Tailscaleで構築するゼロ設定VPN：WireGuardベースのメッシュネットワーク

COLUMN コラム

2024年07月22日
Tailscaleで構築するゼロ設定VPN：WireGuardベースのメッシュネットワーク
- ＩＴ系

従来のVPNが抱える課題

企業ネットワークにおけるVPNは長年にわたり、リモートアクセスの標準的なソリューションでした。しかし、OpenVPNやIPsecベースの従来型VPNには、設定の複雑さ、ハブアンドスポーク型トポロジによるボトルネック、NAT越えの困難さといった根本的な課題があります。

筆者も過去にOpenVPNサーバーの運用を担当していましたが、証明書の管理、ファイアウォールルールの設定、クライアント設定の配布など、運用コストが非常に高いと感じていました。特にリモートワーク全盛の現在、数百人規模のVPN接続を安定して維持するのは骨の折れる作業です。

TailscaleはWireGuardプロトコルをベースにしたメッシュ型VPNソリューションで、これらの課題を根本から解決します。

Tailscaleのアーキテクチャ

WireGuardの優位性

Tailscaleの通信基盤であるWireGuardは、従来のVPNプロトコルと比較して圧倒的にシンプルです。コードベースはわずか約4,000行で、OpenVPNの数十万行と比較すると攻撃対象面が極めて小さくなっています。暗号化にはChaCha20、Poly1305、Curve25519といったモダンな暗号プリミティブを使用し、高いセキュリティと優れたパフォーマンスを両立しています。

コントロールプレーンとデータプレーンの分離

Tailscaleの設計の要は、コントロールプレーンとデータプレーンの明確な分離です。Tailscaleの調整サーバー（Coordination Server）は、ノード間の鍵交換と接続情報の配布のみを担当します。実際のデータ通信は、ノード間で直接WireGuardトンネルを構築して行われます。つまり、Tailscaleのサーバーを通過するデータはゼロです。

NAT越えの仕組み

Tailscaleが実現するゼロ設定の核心は、高度なNAT越え技術にあります。STUN（Session Traversal Utilities for NAT）とDERP（Designated Encrypted Relay for Packets）サーバーを組み合わせることで、ほぼすべてのネットワーク環境でピアツーピア接続を確立します。直接接続が不可能な場合のみ、DERPリレーサーバーを経由しますが、これも暗号化されたトンネル内で行われるためセキュリティは保たれます。

導入と基本設定

Tailscaleの導入は驚くほど簡単です。各プラットフォーム向けのクライアントをインストールし、認証するだけでメッシュネットワークに参加できます。

Linuxサーバーへの導入

# インストール
curl -fsSL https://tailscale.com/install.sh | sh

# 起動と認証
sudo tailscale up

# ステータス確認
tailscale status
# 100.64.0.1  server-01    user@example.com  linux  active; direct
# 100.64.0.2  server-02    user@example.com  linux  active; direct
# 100.64.0.3  macbook-pro  user@example.com  macOS  active; relay

認証はブラウザ経由でSSO連携が可能です。Google Workspace、Microsoft Azure AD、Okta、GitHubなど主要なIDプロバイダーに対応しています。

サブネットルーターの設定

既存のオンプレミスネットワークのリソースにアクセスする場合、サブネットルーターを設定します。

# サブネットルーターとして起動（オンプレミスのゲートウェイサーバーで実行）
sudo tailscale up --advertise-routes=10.0.0.0/24,192.168.1.0/24

# IP転送を有効化
echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf

管理コンソールでルートを承認すれば、Tailscaleネットワーク内の全ノードからオンプレミスのサブネットにアクセスできるようになります。

ACLによるアクセス制御

Tailscaleのアクセス制御リスト（ACL）は、JSON形式で記述し、きめ細かなアクセス制御を実現します。

{
  "acls": [
    {
      "action": "accept",
      "src": ["group:engineering"],
      "dst": ["tag:server:22", "tag:server:443"]
    },
    {
      "action": "accept",
      "src": ["group:devops"],
      "dst": ["tag:server:*", "tag:database:5432"]
    },
    {
      "action": "accept",
      "src": ["autogroup:member"],
      "dst": ["autogroup:self:*"]
    }
  ],
  "tagOwners": {
    "tag:server": ["group:devops"],
    "tag:database": ["group:devops"]
  },
  "groups": {
    "group:engineering": ["alice@example.com", "bob@example.com"],
    "group:devops": ["charlie@example.com"]
  }
}

この設定では、engineeringグループのメンバーはサーバーのSSHとHTTPSポートのみアクセス可能、devopsグループは全ポートとデータベースにもアクセス可能としています。従来のファイアウォールルールと異なり、ユーザーのIDに基づいたアクセス制御が自然に表現できるのがTailscale ACLの強みです。

Exit Nodeとマルチクラウド接続

Exit Nodeの活用

特定のノードをExit Nodeとして設定すると、そのノード経由で全トラフィックをルーティングできます。

# Exit Nodeとして公開
sudo tailscale up --advertise-exit-node

# クライアント側でExit Nodeを利用
sudo tailscale up --exit-node=server-01

これにより、海外出張時にオフィスのIPアドレスでインターネットにアクセスするといった用途にも対応できます。

マルチクラウド接続

Tailscaleの真価が発揮されるのが、マルチクラウド環境でのネットワーク接続です。AWS、GCP、Azureの各VPCにTailscaleノードを配置し、サブネットルーターとして設定するだけで、クラウド間のセキュアな通信が確立できます。従来のVPCピアリングやVPN Gatewayの複雑な設定が不要になり、ネットワーク構成の管理コストが劇的に削減されます。

Headscale：セルフホスト型の選択肢

Tailscaleのコントロールプレーンを外部に依存したくない場合、オープンソースのHeadscaleという選択肢があります。HeadscaleはTailscaleの調整サーバーをセルフホストできる実装で、データの完全な管理を維持しながらTailscaleクライアントの利便性を享受できます。

ただし、Headscaleは管理コンソールの機能が限定的でして、TailscaleのSaaS版が提供するSSO統合やACLのGitOps管理など、一部の高度な機能は利用できません。セキュリティ要件とのトレードオフを十分に検討した上で判断してください。

まとめ

TailscaleはWireGuardの暗号化性能とメッシュネットワークの柔軟性を組み合わせ、VPNの運用負荷を劇的に軽減するソリューションです。ゼロ設定でのピアツーピア接続、IDベースのアクセス制御、マルチクラウド環境での簡易な接続構築は、従来のVPNでは実現困難だった運用品質を提供します。特にリモートワークが標準化した現在、ネットワークインフラの簡素化を検討している組織にとって、Tailscaleは有力な選択肢となるでしょう。