Tailscale: acesso remoto sem dor

O problema que ele resolve

Se você já tentou acessar alguma coisa da sua casa enquanto estava fora dela — uma câmera, um servidor de arquivos, o seu PC pra jogar remoto, o Plex — provavelmente esbarrou na mesma trinca de dor de cabeça: port forwarding no roteador, IP dinâmico que muda toda semana, e o pior de todos, CGNAT — quando o provedor nem te dá um IP público de verdade, e simplesmente não tem como abrir porta nenhuma.

Dá pra resolver isso configurando uma VPN tradicional na unha. Mas o processo é horroroso: você precisa de um endpoint público, gerar chaves no WireGuard, configurar servidor, distribuir credenciais, abrir porta, configurar firewall, manter atualizado. Leva horas e, no final, ainda dá pra deixar uma brecha de segurança sem perceber.

O Tailscale resolve tudo isso em cinco minutos. Você instala um aplicativo em cada dispositivo, faz login, e eles se enxergam. Acabou. Não importa se estão atrás de CGNAT, em redes diferentes, em países diferentes, em 4G ou Wi-Fi. Funciona. É a ferramenta que, depois que você usa, vira default em qualquer máquina sua nova.

Mesh VPN: o conceito

Vale entender o que ele é e o que ele não é, porque confusão com isso atrapalha a decisão.

O Tailscale é uma mesh VPN — rede em malha onde todos os dispositivos se enxergam diretamente, sem um servidor central por onde o tráfego passa. Construída em cima do WireGuard, o protocolo de VPN mais rápido e moderno em uso hoje. Mas, diferente de configurar WireGuard puro (gerar chaves, abrir portas, definir rotas), o Tailscale abstrai tudo isso. Você instala, loga, pronto.

     [ PC casa ]──────────────[ Notebook trabalho ]
            \                  /
             \                /
              \              /
           [ Celular 4G qualquer lugar ]

   ↑ todos com IP fixo da Tailscale, tráfego criptografado E2E,
     sem servidor intermediário que veja seus dados.

E essa é a parte que importa: o Tailscale não é uma VPN comercial. Não é tipo NordVPN ou Surfshark, onde seu tráfego passa por um servidor em outro país pra "esconder" sua localização. O Tailscale cria uma rede privada entre os seus próprios dispositivos. É como se todas suas máquinas estivessem na mesma rede local, não importa onde estejam fisicamente.

Cada dispositivo ganha um IP fixo (do tipo 100.x.y.z) que nunca muda, criptografia ponta-a-ponta, e — no plano gratuito — você tem direito a até 100 dispositivos e 3 usuários. Pra uso pessoal, é absurdamente generoso. Eu tenho 14 nós conectados aqui e nem cheguei perto do teto.

Pré-requisitos

Praticamente zero. Você precisa de:

• Uma conta gratuita — login via Google, Microsoft, GitHub, Apple ou e-mail
• Os dispositivos que você quer conectar (PC, celular, notebook, servidor — qualquer um, qualquer SO)
• Conexão de internet em cada um (qualquer tipo: 4G, Wi-Fi, cabo, CGNAT — tanto faz)

Não precisa abrir porta no roteador. Não precisa de IP público. Não precisa de domínio. Não precisa de servidor. Não precisa nem entender de rede.

Instalação por plataforma

Mesmo passo conceitual em todas: instala o cliente, loga com sua conta, confirma o dispositivo no admin panel. Aqui vai o detalhe por sistema.

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up

Adicionando dispositivos

Cada nova máquina que você quer na tailnet é a mesma receita: instala, loga com a mesma conta. Mas tem ajustes que valem ativar dependendo do caso de uso.

Magic DNS

Em DNS → Magic DNS no admin panel, ativa. Isso faz com que você possa acessar as máquinas pelo nome (ex: http://nuvem) em vez do IP 100.x.y.z. Bem mais fácil de lembrar.

Status pra verificar conectividade

No terminal de qualquer máquina com Tailscale instalado:

tailscale status

Mostra a lista de dispositivos na sua tailnet, IPs, e se a conexão é direct (P2P, rápido) ou relay (passa pelo DERP do Tailscale, lento — ver seção 9).

Subnet routing (avançado)

Se você só tem Tailscale no servidor de casa mas quer acessar toda a sua rede local dele (impressora, switch admin, outros dispositivos sem Tailscale), liga o "subnet routing" no servidor:

sudo tailscale up --advertise-routes=192.168.1.0/24

Depois, no admin panel, edita o dispositivo e aprova as rotas em Edit route settings → Approve. Pronto — a partir de qualquer ponto da tailnet, você acessa 192.168.1.x como se estivesse em casa.

Casos de uso

O Tailscale resolve sozinho, ou em combo com outras ferramentas:

Plex / Jellyfin sem expor pra internet

Em vez de abrir porta 32400 do Plex pro mundo (risco de scan, bot, brute force), você instala Tailscale no servidor de mídia e nos seus dispositivos. Acessa via IP do Tailscale (ou nome via Magic DNS) e ninguém de fora da tailnet enxerga. Latência baixa, qualidade original.

Nextcloud em casa, acessível de qualquer lugar

Combo padrão: Nextcloud no homelab, Tailscale no servidor e no celular. Você abre o app do Nextcloud em qualquer rede do mundo, ele "vê" seu servidor como se estivesse na mesma rede de casa. Backup automático de fotos funcionando sempre. Detalhes no tutorial do Nextcloud.

Streaming de jogos (Sunshine + Moonlight)

Sunshine é o servidor de streaming que roda no seu PC gamer. Moonlight é o cliente que roda no celular/notebook que vai jogar. Eles funcionam de fábrica só na mesma rede local. Com Tailscale, ambos entram na tailnet, ficam "na mesma rede" e o streaming funciona de qualquer lugar do mundo — qualidade alta, latência baixa.

SSH sem expor porta 22

Em vez de abrir porta 22 do servidor pra internet (cenário clássico de invasão), você faz ssh [email protected] ou ssh user@nome-do-servidor via Tailscale. Zero exposição, mesma ergonomia.

Node sharing

Funcionalidade muito boa do Tailscale: você pode compartilhar acesso a dispositivos específicos da sua tailnet com outras pessoas, sem que elas tenham acesso ao resto da rede.

Exemplo prático. HD tava caro, você comprou um de 8 TB rachado com um amigo. Ele guarda metade, você guarda metade. Você roda um servidor de arquivos em casa (Nextcloud, Samba, ou simplesmente um SSH com rsync), e dá pro amigo acesso a esse servidor específico. Ele entra com a conta dele, vê só o servidor compartilhado, e não enxerga seu PC, seu celular, sua câmera, nada.

Como configurar

1. No admin panel, vai em Machines, clica no servidor que vai compartilhar.
2. Em Share..., gera um link único.
3. Manda o link pro seu amigo (WhatsApp, e-mail, qualquer canal). Ele abre, aceita.
4. O dispositivo dele agora enxerga só esse servidor — IP do Tailscale e tudo.

No plano gratuito, dá pra compartilhar com até 3 usuários externos. Mais que suficiente pra família ou amigo próximo. Pra equipe maior, plano pago.

Wake-on-LAN

Esse aqui é o caso de uso que paga a luz do servidor. O conceito: seu PC potente fica em modo de hibernação a maior parte do dia (consumo de ~6 W). Quando você quer usar, manda um "Wake-on-LAN packet" via rede e ele acorda em segundos (volta pros 200 W de funcionamento normal).

O Tailscale tem suporte nativo a isso. Você manda o pacote do celular, do trabalho, de qualquer lugar — ele chega na rede de casa e acorda a máquina. Economia real: aqui em casa meu PC com RTX 4090 + Ryzen 5950X passou de 200 W constantes pra 6 W. Pra quem deixa rodando 24/7 sem usar, é diferença grossa na conta de luz.

Limitações e DERP

Pra fechar com honestidade — porque nada é mágica e a transparência sobre limitações é o que sustenta confiança:

Dependência de um serviço de terceiros

O plano de coordenação do Tailscale (a parte que gerencia descoberta de dispositivos e troca de chaves) roda nos servidores deles. Seus dados de fato não passam por lá na maioria dos casos — eles fluem direto entre os dispositivos —, mas a autenticação e a coordenação sim. Se o Tailscale sumir amanhã, sua rede para de funcionar.

Se isso for inaceitável pra você, existe o Headscale — uma implementação de código aberto e auto-hospedada do servidor de coordenação. Mesma ergonomia, sem terceiro.

DERP relay (a limitação prática)

Quando dois dispositivos não conseguem se conectar diretamente — firewall restritivo do provedor, NAT muito apertado, redes celulares chatas — o Tailscale usa servidores relay chamados DERP. E o DERP é limitado a 5–10 Mbps. Pra SSH e acesso web, você nem nota. Pra streamar jogo via Sunshine, é desastroso.

Fix: abrir UDP 41641 no roteador

A solução que mais ajuda pra garantir que a conexão seja direta (P2P) em vez de relay: abrir a porta UDP 41641 no seu roteador, apontando pro IP do servidor. Pequena exceção à regra "nunca abra porta" — essa porta é só pro Tailscale negociar a conexão direta, não expõe nada.

WireGuard puro pra controle total

Pra quem quer zero dependência de terceiro: ainda dá pra usar WireGuard puro. Mesma performance, mesmo nível de criptografia, sem intermediário. A desvantagem é complexidade — você precisa de endpoint público, gerar e distribuir chaves manualmente, manter tudo atualizado.

Pra 90% das pessoas, Tailscale no plano gratuito resolve tudo. Se um dia o jogo virar — preço, política, qualquer coisa — você migra pra Headscale ou WireGuard. Mas até lá, o custo-benefício é absurdo.

Próximos passos

Com Tailscale rodando, o homelab inteiro fica acessível. Os dois próximos movimentos naturais: