Tailscale gibt einem CasaOS-Server eine private Adresse, die von deinen eigenen autorisierten Geräten auch unterwegs erreichbar ist. Das ursprüngliche IceWhale-Community-Tutorial, das im Oktober 2023 für CasaOS 0.4.4 und eine ältere Tailscale-Version veröffentlicht wurde, verwendete das offizielle Tailscale-Docker-Image, einen Authentifizierungsschlüssel und einen zweiten Tailscale-Client, um diese private Mesh-Verbindung herzustellen.
Die grundlegende Idee ist weiterhin gültig: Führe Tailscale auf dem CasaOS-Host aus, tritt deinem Tailnet bei, installiere Tailscale auf dem entfernten Smartphone oder Computer und öffne CasaOS anschließend über seine Tailscale-IP-Adresse oder den konfigurierten DNS-Namen. Die Screenshots und die genauen Docker-Felder sind jedoch historisch. Bei aktuellen Tailscale-Container-Bereitstellungen solltest du den Tailscale-Status ebenfalls dauerhaft speichern, die Authentifizierungsdaten schützen und die aktuellen Empfehlungen zur Zugriffskontrolle befolgen.
Was diese CasaOS- und Tailscale-Konfiguration bewirkt
Die Community-Anleitung wurde entwickelt, um herkömmliche öffentliche Portweiterleitungen zu vermeiden. Statt das CasaOS-Dashboard direkt im Internet bereitzustellen, treten die Geräte demselben Tailscale-Netzwerk, einem sogenannten Tailnet, bei und kommunizieren über Tailscale-Adressen.
Der ursprüngliche Workflow war:
- Führe den Tailscale-Client auf dem CasaOS-Server aus.
- Erstelle ein Tailscale-Konto oder melde dich bei einem an.
- Erstelle einen Authentifizierungsschlüssel und übergib ihn dem Tailscale-Container.
- Installiere Tailscale auf dem entfernten Laptop, Smartphone oder einem anderen Gerät.
- Melde dieses Gerät beim selben Tailnet an.
- Öffne CasaOS über die Tailscale-IP-Adresse oder einen DNS-Namen deines Tailnets.
Dies ist ein Zugriff über ein privates Netzwerk. Normalerweise musst du den CasaOS-Dashboard-Port nicht über deinen Heimrouter weiterleiten, nur um über Tailscale darauf zuzugreifen.
Wichtige Versionsgrenze für das ursprüngliche Tutorial
Im ursprünglichen Beitrag werden ausdrücklich CasaOS 0.4.4 und Tailscale 1.21.3 genannt. Er wurde 2023 verfasst, und sowohl CasaOS als auch die Konfiguration von Tailscale-Containern haben sich seitdem weiterentwickelt. Nutze die folgenden Screenshots, um den Workflow zu verstehen, statt davon auszugehen, dass jedes Feld in einer aktuellen CasaOS- oder Docker-Oberfläche genau an derselben Stelle erscheint.
Die aktuelle offizielle Tailscale-Docker-Anleitung unterstützt weiterhin die Authentifizierung eines Containers mit TS_AUTHKEY, zeigt aber auch, wie der Status dauerhaft gespeichert wird und welche Berechtigungen der Container benötigt.
Schritt 1: Den Tailscale-Container zu CasaOS hinzufügen
Die Anleitung von 2023 importierte das offizielle Tailscale-Docker-Image in CasaOS. Wenn du den historischen UI-Workflow reproduzierst, stelle sicher, dass die Image-Quelle die offizielle ist. tailscale/tailscale Image statt eines unbekannten Containers eines Drittanbieters.
Für einen modernen eigenständigen Tailscale-Container zeigt die offizielle Dokumentation konzeptionell folgendes grundlegende Muster:
docker run -d \
--name tailscale \
--hostname casaos-server \
-e TS_AUTHKEY=<tskey-YOUR-AUTH-KEY> \
-e TS_STATE_DIR=/var/lib/tailscale \
-v ./tailscale-state:/var/lib/tailscale \
--cap-add=net_admin \
--cap-add=net_raw \
--restart unless-stopped \
tailscale/tailscale:latestFügen Sie einen Authentifizierungsschlüssel niemals in einen öffentlichen Beitrag, Screenshot, ein Repository oder Support-Ticket ein. Behandeln Sie ihn wie ein Passwort. Die genauen Felder für die benutzerdefinierte CasaOS-Installation sollten dieselben Docker-Anforderungen abbilden und gleichzeitig der in Ihrer Version verfügbaren Benutzeroberfläche entsprechen.
Schritt 2: Einen Tailscale-Authentifizierungsschlüssel generieren
Im nächsten Schritt erstellte das Community-Tutorial ein Tailscale-Konto und generierte einen Authentifizierungsschlüssel über die Tailscale-Administrationsoberfläche. Dieser Schlüssel wurde dem CasaOS-Container über die TS_AUTHKEY Umgebungsvariable.
Die aktuelle Tailscale-Dokumentation unterstützt weiterhin TS_AUTHKEY. Authentifizierungsschlüssel können mit unterschiedlichen Eigenschaften erstellt werden, einschließlich wiederverwendbarem oder kurzlebigem Verhalten. Wählen Sie nur die Berechtigungen und Gültigkeitsdauer, die zum Server passen, und rotieren Sie einen Schlüssel, wenn Sie glauben, dass er offengelegt wurde.
Tailscale-Status persistent speichern, damit Neustarts sich nicht wie Neuinstallationen verhalten
Dieser Punkt ist bei einer aktuellen Bereitstellung wichtiger, als die alten Screenshots vermuten lassen. Die aktuellen Docker-Beispiele von Tailscale setzen:
TS_STATE_DIR=/var/lib/tailscaleund dieses Verzeichnis mit einem Docker-Volume oder einem Bind-Mount persistent zu machen. Ohne persistenten Status kann das Neuerstellen eines Containers dazu führen, dass sich Authentifizierung und Knotenidentität anders verhalten als erwartet.
Tailscale bietet außerdem TS_AUTH_ONCE=true für Bereitstellungen, die sich nur authentifizieren sollen, wenn der Container keinen gespeicherten Anmeldestatus hat. Wenn Sie diese Option verwenden, stellen Sie sicher, dass das Statusverzeichnis tatsächlich persistent ist.
Sehen Sie sich vor der Übersetzung eines alten CasaOS-Screenshots in eine neue Containerkonfiguration die aktuellen Tailscale-Docker-Konfigurationsparameter an.
Schritt 3: Überprüfen, ob der CasaOS-Knoten in Tailscale angezeigt wird
Nachdem der Container erfolgreich gestartet wurde, öffnen Sie die Geräteverwaltungsseite von Tailscale und bestätigen Sie, dass der CasaOS-Knoten als verbunden angezeigt wird. In der ursprünglichen Anleitung wurde anschließend die Geräteliste verwendet, um die dem Server zugewiesene Tailscale-Adresse zu ermitteln.
Wenn der Container läuft, der Server jedoch nicht als verbunden angezeigt wird, prüfen Sie die Containerprotokolle, bestätigen Sie, dass der Authentifizierungsschlüssel gültig ist, und stellen Sie sicher, dass die für Ihr aktuelles Tailscale-Image erforderlichen Status- und Netzwerkfunktionen konfiguriert sind.
Schritt 4: Tailscale auf dem Remote-Gerät installieren
Installieren Sie den Tailscale-Client auf dem Laptop, Smartphone oder Tablet, das Sie unterwegs verwenden, und melden Sie sich beim selben Tailnet an. Sobald beide Geräte mit Tailscale verbunden sind, müssen sie sich nicht im selben WLAN-Netzwerk befinden.
Aktuelle Tailscale-Verbindungen können je nach Netzwerkbedingungen direkt oder über ein Relay hergestellt werden. Laut der Tailscale-Dokumentation bleiben direkte, über DERP weitergeleitete und über Tailscale Peer Relay hergestellte Verbindungen mit WireGuard Ende-zu-Ende verschlüsselt. Der Hauptunterschied betrifft die Leistung, nicht die Verschlüsselung der Nutzdaten.
Schritt 5: CasaOS mit seiner Tailscale-IP-Adresse öffnen
In der ursprünglichen Anleitung wurde die Tailscale-IP-Adresse des CasaOS-Servers kopiert und im Browser des Remote-Geräts eingegeben.
Bei der Adresse handelt es sich normalerweise um eine Tailscale- 100.x.x.x IP-Adresse. Wenn Ihr Tailnet MagicDNS verwendet und der CasaOS-Knoten über einen passenden Gerätenamen verfügt, können Sie statt der IP-Adresse auch seinen Tailscale-DNS-Namen verwenden.
Verwenden Sie den Dashboard-Port von CasaOS, auf dem Ihre Installation tatsächlich lauscht. Wenn CasaOS auf einem nicht standardmäßigen Port konfiguriert ist, fügen Sie diesen Port in der URL hinzu.
Tailscale-IP-Adresse und IP-Adresse des Heimnetzwerks sind nicht dasselbe
Eine häufige Ursache für Verwirrung ist die Erwartung, dass Tailscale auf einem Server automatisch jede normale IP-Adresse im Heimnetz erreichbar macht. Die direkte Verbindung zum CasaOS-Rechner über seine Tailscale-Adresse ist eine Möglichkeit. Um andere Geräte über ihre gewöhnlichen LAN-Adressen zu erreichen, beispielsweise 192.168.1.x, ist eine andere Tailscale-Funktion namens Subnetz-Routing.
Wenn Sie nur das CasaOS-Dashboard und die Anwendungen benötigen, die auf demselben Host laufen, verwenden Sie zunächst die Tailscale-IP-Adresse des Servers. Konfigurieren Sie Subnetz-Routing nur, wenn der Tailscale-Knoten absichtlich den Datenverkehr zu anderen Geräten oder Subnetzen in Ihrem Heimnetzwerk weiterleiten soll.
Sicherheitskorrektur: Sie benötigen normalerweise kein weiteres VPN zusätzlich zu Tailscale
Der ursprüngliche Beitrag aus dem Jahr 2023 enthielt einen Hinweis, dass sensible Übertragungen über ein zusätzliches VPN erfolgen könnten. Diese Formulierung kann irreführend sein. Tailscale selbst ist ein verschlüsseltes privates Netzwerk auf Basis von WireGuard. Die aktuelle Tailscale-Dokumentation besagt, dass der Datenverkehr zwischen Tailscale-Geräten Ende-zu-Ende verschlüsselt ist, auch wenn eine Verbindung weitergeleitet wird.
Ein zusätzliches VPN ist daher normalerweise nicht erforderlich, um den CasaOS-Datenverkehr zu verschlüsseln, der bereits zwischen Tailscale-Knoten übertragen wird. Der gleichzeitige Betrieb mehrerer VPN-Produkte kann außerdem Routing-Konflikte verursachen. Nützlichere Sicherheitsmaßnahmen sind:
- Schützen Sie das Identitätskonto, mit dem Sie auf Ihr Tailnet zugreifen.
- Behandeln Sie Authentifizierungsschlüssel und OAuth-Anmeldedaten als Geheimnisse.
- Entfernen Sie alte oder nicht erkannte Geräte aus dem Tailnet.
- Wenden Sie Zugriffsregeln nach dem Prinzip der geringsten Berechtigung an, anstatt jedem Knoten dauerhaft Zugriff auf jeden Dienst zu gewähren.
- Halten Sie CasaOS, Docker, Tailscale und gehostete Anwendungen auf dem neuesten Stand.
- Machen Sie das CasaOS-Dashboard nicht öffentlich zugänglich, nur weil Tailscale ebenfalls installiert ist.
Tailscale empfiehlt inzwischen Grants und Zugriffssteuerungsrichtlinien, um einzuschränken, welche Nutzer und Geräte auf bestimmte Dienste zugreifen können.
Was die späteren ZimaOS-Antworten ergänzten
Eine Antwort aus dem Jahr 2024 fragte, ob dasselbe Tutorial auf einer aktuellen persönlichen ZimaCube-Cloud-NAS mit ZimaOS funktioniere. Der Nutzer konnte das Gerät in Tailscale als verbunden sehen, aber die ZimaOS-Oberfläche wurde nur teilweise geladen und zeigte wiederholt eine Meldung über das Fehlschlagen des Ladens von Anwendungen an. Der ursprüngliche Autor schlug einen Neustart vor und wies darauf hin, dass ZimaOS auch eine eigene Option für den Fernzugriff habe. Später meldete der Nutzer, dass das Problem nach der Aktualisierung von ZimaOS auf Version 1.2.2 behoben war.
Diese Antwort ist ein historischer Hinweis und keine aktuelle Kompatibilitätsgarantie. Sie zeigt, dass eine Tailscale-Verbindung hergestellt werden kann, während eine bestimmte ZimaOS-Version der Benutzeroberfläche weiterhin Probleme beim Laden von Anwendungen hat. Eine spätere Antwort aus dem Jahr 2025 besagte, dass die Schritt-für-Schritt-Methode ebenfalls dabei geholfen habe, Tailscale unter ZimaOS zum Laufen zu bringen.
Wenn Sie modernes ZimaOS anstelle von CasaOS verwenden, befolgen Sie die aktuelle Dokumentation zu ZimaOS-Apps und zum Remotezugriff, anstatt davon auszugehen, dass der Bildschirm „Benutzerdefinierte Installation“ von CasaOS aus dem Jahr 2023 die bevorzugte Einrichtung darstellt. Die Betriebssysteme haben zwar eine gemeinsame Ökosystemgeschichte, aber ihre aktuellen Abläufe für die App-Verwaltung und den Remotezugriff sind nicht identisch.
Checkliste zur Fehlerbehebung bei CasaOS Tailscale
- Vergewissern Sie sich, dass der Tailscale-Container in CasaOS ausgeführt wird.
- Vergewissern Sie sich, dass es sich beim Image um den erwarteten offiziellen Tailscale-Container oder um eine andere Quelle handelt, der Sie bewusst vertrauen.
- Prüfen Sie, ob die Authentifizierungsanmeldedaten gültig sind und weder abgelaufen noch widerrufen wurden.
- Persistent speichern
/var/lib/tailscaledamit der Knoten seinen Status bei einer Neuerstellung des Containers beibehält. - Vergewissern Sie sich, dass der CasaOS-Server in der Tailscale-Geräteliste als verbunden angezeigt wird.
- Installieren Sie Tailscale auf dem Remote-Gerät und melden Sie es beim selben zulässigen Tailnet an.
- Testen Sie die Tailscale-
100.x.x.xAdresse, bevor Sie normale LAN-Adressen ausprobieren. - Wenn die IP-Adresse funktioniert, der Hostname jedoch nicht, überprüfen Sie die DNS- oder MagicDNS-Einstellungen.
- Wenn Sie auf andere Geräte im LAN zugreifen müssen, konfigurieren Sie das Subnet-Routing separat.
- Überprüfen Sie die Zugriffsregeln des Tailnets, damit nur vorgesehene Benutzer und Geräte auf die CasaOS-Dienste zugreifen können.
FAQ zum Remotezugriff auf CasaOS über Tailscale
Muss ich CasaOS-Ports auf meinem Router weiterleiten?
Nicht für den hier beschriebenen normalen Tailscale-Ablauf. Sowohl der CasaOS-Server als auch der Remote-Client treten demselben privaten Tailnet bei. Daher greifen Sie über die Tailscale-Adresse des Servers auf ihn zu, anstatt das CasaOS-Dashboard direkt im öffentlichen Internet bereitzustellen.
Was ist TS_AUTHKEY?
TS_AUTHKEY ist eine Docker-Umgebungsvariable von Tailscale, mit der ein Container in einem Tailnet authentifiziert wird. Die aktuelle Docker-Dokumentation von Tailscale unterstützt sie weiterhin. Behandeln Sie den Wert als Geheimnis und ändern Sie ihn, wenn er offengelegt wurde.
Warum sollte ich /var/lib/tailscale persistent speichern?
In diesem Verzeichnis wird der Tailscale-Status für den Container gespeichert. Durch seine Persistenz behält der Container seine Knotenidentität und seinen Authentifizierungsstatus bei, wenn Docker den Container neu startet oder neu erstellt.
Warum kann ich die Tailscale-IP im Bereich 100.x erreichen, aber nicht meine Heimnetzadresse 192.168.x.x?
Die Verbindung zum CasaOS-Server selbst und das Routing eines gesamten Heimnetz-Subnetzes sind unterschiedliche Konfigurationen. Für den normalen Zugriff auf einen Tailscale-Knoten wird die Tailscale-IP-Adresse des Servers verwendet. Der Zugriff auf andere LAN-Adressen erfordert eine Subnet-Routing-Konfiguration und deren Genehmigung.
Ist Tailscale verschlüsselt?
Ja. Tailscale verwendet WireGuard für die verschlüsselte Kommunikation zwischen Geräten im Tailnet. Die aktuelle Tailscale-Dokumentation bestätigt, dass direkte und weitergeleitete Verbindungen weiterhin Ende-zu-Ende-verschlüsselt sind.
Sind die CasaOS-Screenshots von 2023 noch aktuell?
Sie sollten als historische UI-Referenzen betrachtet werden. Der zugrunde liegende Ablauf – Tailscale auszuführen, den Knoten zu authentifizieren und Remote-Geräte zu verbinden – ist weiterhin relevant, aber die aktuellen Docker-Parameter und CasaOS- oder ZimaOS-Oberflächen können abweichen.
