Tailscale Exit Node: in 20 Minuten eingerichtet (und geht auch zwei?)

Diese Anleitung richtet einen Tailscale Exit Node auf einem kleinen VPS ein, zum Beispiel einem Contabo Cloud VPS 4 oder einem Hetzner CX23 in Deutschland: ein WireGuard-verschlüsselter Tunnel, den Sie Zeile für Zeile kontrollieren. Sie liefert die genauen Befehle, keine Dokumentationszusammenfassung und keine verschwommenen Screenshots. Latenz und Durchsatz hängen von Ihrer Route ab, deshalb zeigt die Anleitung, wie Sie sie messen, statt Zahlen zu nennen.

Wenn Sie das Umgekehrte brauchen, die Geräte Ihres LANs von aussen zu erreichen statt Ihren ganzen Verkehr darüber zu leiten, ist das eine andere Funktion: siehe unsere Anleitung zum Tailscale Subnet Router.

Abkürzung: Unser kostenloser Tailscale Exit Node Generator erstellt aus wenigen Angaben (Tailscale oder Headscale, Auth-Key oder Anmelde-URL, Auto-Freigabe per Tag, ufw oder firewalld) das genaue Skript für Ihren VPS und liefert die Befehle für Freigabe und Client. Diese Anleitung erklärt jeden Schritt.

Was ist ein Tailscale Exit Node und warum unterscheidet er sich von einem klassischen VPN

Ein Tailscale Exit Node ist ein Knoten in Ihrem Tailscale-Mesh, der so konfiguriert ist, dass er den gesamten Internetverkehr von anderen Knoten über seine eigene Verbindung leitet. In der Praxis: Sie aktivieren dies auf Ihrem Frankfurt-VPS, und alle Ihre Geräte (Paris-Laptop, iPhone, iPad) verlassen das Internet mit der IP dieses VPS.

Der Unterschied zu einem kommerziellen VPN wie NordVPN ist architektonisch:

• Kommerzielles VPN: gemeinsame Infrastruktur zwischen Tausenden von Nutzern. Sie kontrollieren nichts - weder den Server, noch die Protokollrichtlinie, noch die Konfiguration.
• Bare WireGuard Self-Host: Punkt-zu-Punkt-Tunnel zwischen jedem Client und dem Server. Großartig für einen Tunnel, aber bei 4 Geräten verwalten Sie manuell 4 Schlüsselpaare.
• Tailscale Exit Node: automatisch verwaltetes WireGuard-Mesh. Die Tailscale-Kontrollebene verwaltet Schlüssel, NAT-Traversal und ACLs. Weisen Sie mit einem Befehl einen beliebigen Knoten als Exit Node zu - alle anderen Knoten nutzen ihn ohne Neukonfiguration.

Sie wollen nur aus einem anderen Land zu kommen scheinen, ohne einen Server zu betreiben? Ein kommerzielles VPN erledigt das ohne Einrichtung: Proton VPN (Affiliate-Link) hat einen Gratis-Tarif, die bezahlten Tarife lassen das Land wählen. Der Exit Node ist die bessere Wahl, wenn Sie eine IP wollen, die Ihnen gehört, und Zugriff auf Ihre eigenen Geräte im selben Netz.

Bezahltarif, Black Friday 2026: Protons Partnerangebot, geprüft am 28. Oktober 2026, ist VPN Plus mit 70 % Rabatt im 2-Jahres-Tarif (bei uns angezeigt: 2,99 $/Monat, 71,76 $ für die ersten 24 Monate, danach 83,88 $ pro Jahr), mit 30 Tagen Geld-zurück-Garantie. Die Bestellseite zeigt den Preis für Ihr Land, ein Enddatum nennt Proton nicht.

Die Datenebene bleibt reines WireGuard - kein Unternehmen sieht Ihren Nutzlastverkehr. Nur Tailscale Inc. sieht Ihre Mesh-Metadaten (wer mit wem, wann spricht), was in ihrer Datenschutzerklärung dokumentiert ist.

Für einen umfassenden Vergleich von Self-Hosting-Ansätzen lesen Sie unseren Artikel Bestes Self-Host VPN 2026 und für den Tailscale vs. Bare WireGuard Deep Dive, Tailscale vs WireGuard Self-Host.

Wenn Sie noch abwägen, ob Sie Tailscale überhaupt brauchen, stellt Tailscale vs WireGuard: was Tailscale hinzufügt, was es wegnimmt reines WireGuard (Schlüssel, Routen und NAT verwalten Sie selbst) der verwalteten Kontrollebene von Tailscale gegenüber.

Voraussetzungen

Bevor Sie beginnen, benötigen Sie:

1. Ein Tailscale-Konto - Der kostenlose Plan enthält Exit Nodes, ohne angegebenes Limit. Melden Sie sich an unter tailscale.com.
2. Einen Linux-Server - Ubuntu 24.04 LTS wird empfohlen (5 Jahre Support). Funktioniert auch auf Mac oder Raspberry Pi.
3. Stabile Verbindung >= 100 Mbps - für Einzel- oder Familiennutzung.
4. Dedizierte öffentliche IP - bei Contabo und OVH inklusive, bei Hetzner seit 2026 für 0,50 €/Monat extra.
5. Root- oder Sudo-Zugriff auf dem Server.

Diese Anleitung geht von Ubuntu 24.04 LTS aus. Die Befehle sind auf Debian 12 identisch, leicht unterschiedlich auf CentOS/RHEL (dnf statt apt).

Auswahl Ihrer Exit Node Plattform

Eine sinnvolle Standardwahl: ein VPS in dem Land, aus dem Sie erscheinen wollen, plus ein Raspberry Pi 5 zu Hause, wenn Sie unterwegs auch Ihre Heim-IP brauchen. Für den VPS war Hetzner lange die übliche Wahl, bis die Preiserhöhungen 2026 den CX23 mit IPv4 auf 5,99 € für 4 GB RAM gebracht haben; Contabos Cloud VPS 4 kostet jetzt etwa gleich viel für 8 GB, genug, um Headscale oder weitere Dienste auf derselben Maschine zu betreiben. Der Kompromiss ist ein 200-Mbit/s-Port, wo Hetzner mehr Reserve bietet. Die ganze Preisentwicklung steht in unserem Vergleich Contabo vs Hetzner vs OVH.

Warum ein VPS statt der Box zu Hause: Ein Exit Node daheim gibt Ihnen nur die IP Ihres eigenen Providers, und hängt Ihr Anschluss hinter Carrier-Grade-NAT (bei DS-Lite die Regel), läuft jede Verbindung über ein Relay. Ein VPS im Rechenzentrum hat eine feste öffentliche IPv4, Tailscale bekommt also fast überall einen direkten WireGuard-Pfad.

Contabo-Hinweis: Die Einstiegsklasse wird mit einem 200-Mbit/s-Port beworben. Das reicht für Surfen und Streaming einer Person; für eine ganze Familie am Glasfaseranschluss messen Sie ihn mit iperf3 (Abschnitt Leistung weiter unten), bevor Sie sich darauf verlassen.

Schritt-für-Schritt-Installation auf Ubuntu 24.04 LTS

1. Tailscale installieren

Tailscale veröffentlicht einen offiziellen Installer über ihr APT-Repository:

# GPG-Schlüssel und Repository hinzufügen
curl -fsSL https://pkgs.tailscale.com/stable/ubuntu/noble.noarmor.gpg \
  | sudo tee /usr/share/keyrings/tailscale-archive-keyring.gpg >/dev/null

curl -fsSL https://pkgs.tailscale.com/stable/ubuntu/noble.tailscale-keyring.list \
  | sudo tee /etc/apt/sources.list.d/tailscale.list

# Installieren
sudo apt-get update
sudo apt-get install -y tailscale

# Version überprüfen (Juni 2026: v1.68+)
tailscale version

2. IP-Weiterleitung aktivieren

Ohne diesen Schritt kann der Knoten keinen Client-Verkehr ins Internet leiten. Dies entspricht dem WireGuard-Masquerade:

echo 'net.ipv4.ip_forward = 1' | sudo tee /etc/sysctl.d/99-tailscale.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf

Überprüfen:

sysctl net.ipv4.ip_forward
# Sollte zurückgeben: net.ipv4.ip_forward = 1

3. Authentifizieren und Exit Node bewerben

sudo tailscale up --advertise-exit-node

Tailscale gibt eine URL im Terminal aus:

Um sich zu authentifizieren, besuchen Sie:
  https://login.tailscale.com/a/xxxxxxxxxxxxxxxx

Öffnen Sie diese URL in Ihrem Browser und melden Sie sich mit Ihrem Tailscale-Konto an. Der Knoten erscheint in Ihrer Maschinenliste.

Tipp: Für headless/CI-Vorautorisierung verwenden Sie einen Auth-Schlüssel: sudo tailscale up --advertise-exit-node --authkey=tskey-auth-xxxxx.

4. Genehmigung in der Admin-Konsole

Standardmäßig erfordert Tailscale eine manuelle Genehmigung für Exit Nodes (Sicherheitsfunktion). Auf login.tailscale.com/admin/machines:

1. Finden Sie Ihren Knoten (z.B. hetzner-cx23-fra)
2. Klicken Sie auf (...) → Routeneinstellungen bearbeiten
3. Aktivieren Sie Als Exit Node verwenden
4. Klicken Sie auf Speichern

Der Knoten ist nun als Exit Node für alle Mitglieder Ihres Tailnets verfügbar.

Alternative: Deaktivieren Sie die manuelle Genehmigung global unter Admin → Einstellungen → Deaktivieren Sie die Anforderung zur Genehmigung von Exit Nodes. Praktisch für ein persönliches Solo-Tailnet.

5. Zustand überprüfen

tailscale status
# Der Knoten sollte als "bietet Exit Node an" erscheinen

sudo tailscale ping node-name
# Sollte eine RTT zurückgeben

Client-Konfiguration

macOS

1. Installieren Sie Tailscale aus dem Mac App Store oder brew install tailscale
2. Starten Sie Tailscale aus der Menüleiste
3. Melden Sie sich mit demselben Konto an
4. Klicken Sie auf das Tailscale-Symbol → Exit Node → wählen Sie Ihren Knoten
5. Überprüfen: curl ifconfig.me - die angezeigte IP muss die VPS-IP sein

LAN-Zugriff: Standardmäßig, wenn ein Exit Node aktiv ist, geht auch der lokale Verkehr (192.168.x.x) durch den Tunnel. Um direkten LAN-Zugriff zu behalten: Klicken Sie auf Tailscale → LAN-Zugriff erlauben.

Windows

1. Herunterladen von tailscale.com/download/windows
2. Rechtsklick auf das Systray-Symbol → Exit Node → wählen Sie den Knoten
3. Bestätigen Sie die UAC-Erhöhung

iOS und Android

1. Installieren Sie die Tailscale-App aus dem App Store / Play Store
2. Melden Sie sich beim Tailnet an
3. Gehen Sie zu Einstellungen (iOS) oder Zahnradsymbol (Android) → Exit Node verwenden → auswählen

Auf iOS integriert sich Tailscale über Network Extension - kein Jailbreak erforderlich. Die Verbindung übersteht WiFi/4G-Übergänge.

Linux CLI

# Wählen Sie den Exit Node (nach Name oder Tailscale-IP)
sudo tailscale set --exit-node=hetzner-cx23-fra

# Oder nach Tailscale-IP (100.x.y.z)
sudo tailscale set --exit-node=100.64.0.1

# Deaktivieren
sudo tailscale set --exit-node=

# Überprüfen
tailscale status | grep "exit node"

Optimierungen und Fehlerbehebung

Leistung: Verbindungstyp überprüfen

Tailscale bevorzugt einen direkten WireGuard-Tunnel (NAT-Traversal). Wenn sich zwei Knoten nicht direkt sehen können (striktes NAT, CGNAT), geht der Verkehr über ein DERP-Relay - spürbar langsamer:

tailscale netcheck
# Zeigt, welches Relay verwendet wird und ob direkt möglich ist

tailscale ping node-name
# "pong from ... via DERP(fra)" = Relay
# "pong from ... via 1.2.3.4:41641" = direkt (bevorzugt)

Wenn Sie trotz öffentlicher IPs auf beiden Maschinen im Relay sind, überprüfen Sie UFW:

sudo ufw allow 41641/udp comment "Tailscale WireGuard"
sudo ufw allow 3478/udp comment "Tailscale STUN"

DNS-Lecks nach Aktivierung des Exit Nodes

Tailscale schiebt seinen eigenen DNS (MagicDNS), lässt aber gelegentlich System-DNS durch. Testen:

# Vom Client mit aktivem Exit Node
dig +short whoami.cloudflare.com TXT @1.1.1.1
# Die zurückgegebene IP muss die VPS-IP sein, nicht Ihre echte IP

Wenn Ihre echte IP leckt: auf macOS deaktivieren und reaktivieren Sie den Exit Node. Auf Linux:

sudo tailscale set --exit-node=hetzner-cx23-fra
sudo resolvectl flush-caches

MTU und Fragmentierung

WireGuard reduziert die effektive MTU um ~60 Bytes (Tunnel-Overhead). Auf einigen Verbindungen führt dies zu Drops bei großen Paketen (Video, lange SSH-Sitzungen). Beheben:

# Auf dem Exit Node Server
sudo ip link set tailscale0 mtu 1280
# Dauerhaft über /etc/systemd/network/ oder rc.local Skript machen

Kernel-Routing: Erweiterte Leistung

Aktivieren Sie auf dem Server die BBR-Staukontrolle für besseren Durchsatz:

echo 'net.core.default_qdisc = fq' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
echo 'net.ipv4.tcp_congestion_control = bbr' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf

Diese Optimierung führt typischerweise zu einem bescheidenen Durchsatzgewinn unter Last - messen Sie den Vorher/Nachher-Wert auf Ihrer eigenen Verbindung, um dies zu bestätigen.

Sicherheits- und Datenschutzüberlegungen

Was Tailscale Inc. sieht

Tailscale sieht nur Kontrollebenen-Metadaten:

• Tailscale-IP-Adressen (100.x.y.z) Ihrer Knoten
• Zeitstempel der WireGuard-Handshakes
• Maschinennamen, die in Ihrem Tailnet registriert sind

Tailscale sieht niemals:

• Den Inhalt Ihres Verkehrs (WireGuard-Ende-zu-Ende-verschlüsselt)
• Ihre DNS-Anfragen (wenn MagicDNS deaktiviert und ein externer DNS-Resolver verwendet wird)
• Die Websites, die Sie besuchen

Die Datenebene ist reines WireGuard. Der Client-Code ist Open Source.

ACLs im kostenlosen Plan

Der kostenlose Plan bietet grundlegende JSON-ACLs, um zu steuern, welche Knoten mit welchen anderen kommunizieren können. Minimales Beispiel, um den Exit Node nur auf Ihre eigenen Geräte zu beschränken:

{
  "acls": [
    {
      "action": "accept",
      "src": ["tag:personal"],
      "dst": ["tag:exit-node:*"]
    }
  ],
  "tagOwners": {
    "tag:exit-node": ["autogroup:admin"],
    "tag:personal": ["autogroup:admin"]
  }
}

DERP-Relays: Zuständigkeit

Wenn der Verkehr durch ein DERP-Relay geht (striktes NAT-Fall), passiert er die Infrastruktur von Tailscale. EU-Relays befinden sich in Deutschland und den Niederlanden. Wenn die Zuständigkeit wichtig ist, können Sie Ihr eigenes DERP-Relay bereitstellen - Anleitung in den offiziellen Tailscale-Dokumenten.

Serverseitige Protokolle

Standardmäßig generiert Ubuntu Kernel-Protokolle über journald für WireGuard-Verbindungen. Für null Protokolle:

sudo journalctl --vacuum-time=1s

Um tiefer auf Tailscale vs. selbst gehostete Kontrollebene einzugehen, lesen Sie unseren Tailscale vs. Headscale Vergleich. Und für Bare-WireGuard-Vorlagen ohne Tailscale-Overhead: WireGuard-Konfigurationsvorlagen 2026.

Fazit: Ein Tailscale Exit Node auf einem kleinen VPS (rund 5,50 €/Monat) bietet Ihnen einen vollständig selbst kontrollierten WireGuard-Mesh-VPN-Tunnel ohne Gebühren pro Gigabyte. Der kostenlose Plan ist ausreichend für den persönlichen oder familiären Gebrauch: laut Ausweisung vom 7. Oktober 2026 bis zu 6 Nutzer mit unbegrenzt vielen Geräten. Die Einrichtung dauert 20 Minuten - alle Befehle sind in dieser Anleitung enthalten.

Damit die Befehle griffbereit bleiben: Unser kostenloses Tailscale & Headscale Cheat Sheet (PDF, 4 Seiten auf Englisch, direkter Download, ohne Anmeldung) fasst status und ping, Exit Node, Subnet Router, Serve und Funnel, die Headscale-Konfiguration, Benutzer, Schlüssel und ACLs sowie die üblichen Fehlerursachen zusammen. Cheat Sheet herunterladen.

Weiterführende Artikel

• Tailscale Funnel: das eine Wort, das Ihre App ins öffentliche Internet stellt