3週間、3カ国を巡る休暇は、リラックスできるはずだったが、実際には仕事が絡んでいた。そんな旅の後、私は自宅ラボにある2台のPCにアクセスする必要があった。これらのマシンは24時間稼働しており、Windows 11 Insiderビルドやその他のビジネスタスクをホストする仮想マシンを動かしている。デスクでは、MicrosoftのWindows Appなどのリモートデスクトップクライアントを使って直接接続できる。しかし、自宅を離れると、ネットワークはルーターの背後にあり、外部からの接続は不可能だ。

たまにアクセスするだけなら、Chrome Remote DesktopやTeamViewerを使うこともできるが、私はすでに信頼しているツールを安全に使いたかった。そこで登場するのがTailscaleだ。これは、PC、Mac、モバイルなど、すべてのデバイス間に安全なプライベートネットワークを作成する無料サービスで、ルーターの設定やファイアウォールに触れることなく、インターネット経由で同じローカルネットワーク上にあるかのように接続できる。

結果は？オフィスを離れている間、Windows Appのショートカットをクリックして、自宅の仮想マシンに接続できた。それは、遅い飛行機の接続や、ローミング中のスマホのテザリングでも、難なく機能した。

多くのリモートアクセスサービスやVPNはハブアンドスポークモデルを使用しており、暗号化されたパケットが中央サーバーを経由する。これは（a）高価で、（b）遅く、レイテンシが増加する。しかし、Tailscaleはピアツーピアのメッシュとして機能する。私のオフィスのマシンと旅行用ラップトップは軽量なTailscaleクライアントを実行し、すべて安全なIDサービスで認証される。私はGitHubとMicrosoft Entra IDでテストしたが、Google、Apple、または1Password、Bitwarden、YubiKeyを介したパスキーも機能する。

各デバイスにはプライベートIPアドレスが割り当てられ、信頼性の高いWireGuardプロトコルを使用して安全な暗号化トンネルで通信する。Tailscaleは安全なディレクトリサービスのように機能し、デバイスを紹介した後は脇に退く。リモートデスクトップ接続を開くと、ラップトップはTailscaleにデバイスの場所を尋ね、Tailscaleは安全に接続するために必要な情報を返す。デバイスは可能な限り直接の暗号化WireGuard接続を確立し、不可能な場合はTailscaleが暗号化トラフィックを中継するが、復号化はできない。

アーキテクチャは堅牢だ：エンドツーエンドの暗号化、キーはデバイスから離れることはなく、認証は信頼できるソースを介して行われる。Tailscaleはあなたの資格情報やコンテンツを見ることはない。ローカルネットワークでは、リモートデスクトップトラフィックはTCPポート3389を使用するが、そのポートは外部接続のためにルーターでブロックされている（攻撃者にとっての開かれた扉）。しかし、セキュアトンネルを通れば、ポート番号、NATトラバーサル、ファイアウォールを気にせずに接続は機能する。プライベートネットワークに追加したマシンだけが接続できる。

無料のTailscaleプランは私のニーズをすべて満たし、無制限のデバイスで最大6ユーザーをサポートし、制限もほとんどない。同社は「永久に無料」と約束している。ホームラボや小さなオフィスには十分だ。6ユーザーを超える場合は、有料プランが1ユーザーあたり月額8ドルから始まり、3つ以上のアクセス制御リスト（ACL）グループを設定できる。コンテナやKubernetesのような一時的なリソースを扱う場合は、月間1,000分の制限に達するため、支払いが必要になる。

しかし、ほとんどのホームユーザー、趣味人、コンサルタント、非常に小さなビジネスは、無料プランを無期限に使用できる。

旅行での発見：多くのサービスは地域制限のため海外では機能しない。ニュースサイトやストリーミングサービスは、海外の米国在住の顧客をブロックすることが多い。通常の回避策は、トラフィックをサーバー経由でルーティングして適切な地域から見えるようにするVPNだ。Tailscaleでは、デバイスを出口ノードとして指定し、すべてのインターネットトラフィックをそのデバイス経由でルーティングできる。通常、Tailscaleはテールネット内の他のデバイスへのトラフィックのみを運ぶが、出口ノードを使用すると、すべてのWebブラウジングとアプリのトラフィックがそのデバイスを通過する。

自宅のラップトップを出口ノードとして使うこともできるが、もっとクールなオプションがある：Apple TVだ。それにTailscaleアプリをインストールし、出口ノードとして設定する。すると、すべてのインターネットトラフィックが自宅の接続を通過し、ウェブサイトはホテル、空港、コーヒーショップのWi-FiやローミングモバイルIPではなく、自宅のIPアドレスを見る。Apple TVは常に