Tailscale Exit Node: pronto in 20 minuti (e se ne possono avere due?)

Questa guida configura un nodo di uscita Tailscale su un piccolo VPS, per esempio un Contabo Cloud VPS 4 o un Hetzner CX23 in Germania: un tunnel crittografato WireGuard che controlli riga per riga. Fornisce i comandi esatti, non un riassunto della documentazione né screenshot sfocati. Latenza e throughput dipendono dal tuo percorso, quindi la guida mostra come misurarli invece di citare cifre.

Se il vostro bisogno è l'inverso, raggiungere i dispositivi della vostra LAN dall'esterno invece di instradare tutto il traffico attraverso di essa, è un'altra funzione: vedete la nostra guida al subnet router Tailscale.

Scorciatoia: il nostro generatore di exit node Tailscale gratuito crea lo script esatto per il tuo VPS a partire da poche scelte (Tailscale o Headscale, chiave di autenticazione o URL di accesso, auto-approvazione tramite tag, ufw o firewalld) e fornisce i comandi di approvazione e client. Questa guida spiega ogni passaggio.

Cos'è un Nodo di Uscita Tailscale e Perché è Diverso da una VPN Classica

Un nodo di uscita Tailscale è un nodo nella tua rete mesh Tailscale configurato per instradare tutto il traffico Internet da altri nodi attraverso la propria connessione. In pratica: abiliti questo sul tuo VPS a Francoforte, e tutti i tuoi dispositivi (laptop a Parigi, iPhone, iPad) escono su Internet con l'IP di quel VPS.

La differenza rispetto a una VPN commerciale come NordVPN è architettonica:

• VPN commerciale: infrastruttura condivisa tra migliaia di utenti. Non controlli nulla - né il server, né la politica dei log, né la configurazione.
• WireGuard self-hosted: tunnel punto a punto tra ciascun client e il server. Ottimo per un tunnel, ma con 4 dispositivi gestisci manualmente 4 coppie di chiavi.
• Nodo di uscita Tailscale: mesh WireGuard gestita automaticamente. Il piano di controllo Tailscale gestisce le chiavi, l'attraversamento NAT e gli ACL. Designa qualsiasi nodo come nodo di uscita con un comando - tutti gli altri nodi lo utilizzano senza riconfigurazione.

Vuoi solo sembrare collegato da un altro paese, senza gestire un server? Una VPN commerciale lo fa senza configurazione: Proton VPN (link di affiliazione) ha un piano gratuito, e i piani a pagamento permettono di scegliere il paese. Il nodo di uscita resta la scelta migliore quando vuoi un IP che sia tuo e l'accesso ai tuoi dispositivi sulla stessa rete.

Piano a pagamento, Black Friday 2026: l'offerta partner di Proton, verificata il 28 ottobre 2026, è VPN Plus con il 70% di sconto sul piano di 2 anni (a noi mostrato a 2,99 $/mese, 71,76 $ per i primi 24 mesi, poi 83,88 $ all'anno), con garanzia di rimborso di 30 giorni. La pagina d'ordine mostra il prezzo del tuo paese, e Proton non indica una data di fine.

Il piano dati rimane puro WireGuard - nessuna azienda vede il tuo traffico payload. Solo Tailscale Inc. vede i tuoi metadati mesh (chi parla con chi, quando), come documentato nella loro politica sulla privacy.

Per un confronto completo degli approcci self-hosting, vedi il nostro articolo miglior VPN self-host 2026 e per l'approfondimento Tailscale vs WireGuard self-host, Tailscale vs WireGuard self-host.

Se stai ancora decidendo se Tailscale ti serve davvero, Tailscale vs WireGuard: cosa aggiunge Tailscale, cosa toglie mette a confronto WireGuard puro (chiavi, rotte e NAT gestiti da te) e il piano di controllo gestito di Tailscale.

Prerequisiti

Prima di iniziare, hai bisogno di:

1. Un account Tailscale - Il piano gratuito include i nodi di uscita, senza un limite di numero indicato. Iscriviti su tailscale.com.
2. Un server Linux - Consigliato Ubuntu 24.04 LTS (supporto di 5 anni). Funziona anche su Mac o Raspberry Pi.
3. Connessione stabile >= 100 Mbps - per uso personale o familiare.
4. IP pubblico dedicato - incluso su Contabo e OVH, 0,50 €/mese in più su Hetzner dal 2026.
5. Accesso root o sudo sul server.

Questa guida presuppone Ubuntu 24.04 LTS. I comandi sono identici su Debian 12, leggermente diversi su CentOS/RHEL (dnf invece di apt).

Scelta della Piattaforma per il Nodo di Uscita

Una scelta predefinita sensata: un VPS nel paese da cui vuoi uscire, più un Raspberry Pi 5 a casa se in viaggio vuoi anche il tuo IP domestico. Per il VPS Hetzner era la scelta abituale, finché gli aumenti del 2026 hanno portato il CX23 a 5,99 € con IPv4 per 4 GB di RAM; il Cloud VPS 4 di Contabo ora costa più o meno lo stesso con 8 GB, abbastanza per far girare Headscale o altri servizi sulla stessa macchina. Il compromesso è una porta da 200 Mbit/s, dove Hetzner lascia più margine. La storia completa dei prezzi è nel nostro confronto Contabo vs Hetzner vs OVH.

Perché un VPS e non il router di casa: un nodo di uscita a casa ti dà solo l'IP del tuo provider, e se la tua linea è dietro CGNAT ogni connessione passa da un relay. Un VPS in datacenter ha un IPv4 pubblico fisso, quindi Tailscale ottiene un percorso WireGuard diretto quasi ovunque.

Nota su Contabo: il livello di ingresso pubblicizza una porta da 200 Mbit/s. Basta per la navigazione e lo streaming di una persona; per un'intera famiglia in fibra, misurala con iperf3 (sezione Prestazioni più sotto) prima di farci affidamento.

Installazione Passo-Passo su Ubuntu 24.04 LTS

1. Installa Tailscale

Tailscale pubblica un installer ufficiale tramite il loro repository APT:

# Aggiungi chiave GPG e repository
curl -fsSL https://pkgs.tailscale.com/stable/ubuntu/noble.noarmor.gpg \
  | sudo tee /usr/share/keyrings/tailscale-archive-keyring.gpg >/dev/null

curl -fsSL https://pkgs.tailscale.com/stable/ubuntu/noble.tailscale-keyring.list \
  | sudo tee /etc/apt/sources.list.d/tailscale.list

# Installa
sudo apt-get update
sudo apt-get install -y tailscale

# Verifica versione (Giugno 2026: v1.68+)
tailscale version

2. Abilita l'Inoltro IP

Senza questo passaggio, il nodo non può instradare il traffico dei client verso Internet. Questo è l'equivalente del masquerade di WireGuard:

echo 'net.ipv4.ip_forward = 1' | sudo tee /etc/sysctl.d/99-tailscale.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf

Verifica:

sysctl net.ipv4.ip_forward
# Dovrebbe restituire: net.ipv4.ip_forward = 1

3. Autentica e Pubblicizza il Nodo di Uscita

sudo tailscale up --advertise-exit-node

Tailscale stampa un URL nel terminale:

Per autenticarti, visita:
  https://login.tailscale.com/a/xxxxxxxxxxxxxxxx

Apri questo URL nel tuo browser e accedi con il tuo account Tailscale. Il nodo appare nella tua lista macchine.

Suggerimento: per pre-autenticazione senza testa/CI, usa una chiave di autenticazione: sudo tailscale up --advertise-exit-node --authkey=tskey-auth-xxxxx.

4. Approva nella Console Amministrativa

Per impostazione predefinita, Tailscale richiede l'approvazione manuale per i nodi di uscita (funzione di sicurezza). Su login.tailscale.com/admin/machines:

1. Trova il tuo nodo (es. hetzner-cx23-fra)
2. Clicca (...) → Modifica impostazioni percorso
3. Seleziona Usa come nodo di uscita
4. Clicca Salva

Il nodo è ora disponibile come nodo di uscita per tutti i membri della tua tailnet.

Alternativa: disabilita l'approvazione manuale globalmente in Admin → Impostazioni → Disabilita requisito di approvazione nodo di uscita. Conveniente per una tailnet personale solitaria.

5. Verifica lo Stato

tailscale status
# Il nodo dovrebbe apparire come "offre nodo di uscita"

sudo tailscale ping nome-nodo
# Dovrebbe restituire un RTT

Configurazione del Client

macOS

1. Installa Tailscale dal Mac App Store o brew install tailscale
2. Avvia Tailscale dalla barra dei menu
3. Accedi con lo stesso account
4. Clicca sull'icona Tailscale → Nodo di uscita → seleziona il tuo nodo
5. Verifica: curl ifconfig.me - l'IP mostrato deve essere l'IP del VPS

Accesso LAN: per impostazione predefinita, quando un nodo di uscita è attivo, il traffico locale (192.168.x.x) passa anche attraverso il tunnel. Per mantenere l'accesso LAN diretto: clicca su Tailscale → Consenti accesso LAN.

Windows

1. Scarica da tailscale.com/download/windows
2. Clicca con il tasto destro sull'icona della barra delle applicazioni → Nodo di uscita → seleziona il nodo
3. Conferma il prompt di elevazione UAC

iOS e Android

1. Installa l'app Tailscale da App Store / Play Store
2. Accedi alla tailnet
3. Vai su Impostazioni (iOS) o icona ingranaggio (Android) → Usa nodo di uscita → seleziona

Su iOS, Tailscale si integra tramite Network Extension - non è richiesto il jailbreak. La connessione sopravvive alle transizioni WiFi/4G.

Linux CLI

# Seleziona il nodo di uscita (per nome o IP Tailscale)
sudo tailscale set --exit-node=hetzner-cx23-fra

# O per IP Tailscale (100.x.y.z)
sudo tailscale set --exit-node=100.64.0.1

# Disabilita
sudo tailscale set --exit-node=

# Controlla
tailscale status | grep "exit node"

Ottimizzazioni e Risoluzione dei Problemi

Prestazioni: Controlla il Tipo di Connessione

Tailscale preferisce un tunnel WireGuard diretto (attraversamento NAT). Se due nodi non possono vedersi direttamente (NAT rigido, CGNAT), il traffico passa attraverso un relay DERP - sensibilmente più lento:

tailscale netcheck
# Mostra quale relay è usato e se il diretto è possibile

tailscale ping nome-nodo
# "pong da ... via DERP(fra)" = relay
# "pong da ... via 1.2.3.4:41641" = diretto (preferito)

Se sei su relay nonostante entrambe le macchine abbiano IP pubblici, controlla UFW:

sudo ufw allow 41641/udp comment "Tailscale WireGuard"
sudo ufw allow 3478/udp comment "Tailscale STUN"

Perdite DNS Dopo Aver Abilitato il Nodo di Uscita

Tailscale spinge il proprio DNS (MagicDNS) ma occasionalmente lascia trapelare il DNS di sistema. Testa:

# Dal client con nodo di uscita attivo
dig +short whoami.cloudflare.com TXT @1.1.1.1
# L'IP restituito deve essere l'IP del VPS, non il tuo vero IP

Se il tuo vero IP trapela: su macOS, disabilita e riabilita il nodo di uscita. Su Linux:

sudo tailscale set --exit-node=hetzner-cx23-fra
sudo resolvectl flush-caches

MTU e Frammentazione

WireGuard riduce l'MTU effettivo di ~60 byte (overhead del tunnel). Su alcuni collegamenti questo causa cadute con pacchetti grandi (video, lunghe sessioni SSH). Risolvi:

# Sul server nodo di uscita
sudo ip link set tailscale0 mtu 1280
# Rendi permanente tramite /etc/systemd/network/ o script rc.local

Routing Kernel: Prestazioni Avanzate

Sul server, abilita il controllo della congestione BBR per un throughput migliore:

echo 'net.core.default_qdisc = fq' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
echo 'net.ipv4.tcp_congestion_control = bbr' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf

Questa ottimizzazione solitamente offre un modesto guadagno di throughput sotto carico - misura il prima/dopo sul tuo collegamento per confermare.

Considerazioni su Sicurezza e Privacy

Cosa Vede Tailscale Inc.

Tailscale vede solo i metadati del piano di controllo:

• Indirizzi IP Tailscale (100.x.y.z) dei tuoi nodi
• Timestamp delle strette di mano WireGuard
• Nomi delle macchine registrate nella tua tailnet

Tailscale non vede:

• Il contenuto del tuo traffico (crittografato end-to-end con WireGuard)
• Le tue query DNS (se MagicDNS disabilitato e usi un resolver DNS esterno)
• I siti web che visiti

Il piano dati è puro WireGuard. Il codice client è open source.

ACLs sul Piano Gratuito

Il piano gratuito offre ACL JSON di base per controllare quali nodi possono comunicare con quali altri. Esempio minimo per limitare il nodo di uscita solo ai tuoi dispositivi:

{
  "acls": [
    {
      "action": "accept",
      "src": ["tag:personal"],
      "dst": ["tag:exit-node:*"]
    }
  ],
  "tagOwners": {
    "tag:exit-node": ["autogroup:admin"],
    "tag:personal": ["autogroup:admin"]
  }
}

Relays DERP: Giurisdizione

Quando il traffico passa attraverso un relay DERP (caso NAT rigido), transita attraverso l'infrastruttura di Tailscale. I relay UE sono in Germania e nei Paesi Bassi. Se la giurisdizione è importante, puoi distribuire il tuo relay DERP - guida nei documenti ufficiali Tailscale.

Log Lato Server

Di default Ubuntu genera log del kernel tramite journald per le connessioni WireGuard. Per zero log:

sudo journalctl --vacuum-time=1s

Per approfondire su Tailscale vs piano di controllo self-hosted, vedi il nostro confronto Tailscale vs Headscale. E per template di configurazione WireGuard senza overhead Tailscale: Template di configurazione WireGuard 2026.

Conclusione: un nodo di uscita Tailscale su un piccolo VPS (circa 5,50 €/mese) ti offre un tunnel VPN mesh WireGuard completamente autogestito, senza costi a gigabyte. Il piano gratuito è sufficiente per uso personale o familiare: secondo i prezzi letti il 7 ottobre 2026, fino a 6 utenti con dispositivi utente illimitati. La configurazione richiede 20 minuti - i comandi sono tutti in questa guida.

Per avere i comandi sempre a portata di mano: la nostra Tailscale & Headscale Cheat Sheet gratuita (PDF di 4 pagine in inglese, download diretto, senza registrazione) raccoglie status e ping, exit node, subnet router, Serve e Funnel, la configurazione di Headscale, utenti, chiavi e ACL, e le cause di guasto più comuni. Scarica la scheda.

Guide correlate

• Tailscale Funnel: la parola che mette la tua app su internet pubblico