legandolo al provider SSO del tuo team.
- Installa il client su ogni dispositivo (Windows, macOS, Linux, iOS, Android) e autentica con browser.
- Verifica nella console Tailscale che ogni nodo compaia con il suo nome e IP 100.x.x.x.
- Abilita MagicDNS in DNS settings per usare nomi brevi tipo nas.tailnet-name.ts.net.
- Definisci ACL JSON per limitare quali utenti accedono a quali nodi/porte.
- Configura un'exit node se vuoi instradare tutto il traffico internet di un dispositivo via un nodo specifico.
- Pubblica subnet routes per esporre la LAN dietro un nodo (subnet router).
Funnel e Serve
Tailscale Funnel permette di esporre servizi del tuo tailnet su Internet pubblico via dominio ts.net dedicato, con HTTPS automatico. Tailscale Serve invece pubblica servizi solo all'interno del tailnet. Sono perfette per condividere demo, accedere a Home Assistant da remoto senza port forwarding o esporre webhook a terze parti senza espositori cloud aggiuntivi.
ACL avanzate e tags
Le ACL JSON di Tailscale permettono granularita elevata: definisci tag come tag:server, tag:dev, tag:contractor; assegnali a host e utenti; poi crea regole come {action: accept, src: [tag:dev], dst: [tag:server:22]}. Questo modello tag-based scala meglio di liste utente per utente, soprattutto in team con onboarding/offboarding frequente.
Headscale: self-hosted control plane
Per chi non vuole dipendere dal cloud Tailscale, Headscale è un'implementazione open source del control plane compatibile con i client Tailscale ufficiali. Installa Headscale su un VPS, configura i client con server-url alternativo, e ottieni una mesh WireGuard auto-gestita senza dipendere da servizi proprietari. Ideale per ambienti privacy-sensitive o sovrani.
SSH integrato e ephemeral keys
Tailscale SSH (in beta) sostituisce le chiavi SSH tradizionali con autenticazione Tailscale: il server SSH delega autenticazione a Tailscale, che usa SSO + device posture. Niente chiavi da distribuire, revoca centralizzata, integrazione con ACL JSON. Riduce significativamente la superficie d'attacco delle credenziali SSH legacy in flotte estese.
Considerazioni costo enterprise
Tailscale e gratuita per uso personale (100 device, 3 utenti), poi 6 USD/utente/mese Personal Pro, 18 USD/utente/mese Business. Per aziende oltre 50 utenti valuta vs setup self-hosted (Headscale) o competitor (Twingate). Considera anche valore di feature managed: SSO, audit log, customer support. Spesso il TCO operativo bilancia il costo licenza.
Best practice di sicurezza
Indipendentemente dalla soluzione VPN scelta, alcune regole valgono sempre: usa chiavi e certificati robusti (RSA 2048+ o ECC P-256+, chiavi WireGuard generate con tool ufficiali), aggiorna regolarmente sia il software server sia i client, applica patch security non appena rilasciate, monitora i log per identificare attività anomale, ruota le credenziali periodicamente, segmenta la rete in modo che il tunnel non dia accesso indiscriminato a tutta la LAN aziendale, e formalizza una policy di disaster recovery con backup delle configurazioni. La VPN protegge il tunnel in transito ma non sostituisce hygiene di sicurezza degli endpoint: combina con MFA, EDR, patching aggressivo e formazione utenti per ottenere una postura di sicurezza completa.
Monitoring e osservabilita
Una VPN che non viene monitorata è una VPN che non sai se funziona. Raccogli metriche minime: numero di sessioni attive, latenza media end-to-end, percentuale di handshake riusciti vs falliti, throughput aggregato, geolocazione client. Strumenti come Prometheus + Grafana, Zabbix, PRTG o stack ELK forniscono dashboard utili. Configura alert proattivi su soglie critiche: tunnel down per oltre N minuti, picchi anomali di tentativi di autenticazione falliti, traffico fuori orario. In ambito aziendale integra con SIEM per correlazione cross-system e response automatica. Il monitoring continuo trasforma la VPN da componente passiva a infrastruttura osservabile e tunable nel tempo.
Documentazione e procedure operative
Documenta sempre l'architettura VPN come la documentereresti per un nuovo collega che la prende in carico domani: diagramma di rete, IP scheme, chiavi/certificati e dove sono custoditi, procedure di onboarding e revoca utenti, processi di rotazione chiavi, runbook per incidenti comuni (tunnel giu, latency anomala, certificato scaduto), responsabilità ownership. Conserva la documentazione in un wiki interno (Confluence, BookStack, GitBook) versionato e con backup. Quando un membro del team lascia, basta passare il riferimento alla documentazione: continuita operativa garantita anche con turnover.
Errori comuni e come risolverli
- Nodi non si vedono: verifica ACL: di default tutto e permesso, ma personalizzazioni possono bloccare il traffico.
- Connessione passa sempre via DERP: il NAT e troppo restrittivo: abilita UPnP/PCP sui router o assegna IP pubblico a un nodo.
- MagicDNS non risolve: verifica che sul dispositivo il DNS Tailscale sia attivo e che il resolver non sia sovrascritto da policy enterprise.
- Subnet router non instrada: approva manualmente la subnet route dalla console e abilita IP forwarding sul nodo router.
Domande frequenti
D: Tailscale e gratuito?
R: Si fino a 100 dispositivi e 3 utenti; piani Team partono da pochi euro/mese per utente.
D: E open source?
R: Il client e open source; il control plane è proprietario, ma esiste Headscale come alternativa self-hosted.
D: Quanto e sicuro?
R: Le chiavi private non lasciano mai i nodi; il control plane vede solo chiavi pubbliche e metadati.
Hai bisogno di aiuto?
Se vuoi configurare VPN aziendale con G Tech Group, scrivici tramite il modulo di contatto.