Tailscale Exit Node: pronto em 20 minutos (e dá para ter dois?)

Este guia configura um exit node Tailscale num VPS pequeno, por exemplo um Contabo Cloud VPS 4 ou um Hetzner CX23 na Alemanha: um túnel encriptado WireGuard que controla linha por linha. Fornece os comandos exatos, não um resumo de documentação nem capturas de ecrã desfocadas. A latência e o throughput dependem da sua rota, por isso o guia mostra como medi-los em vez de citar números.

Se o que precisa é o inverso, alcançar os dispositivos da sua LAN a partir de fora em vez de encaminhar todo o seu tráfego através dela, isso é outra função: veja o nosso guia do subnet router Tailscale.

Atalho: o nosso gerador de exit node Tailscale gratuito cria o script exato para o seu VPS a partir de poucas escolhas (Tailscale ou Headscale, chave de autenticação ou URL de login, autoaprovação por tag, ufw ou firewalld) e dá os comandos de aprovação e do cliente. Este guia explica cada passo.

O Que É um Exit Node Tailscale e Por Que Difere de um VPN Clássico

Um exit node Tailscale é um nó na sua malha Tailscale configurado para encaminhar todo o tráfego da Internet de outros nós através da sua própria conexão. Na prática: ativa isto no seu VPS em Frankfurt, e todos os seus dispositivos (portátil em Paris, iPhone, iPad) saem para a Internet com o IP desse VPS.

A diferença de um VPN comercial como o NordVPN é arquitetural:

• VPN Comercial: infraestrutura partilhada entre milhares de utilizadores. Não controla nada - nem o servidor, nem a política de logs, nem a configuração.
• WireGuard auto-hospedado: túnel ponto-a-ponto entre cada cliente e o servidor. Ótimo para um túnel, mas com 4 dispositivos tem de gerir manualmente 4 pares de chaves.
• Exit node Tailscale: malha WireGuard gerida automaticamente. O plano de controlo Tailscale lida com chaves, travessia NAT e ACLs. Designa qualquer nó como exit node com um comando - todos os outros nós usam-no sem reconfiguração.

Só quer parecer ligado a partir de outro país, sem manter um servidor? Uma VPN comercial faz isso sem configuração: Proton VPN (link de afiliado) tem um plano gratuito, e os planos pagos permitem escolher o país. O exit node continua a ser a melhor escolha quando quer um IP que seja seu e acesso aos seus próprios dispositivos na mesma rede.

Plano pago, Black Friday 2026: a oferta de parceiros da Proton, verificada em 28 de outubro de 2026, é VPN Plus com 70% de desconto no plano de 2 anos (para nós aparece a 2,99 $/mês, 71,76 $ nos primeiros 24 meses, depois 83,88 $ por ano), com garantia de reembolso de 30 dias. A página de compra mostra o preço do seu país, e a Proton não divulga data de fim.

O plano de dados permanece puro WireGuard - nenhuma empresa vê o seu tráfego de carga. Apenas a Tailscale Inc. vê os metadados da sua malha (quem fala com quem, quando), o que está documentado na sua política de privacidade.

Para uma comparação abrangente das abordagens de auto-hospedagem, veja o nosso artigo melhor VPN auto-hospedada 2026 e para um mergulho profundo no Tailscale vs WireGuard auto-hospedado, Tailscale vs WireGuard auto-hospedado.

Se ainda está a decidir se precisa mesmo do Tailscale, Tailscale vs WireGuard: o que o Tailscale adiciona, o que ele tira compara o WireGuard puro (chaves, rotas e NAT geridos por si) com o plano de controlo gerido do Tailscale.

Pré-requisitos

Antes de começar, precisa de:

1. Uma conta Tailscale - O plano gratuito inclui exit nodes, sem limite de número indicado. Inscreva-se em tailscale.com.
2. Um servidor Linux - Ubuntu 24.04 LTS recomendado (suporte de 5 anos). Funciona também em Mac ou Raspberry Pi.
3. Conexão estável >= 100 Mbps - para uso individual ou familiar.
4. IP público dedicado - incluído na Contabo e na OVH, 0,50 €/mês extra na Hetzner desde 2026.
5. Acesso root ou sudo no servidor.

Este guia assume Ubuntu 24.04 LTS. Os comandos são idênticos no Debian 12, ligeiramente diferentes no CentOS/RHEL (dnf em vez de apt).

Escolhendo a Plataforma do Seu Exit Node

Uma escolha sensata por defeito: um VPS no país de onde quer sair, mais um Raspberry Pi 5 em casa se também quiser o seu IP doméstico em viagem. Para o VPS, a Hetzner era a escolha habitual, até os aumentos de 2026 levarem o CX23 a 5,99 € com IPv4 para 4 GB de RAM; o Cloud VPS 4 da Contabo custa agora praticamente o mesmo com 8 GB, o suficiente para correr o Headscale ou outros serviços na mesma máquina. A contrapartida é uma porta de 200 Mbit/s, onde a Hetzner dá mais margem. O histórico completo de preços está na nossa comparação Contabo vs Hetzner vs OVH.

Porquê um VPS e não o router de casa: um exit node em casa só lhe dá o IP do seu próprio operador, e se a sua linha estiver atrás de CGNAT cada ligação passa por um relay. Um VPS num datacenter tem um IPv4 público fixo, por isso o Tailscale obtém um caminho WireGuard direto a partir de quase qualquer lado.

Nota Contabo: o nível de entrada anuncia uma porta de 200 Mbit/s. Chega para a navegação e o streaming de uma pessoa; para uma família inteira em fibra, meça-a com o iperf3 (secção Desempenho mais abaixo) antes de confiar nela.

Instalação Passo a Passo no Ubuntu 24.04 LTS

1. Instalar o Tailscale

A Tailscale publica um instalador oficial através do seu repositório APT:

# Adicionar chave GPG e repositório
curl -fsSL https://pkgs.tailscale.com/stable/ubuntu/noble.noarmor.gpg \
  | sudo tee /usr/share/keyrings/tailscale-archive-keyring.gpg >/dev/null

curl -fsSL https://pkgs.tailscale.com/stable/ubuntu/noble.tailscale-keyring.list \
  | sudo tee /etc/apt/sources.list.d/tailscale.list

# Instalar
sudo apt-get update
sudo apt-get install -y tailscale

# Verificar versão (junho 2026: v1.68+)
tailscale version

2. Ativar Encaminhamento de IP

Sem este passo, o nó não pode encaminhar o tráfego dos clientes para a Internet. Isto é o equivalente ao mascaramento WireGuard:

echo 'net.ipv4.ip_forward = 1' | sudo tee /etc/sysctl.d/99-tailscale.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf

Verificar:

sysctl net.ipv4.ip_forward
# Deve retornar: net.ipv4.ip_forward = 1

3. Autenticar e Anunciar o Exit Node

sudo tailscale up --advertise-exit-node

O Tailscale imprime um URL no terminal:

Para autenticar, visite:
  https://login.tailscale.com/a/xxxxxxxxxxxxxxxx

Abra este URL no seu navegador e faça login com a sua conta Tailscale. O nó aparece na sua lista de máquinas.

Dica: para pré-autenticação sem cabeça/CI, use uma chave de autenticação: sudo tailscale up --advertise-exit-node --authkey=tskey-auth-xxxxx.

4. Aprovar no Console de Administração

Por padrão, o Tailscale requer aprovação manual para exit nodes (recurso de segurança). Em login.tailscale.com/admin/machines:

1. Encontre o seu nó (por exemplo, hetzner-cx23-fra)
2. Clique em (...) → Editar configurações de rota
3. Marque Usar como exit node
4. Clique em Salvar

O nó está agora disponível como um exit node para todos os membros do seu tailnet.

Alternativa: desative a aprovação manual globalmente em Admin → Configurações → Desativar requisito de aprovação de exit node. Conveniente para um tailnet pessoal solo.

5. Verificar o Estado

tailscale status
# O nó deve aparecer como "oferece exit node"

sudo tailscale ping node-name
# Deve retornar um RTT

Configuração do Cliente

macOS

1. Instale o Tailscale a partir da Mac App Store ou brew install tailscale
2. Inicie o Tailscale a partir da barra de menu
3. Faça login com a mesma conta
4. Clique no ícone do Tailscale → Exit node → selecione o seu nó
5. Verifique: curl ifconfig.me - o IP mostrado deve ser o IP do VPS

Acesso LAN: por padrão, quando um exit node está ativo, o tráfego local (192.168.x.x) também passa pelo túnel. Para manter o acesso LAN direto: clique em Tailscale → Permitir acesso LAN.

Windows

1. Baixe de tailscale.com/download/windows
2. Clique com o botão direito no ícone da bandeja do sistema → Exit node → selecione o nó
3. Confirme o prompt de elevação do UAC

iOS e Android

1. Instale a app Tailscale da App Store / Play Store
2. Faça login no tailnet
3. Vá para Configurações (iOS) ou ícone de engrenagem (Android) → Usar exit node → selecione

No iOS, o Tailscale integra-se via Network Extension - não é necessário jailbreak. A conexão sobrevive a transições WiFi/4G.

Linux CLI

# Selecione o exit node (por nome ou IP Tailscale)
sudo tailscale set --exit-node=hetzner-cx23-fra

# Ou por IP Tailscale (100.x.y.z)
sudo tailscale set --exit-node=100.64.0.1

# Desativar
sudo tailscale set --exit-node=

# Verificar
tailscale status | grep "exit node"

Otimizações e Resolução de Problemas

Desempenho: Verificar Tipo de Conexão

O Tailscale prefere um túnel WireGuard direto (travessia NAT). Se dois nós não conseguirem ver-se diretamente (NAT estrito, CGNAT), o tráfego passa por um relé DERP - visivelmente mais lento:

tailscale netcheck
# Mostra qual relé é usado e se o direto é possível

tailscale ping node-name
# "pong from ... via DERP(fra)" = relé
# "pong from ... via 1.2.3.4:41641" = direto (preferido)

Se estiver em relé apesar de ambas as máquinas terem IPs públicos, verifique o UFW:

sudo ufw allow 41641/udp comment "Tailscale WireGuard"
sudo ufw allow 3478/udp comment "Tailscale STUN"

Vazamentos de DNS Após Ativar o Exit Node

O Tailscale empurra seu próprio DNS (MagicDNS), mas ocasionalmente deixa o DNS do sistema vazar. Teste:

# Do cliente com exit node ativo
dig +short whoami.cloudflare.com TXT @1.1.1.1
# O IP retornado deve ser o IP do VPS, não o seu IP real

Se o seu IP real vazar: no macOS, desative e reative o exit node. No Linux:

sudo tailscale set --exit-node=hetzner-cx23-fra
sudo resolvectl flush-caches

MTU e Fragmentação

O WireGuard reduz o MTU efetivo em ~60 bytes (sobrecarga do túnel). Em alguns links, isso causa quedas com pacotes grandes (vídeo, sessões SSH longas). Corrija:

# No servidor do exit node
sudo ip link set tailscale0 mtu 1280
# Torne permanente via /etc/systemd/network/ ou script rc.local

Roteamento de Kernel: Desempenho Avançado

No servidor, ative o controle de congestionamento BBR para melhor throughput:

echo 'net.core.default_qdisc = fq' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
echo 'net.ipv4.tcp_congestion_control = bbr' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf

Este ajuste geralmente proporciona um ganho modesto de throughput sob carga - meça o antes/depois no seu próprio link para confirmar.

Considerações de Segurança e Privacidade

O Que a Tailscale Inc. Vê

A Tailscale vê apenas metadados do plano de controlo:

• Endereços IP Tailscale (100.x.y.z) dos seus nós
• Carimbos de tempo dos handshakes WireGuard
• Nomes das máquinas registadas no seu tailnet

A Tailscale nunca vê:

• O conteúdo do seu tráfego (WireGuard encriptado de ponta a ponta)
• As suas consultas DNS (se MagicDNS desativado e usando um resolvedor DNS externo)
• Os sites que visita

O plano de dados é puro WireGuard. O código do cliente é open source.

ACLs no Plano Gratuito

O plano gratuito oferece ACLs JSON básicas para controlar quais nós podem comunicar com quais outros. Exemplo mínimo para restringir o exit node apenas aos seus próprios dispositivos:

{
  "acls": [
    {
      "action": "accept",
      "src": ["tag:personal"],
      "dst": ["tag:exit-node:*"]
    }
  ],
  "tagOwners": {
    "tag:exit-node": ["autogroup:admin"],
    "tag:personal": ["autogroup:admin"]
  }
}

Relés DERP: Jurisdição

Quando o tráfego passa por um relé DERP (caso de NAT estrito), ele transita pela infraestrutura da Tailscale. Os relés da UE estão na Alemanha e nos Países Baixos. Se a jurisdição for importante, pode implantar o seu próprio relé DERP - guia nos documentos oficiais da Tailscale.

Logs do Lado do Servidor

Por padrão, o Ubuntu gera logs de kernel via journald para conexões WireGuard. Para zero logs:

sudo journalctl --vacuum-time=1s

Para aprofundar sobre Tailscale vs plano de controlo auto-hospedado, veja nossa comparação Tailscale vs Headscale. E para templates WireGuard sem sobrecarga Tailscale: templates de configuração WireGuard 2026.

Conclusão: um exit node Tailscale num VPS pequeno (cerca de 5,50 €/mês) oferece-lhe um túnel VPN WireGuard totalmente controlado por si, sem taxas por gigabyte. O plano gratuito é suficiente para uso pessoal ou familiar: segundo os preços lidos a 7 de outubro de 2026, até 6 utilizadores com dispositivos ilimitados. A configuração leva 20 minutos - os comandos estão todos neste guia.

Para ter os comandos à mão: a nossa Tailscale & Headscale Cheat Sheet gratuita (PDF de 4 páginas em inglês, download direto, sem registo) reúne status e ping, exit node, subnet router, Serve e Funnel, a configuração do Headscale, utilizadores, chaves e ACL, e as causas de falha habituais. Descarregar a ficha.

Guias relacionados

• Tailscale Funnel: a palavra que põe a tua aplicação na internet pública