Bạn có chiếc máy tính ở nhà, một máy chủ thuê trên mạng và một điện thoại luôn mang theo. Muốn chúng nói chuyện với nhau, cách truyền thống là mở cổng trên router, nhớ địa chỉ IP và hy vọng không ai dò ra. Tailscale là gì, và vì sao nhiều người tự dựng máy chủ tại nhà lại chọn nó thay cho những thao tác đó? Bài này giải thích cơ chế, chi phí và cách làm từng bước.
Câu trả lời ngắn: Tailscale là phần mềm tạo một mạng riêng được mã hoá giữa các thiết bị của bạn, dựa trên WireGuard. Bạn cài ứng dụng, đăng nhập bằng tài khoản sẵn có, rồi các máy thấy nhau như đang chung mạng nội bộ mà không cần mở cổng router.
Phần hướng dẫn bên dưới bám theo video chính thức dài chưa đến 10 phút của Tailscale, đăng ngày 22/11/2023, và được đối chiếu lại với tài liệu hiện hành. Giao diện trong ảnh là giao diện lúc quay video, phiên bản mới có thể khác đôi chút.
Tóm tắt nhanh
Tailscale nối thiết bị ở nhiều nơi thành một mạng riêng gọi là tailnet.
Gói Personal miễn phí, tối đa 6 người dùng, chỉ dành cho mục đích phi thương mại.
Mỗi máy có địa chỉ cố định dạng 100.x.y.z và tên riêng nhờ MagicDNS.
Tailscale SSH cho phép đăng nhập máy chủ mà không phải tự quản lý khoá SSH.
Exit node đưa toàn bộ lưu lượng Internet đi qua một máy do bạn chọn.
- Tailscale là gì?
- Tailscale hoạt động thế nào?
- Tailscale có miễn phí không?
- So với mở cổng, VPN và điều khiển từ xa
- Cài đặt và thêm thiết bị đầu tiên
- Thêm máy chủ Linux, gọi máy bằng tên
- Tailscale SSH: vào máy chủ không cần khoá
- Exit node: lướt web như đang ở nhà
- Subnet router và Taildrop
- Hiểu lầm phổ biến
- Năm việc nên làm sau khi cài
- Câu hỏi thường gặp
Tailscale là gì?
Hãy hình dung mọi thiết bị của bạn cùng cắm vào một chiếc router vô hình, dù thực tế chúng nằm ở nhiều nơi. Điện thoại đang dùng 5G, máy bàn ở nhà và máy chủ ở một trung tâm dữ liệu đều nằm trong cùng một mạng. Mạng đó được gọi là tailnet, và chỉ những thiết bị bạn cho phép mới vào được.
Tailscale chạy được trên Linux, macOS, Windows (cả bản MSI và WSL 2), Chromebook, Apple TV, iOS, Android và Amazon Fire. Vì vậy, một tailnet có thể gom đủ loại máy, từ chiếc NAS trong tủ đến chiếc laptop bạn đang ôm ở quán cà phê.
Điểm cần nhớ: mặc định Tailscale chỉ định tuyến lưu lượng giữa các thiết bị trong mạng. Việc bạn lướt Facebook hay đọc báo vẫn đi thẳng ra Internet như bình thường, trừ khi bạn chủ động bật exit node ở phần sau.
Tailscale hoạt động thế nào?
Bí quyết nằm ở việc tách đôi công việc. Theo bài giải thích cách Tailscale hoạt động của chính hãng, một máy chủ điều phối lo phần thông tin, còn dữ liệu thì đi thẳng giữa các máy.
Mỗi thiết bị tự sinh một cặp khoá, gửi khoá công khai lên máy chủ điều phối và tải về khoá công khai của các máy khác. Khoá riêng không bao giờ rời khỏi thiết bị. Nhờ vậy, máy chủ làm mối không giải mã được dữ liệu của bạn. Phần truyền tải dùng WireGuard, một giao thức VPN mã nguồn mở gọn nhẹ.
Vì sao phải có người làm mối? Nếu tự cấu hình mạng mà mọi máy nối trực tiếp với nhau, 10 máy đã cần tới 90 đầu cấu hình, và mỗi lần đổi khoá lại phải sửa khắp nơi. Tailscale làm phần việc nhàm chán đó thay bạn.
Khó khăn tiếp theo là NAT, cơ chế khiến nhiều thiết bị dùng chung một địa chỉ công khai. Tường lửa thường chỉ cho gói tin đi vào khi trước đó đã có gói tin đi ra, nên hai máy đều ở sau tường lửa sẽ cùng chờ nhau. Tailscale dùng STUN để mỗi máy biết địa chỉ công khai của mình, rồi cho hai bên gửi gói tin gần như cùng lúc để mở đường. Kỹ thuật này được gọi là đục lỗ UDP.
Khi đường thẳng thất bại, chẳng hạn mạng chặn UDP hoàn toàn, dữ liệu chuyển qua máy chủ trung chuyển DERP. Đường này chậm hơn, nhưng DERP chỉ chuyển gói tin đã mã hoá và không đọc được nội dung.
Tailscale có miễn phí không?
Có, với mục đích cá nhân. Theo bảng giá Tailscale kiểm tra ngày 8/11/2026, gói Personal có giá 0 USD, không thời hạn, gồm tối đa 6 người dùng, thiết bị người dùng không giới hạn, 3 nhóm phân quyền và 50 tài nguyên gắn thẻ.
Lưu ý là con số trong video đã cũ. Mô tả video năm 2023 ghi 3 người dùng và 100 thiết bị, còn thông báo ngày 8/4/2026 của hãng đã nâng gói miễn phí lên 6 người dùng và bỏ gói Personal Plus.
Gói này chỉ dành cho mục đích phi thương mại. Tailnet tạo bằng email công cộng như Gmail sẽ tự thuộc gói Personal, còn tailnet dùng tên miền riêng được xem là doanh nghiệp. Nếu dùng cho công ty, các gói trả phí hiện có giá quốc tế 8 USD (Standard) và 18 USD (Premium) cho mỗi người dùng mỗi tháng.
So với mở cổng, VPN và điều khiển từ xa
Tailscale không thay thế mọi công cụ. Nó giỏi việc nối các máy lại với nhau để bạn dùng bất kỳ dịch vụ nào đang chạy trên đó, từ thư mục chia sẻ đến Nextcloud hay trang quản trị của NAS.
Nếu bạn chỉ cần xem màn hình máy khác vài lần mỗi tháng, Chrome Remote Desktop có thể đã đủ. Nếu mục tiêu là đổi vị trí để lướt web, VPN thương mại đơn giản hơn. Tailscale đáng cài khi bạn có nhiều máy và nhiều dịch vụ cần gọi nhau thường xuyên, đặc biệt khi không muốn phơi chúng ra Internet.
Cài đặt và thêm thiết bị đầu tiên
Tailscale không có mật khẩu riêng. Hãng giao phần đăng nhập cho nhà cung cấp danh tính, nên bạn dùng tài khoản Google, Microsoft, GitHub, Apple hoặc passkey. Chọn tài khoản nào thì các thiết bị sau cũng phải đăng nhập đúng tài khoản đó.
Trên điện thoại, sau khi cài ứng dụng từ kho, bạn đi qua vài màn hình giới thiệu và cấp quyền tạo cấu hình VPN. Đăng nhập xong, chọn tailnet và thiết bị xuất hiện gần như ngay lập tức trong danh sách.
Trên Windows, bạn cần Windows 10 trở lên hoặc Windows Server 2016 trở lên. Tải bộ cài từ trang của hãng, chạy, rồi tìm biểu tượng Tailscale ở khay hệ thống và chọn Log in. Trình duyệt sẽ mở ra để bạn xác thực.
Khi đã có vài máy, hãy mở trang Machines trong bảng quản trị tại console.tailscale.com. Đây là nơi bạn xem máy nào đang kết nối và đổi tên cho dễ nhớ, ví dụ đặt máy bàn là desktop. Tên ngắn sẽ giúp ích ngay ở phần tiếp theo.
Mỗi máy nhận một địa chỉ IPv4 dạng 100.x.y.z. Địa chỉ này giữ nguyên miễn là máy còn đăng ký trong tailnet, kể cả khi bạn đổi từ Wi-Fi sang 5G.
Thêm máy chủ Linux, gọi máy bằng tên
Với máy chủ không có giao diện đồ hoạ, tài liệu cài đặt trên Linux đưa ra một lệnh cài đặt là curl -fsSL https://tailscale.com/install.sh | sh, sau đó chạy sudo tailscale up. Lệnh thứ hai in ra một đường dẫn để bạn mở trên trình duyệt và xác thực. Nếu không muốn chạy thẳng script từ Internet, bạn có thể dùng gói cài tại pkgs.tailscale.com.
Máy chủ trong video đang chạy Nextcloud và ban đầu phải truy cập bằng IP công khai. Sau khi vào tailnet, người hướng dẫn mở đúng dịch vụ đó trên điện thoại qua 5G, bằng một tên miền nội bộ.
Đó là việc của MagicDNS, tính năng tự đăng ký tên cho từng thiết bị. Tailnet tạo từ ngày 20/10/2022 đã bật sẵn tính năng này. Tên đầy đủ gồm tên máy và tên tailnet, kết thúc bằng ts.net, nhưng thường bạn chỉ cần gõ tên máy, chẳng hạn ping desktop.
Tailscale SSH: vào máy chủ không cần khoá
Với SSH thông thường, bạn phải tạo, chép và giữ khoá trên từng máy. Tailscale SSH đổi cách làm: chạy tailscale set –ssh một lần trên máy đích, Tailscale sẽ nhận các kết nối SSH đi vào từ tailnet và tự xác thực dựa trên danh tính thiết bị.
Tệp sshd_config và authorized_keys không bị thay đổi, nên kết nối SSH thông thường không qua Tailscale vẫn hoạt động. Lưu ý là lệnh bật sẽ làm các phiên SSH đang mở tới địa chỉ Tailscale của máy bị treo, vì vậy hãy chạy nó từ một kết nối khác.
Thành phần máy chủ chạy trên Linux và trên macOS với bản CLI mã nguồn mở, không chạy trên Synology hay QNAP. Máy kết nối đi thì thuộc nền tảng nào có Tailscale cũng được. Chính sách mặc định cho phép bạn SSH vào thiết bị của chính mình ở chế độ kiểm tra, có thể yêu cầu xác thực lại định kỳ.
Exit node: lướt web như đang ở nhà
Exit node là một thiết bị trong tailnet mà các máy khác có thể đẩy toàn bộ lưu lượng Internet qua. Bạn đang ngồi quán cà phê, nhưng với website bên ngoài, bạn đang truy cập từ mạng ở nhà. Một ứng dụng thực tế là khi cần dùng dịch vụ nhạy cảm với vị trí, hoặc khi không tin mạng Wi-Fi công cộng.
Để bật, chạy tailscale set –advertise-exit-node trên máy Linux. Trên macOS có sẵn tuỳ chọn Run Exit Node trong trình đơn. Sau đó, vào trang Machines, mở trình đơn của máy, chọn Edit route settings và bật Use as exit node.
Hộp thoại trên còn có một cảnh báo đáng chú ý. Khi khoá của exit node hết hạn, các thiết bị đang dùng nó sẽ mất Internet qua đường này cho tới khi xác thực lại. Đây là cơ chế chủ động nhằm tránh rò rỉ lưu lượng. Với máy chủ luôn bật, bạn có thể tắt hết hạn khoá cho riêng máy đó.
Trên điện thoại, mở ứng dụng, chọn mục Exit Node rồi chọn máy mong muốn. Cách kiểm tra đơn giản là xem địa chỉ IP công khai đã đổi thành IP của exit node hay chưa.
Linux, macOS, Windows, Android, iOS và tvOS đều làm được exit node, nên một chiếc Apple TV ở nhà người thân cũng có thể đảm nhận việc này. Android chạy ở chế độ userspace nên có thể chậm. Hãy nhớ tốc độ thực tế còn bị giới hạn bởi tốc độ tải lên của mạng nơi đặt exit node.
Subnet router và Taildrop
Không phải thiết bị nào cũng cài được Tailscale. Máy in hay camera có thể tham gia gián tiếp thông qua subnet router, một máy trong mạng đóng vai trò cổng trung gian. Bạn quảng bá dải mạng bằng lệnh sudo tailscale set –advertise-routes=192.0.2.0/24, rồi duyệt trên trang Machines. Tuy vậy, hãng vẫn khuyên cài trực tiếp trên thiết bị khi có thể.
Taildrop là cách gửi tệp ngang hàng giữa các máy của bạn. Tính năng đang ở giai đoạn alpha và phải bật mục Send Files trong trang quản trị. Nó chỉ gửi được giữa các thiết bị của chính bạn, không gửi cho người dùng khác dù cùng tailnet.
Nếu bạn đang chuyển dữ liệu sang NAS, Tailscale là cách gọn để mở NAS từ xa mà không phải cấu hình tên miền động hay đưa trang quản trị ra Internet.
Hiểu lầm phổ biến
Vì Tailscale dùng cấu hình VPN trên điện thoại, nhiều người cho rằng nó giống ứng dụng VPN đổi IP. Thực ra biểu tượng VPN chỉ cho biết đường hầm đang chạy, còn lưu lượng ra Internet vẫn giữ nguyên nếu chưa chọn exit node.
Một hiểu lầm khác là mọi thứ đều đi vòng qua máy chủ của hãng. Máy chủ điều phối chỉ lo thông tin kết nối, và khi phải dùng DERP thì dữ liệu vẫn được mã hoá đầu cuối giữa hai thiết bị.
Năm việc nên làm sau khi cài
Tailscale giảm bề mặt tấn công vì bạn không phải mở cổng, nhưng tài khoản đăng nhập trở thành chìa khoá của cả mạng. Ai chiếm được tài khoản đó sẽ thêm được máy lạ vào tailnet của bạn.
1. Xoá thiết bị không còn dùng
Điện thoại cũ hay máy đã bán vẫn có thể còn trong danh sách. Hãy dọn trang Machines định kỳ.
2. Bật xác minh hai bước ở tài khoản đăng nhập
Tailscale không giữ mật khẩu của bạn, nên lớp bảo vệ nằm ở tài khoản Google, GitHub hoặc Microsoft mà bạn chọn.
3. Chỉ tắt hết hạn khoá ở máy chủ luôn bật
Giữ hết hạn khoá cho laptop và điện thoại để máy thất lạc không có quyền truy cập mãi mãi.
4. Không bật Allow Local Network Access quá lâu
Tuỳ chọn này cho phép truy cập mạng LAN khi dùng exit node, nhưng cũng làm lộ thiết bị trước các máy lạ trong mạng đó, ví dụ trên Wi-Fi công cộng.
5. Thu hẹp quyền khi chia sẻ tailnet
Khi có thêm người dùng, hãy xem lại tệp chính sách truy cập để mỗi người chỉ thấy đúng các máy cần thiết.
Câu hỏi thường gặp
Tailscale có thay thế được VPN thương mại không?
Chỉ một phần. Khi có exit node, bạn đi ra Internet từ một máy của mình, nên đổi được IP theo vị trí máy đó. Tuy nhiên, bạn cần tự có máy đặt ở nơi muốn đi ra, không có sẵn danh sách quốc gia như dịch vụ VPN thương mại.
Máy phải bật liên tục không?
Một máy chỉ kết nối được khi đang bật và có Internet. Nếu bạn muốn mở dịch vụ bất cứ lúc nào, hãy đặt dịch vụ đó trên máy luôn chạy như NAS, Raspberry Pi, Apple TV hoặc máy chủ thuê. Laptop ngủ thì sẽ tạm thời không kết nối được.
Có cần địa chỉ IP tĩnh hay tên miền không?
Không. Tailscale không yêu cầu IP tĩnh, mở cổng hay tự mua tên miền. Mỗi thiết bị nhận sẵn một địa chỉ 100.x.y.z cố định và một tên trong miền ts.net, dùng được bên trong tailnet của bạn.
Dùng cho công ty có được gói miễn phí không?
Không nên. Tailscale nêu rõ gói Personal chỉ phù hợp với mục đích phi thương mại. Tailnet dùng tên miền riêng được xem là doanh nghiệp và được dùng thử 14 ngày. Công ty nên xem gói Standard hoặc Premium trên bảng giá.
Vì sao kết nối đôi khi chậm?
Có thể các thiết bị không đi thẳng được và phải qua máy trung chuyển DERP, thường gặp ở mạng chặn UDP hoặc NAT khó. Nếu đang dùng exit node, tốc độ tải lên của mạng đặt exit node cũng là giới hạn.
Kết luận
Tailscale biến bài toán mạng vốn khó thành vài thao tác quen thuộc: cài, đăng nhập, gọi máy bằng tên. Nếu bạn có từ hai thiết bị trở lên cần gọi nhau khi ra ngoài, gói miễn phí đủ để bắt đầu mà không phải đụng vào router.
Bạn định dùng Tailscale để mở NAS, vào máy chủ hay đưa lưu lượng về nhà? Hãy chia sẻ ở phần bình luận và theo dõi Nhật Phúc để đọc thêm các hướng dẫn công nghệ dễ làm theo.
