Tailscale Funnel

Tailscale Funnel を使うと、Tailscale ネットワーク（tailnet）内のデバイス上で動作しているローカルサービスを、固有の Funnel URL を通じてインターネットに公開できます。共有できるのは、ローカルの Web アプリ、ファイル、ディレクトリです。訪問者は Tailscale をインストールしたりログインしたりする必要はありません。公式サイトでは現在、この機能は Beta 段階とされており、すべてのプランで利用できます。

仕組み

• ローカルリソースを共有すると、Funnel はそのリソースだけを指す固有の URL（https://デバイス名.tailnet名.ts.net の形式）を生成します。
• 訪問者のデバイスは、まずパブリック DNS でこの URL を解決します。解決結果は、お使いのデバイスの IP ではなく Funnel リレーサーバーの IP であるため、デバイスの場所がインターネット上に公開されることはありません。
• リレーサーバーは Tailscale を通じて、お使いのデバイスへ TCP プロキシを確立します。これは暗号化されたトンネルです。公式の説明によると、リレーサーバーはその中のトラフィックを復号できません。
• お使いのデバイス上の Tailscale が TLS 接続を終端し、復号したリクエストをローカルサービスに渡して処理します。

対象ユーザーと利用シーン

• 開発中のローカル Web アプリを、同僚やクライアント、外部サービスに一時的に共有したい開発者。たとえば、公開コールバック URL が必要なデバッグの場面などです。
• Tailscale を使っていない人にローカルサービスへアクセスしてもらいたい、ホームラボやセルフホスティングのユーザー。
• ファイルやディレクトリをすばやく共有したい個人や小規模チーム。

サービスを tailnet 内だけで共有したい場合は、代わりに Tailscale Serve を使うことが公式に推奨されています。

主な利点

• ルーターでのポートフォワーディング設定やパブリック IP が不要です。
• tailnet ドメイン用に有効な HTTPS 証明書が自動的に設定されます。
• Funnel リレーによって、ローカルデバイスの実際の IP を隠せます。
• tailnet ポリシーファイルの funnel ノード属性で、Funnel を利用できるユーザーを制御できます。

有効化と使い方

Funnel はデフォルトで無効になっており、Tailscale CLI で有効化して作成する必要があります。

tailscale funnel 3000

初回実行時には Web 画面が開き、Funnel の有効化を承認するよう求められます。承認すると、Tailscale は tailnet 用の HTTPS 証明書を自動生成し、ポリシーファイルに funnel ノード属性を追加します。この属性はデフォルトで autogroup:member に付与されますが、管理者が手動で絞り込むこともできます。

技術要件

• Tailscale v1.38.3 以降。
• tailnet で MagicDNS と HTTPS が有効になっていること。
• ポリシーファイルに funnel ノード属性があること。ポリシーファイルの編集には Owner、Admin、または Network admin のロールが必要です。
• デバイスのプラットフォームで Tailscale CLI を実行できること。

制限事項と注意点

• 使用できるのは tailnet ドメイン（tailnet-name.ts.net）配下の DNS 名のみで、カスタムドメインは使えません。
• リッスンできるポートは 443、8443、10000 のみで、TLS で暗号化された接続だけに対応します。
• トラフィックには、設定変更できない帯域幅制限がかかります。
• 同じポートを Serve と Funnel の両方で同時に使うことはできません。最後に実行した設定コマンドが優先され、serve を実行するとそのポートは完全にプライベートになり、funnel を実行すると完全に公開されます。
• macOS でファイルやディレクトリを共有するには、オープンソース版の Tailscale クライアントが必要です。App Store 版や Standalone システム拡張版でインストールしたクライアントでは、ポートの共有のみ可能です。
• 新しい証明書を頻繁に申請すると、Let's Encrypt のレート制限に達する可能性があります。
• Funnel を新規作成した後、パブリック DNS レコードが有効になるまで最長 10 分かかる場合があります。
• Funnel を使用している間、Funnel リレーサーバーがデバイスの Tailscale ピアリストに表示されます。