Die meisten, die nach „headscale vs tailscale“ suchen, wissen schon, was Tailscale ist. Was verwirrt, ist, was Headscale eigentlich ersetzt. Es ist kein anderer Mesh-VPN-Client, sondern ein selbst gehosteter, quelloffener Ersatz für den Koordinationsserver von Tailscale. Sie installieren weiterhin dieselbe offizielle Tailscale-App auf Laptop und Handy, sie spricht nur mit einem Server, den Sie betreiben, statt mit der Tailscale-Cloud.
Dieses eine Detail verändert die ganze Rechnung. Sie wählen nicht ein anderes Client-Erlebnis, sondern wer die Karte Ihres Netzwerks hält: die Infrastruktur von Tailscale oder Ihre eigene.
Kurze Antwort
Zum Abschnitt springen
Was ist Headscale, und wie funktioniert es?
Das Produkt von Tailscale besteht eigentlich aus zwei Dingen: der Client-App, die ein verschlüsseltes WireGuard-Mesh zwischen Ihren Geräten aufbaut, und einem Koordinationsserver, der diesen Geräten hilft, sich zu finden, Schlüssel verteilt und Zugriffsregeln durchsetzt. Headscale, in Go geschrieben und BSD-3-lizenziert, implementiert nur den zweiten Teil neu. Der eigentliche Peer-to-Peer-Datenverkehr zwischen Ihren Geräten berührt in beiden Fällen weder Headscale noch die Server von Tailscale, dieser Teil war schon immer Ende zu Ende. Was sich ändert, ist, wer die Koordinationsschicht betreibt, die das Mesh überhaupt erst möglich macht.
So wählen Sie zwischen Headscale und Tailscale
Drei Fragen decken den Großteil der Entscheidung ab:
- Müssen Ihre Netzwerk-Metadaten von den Servern Dritter fernbleiben? Bei Tailscale liegen Geräteliste, Netzwerktopologie und Zugriffsregeln auf der Infrastruktur von Tailscale, auch wenn Ihr eigentlicher Datenverkehr verschlüsselt und Peer-to-Peer ist. Wenn schon diese Metadaten ein Ausschlusskriterium sind, ist Headscale hier die einzige Option.
- Wollen Sie einen Server pflegen? Bei Headscale patchen, sichern und reparieren Sie ihn, wenn etwas kaputtgeht. Bei Tailscale nichts davon, es ist ein gehosteter Dienst, bei dem Sie sich anmelden.
- Wie viele Geräte, und wie viele schwierige Netzwerke? Der kostenlose Tarif von Tailscale (100 Geräte, 3 Nutzer) deckt die meisten Homelabs und kleinen Teams vollständig ab, und seine rund 200 globalen DERP-Relays lösen unauffällig NAT-Probleme, die Sie sonst selbst debuggen müssten.
Headscale: Ihre eigene Tailscale-Control-Plane
Headscale steht unter der BSD-3-Lizenz und ist inzwischen stabil für den persönlichen Einsatz und kleine Organisationen, mit Tausenden von Produktivbereitstellungen. Es unterstützt den Kern dessen, was Tailscale bietet: MagicDNS, Dateifreigabe mit Taildrop, Subnetz-Routing, Exit Nodes, Dual-Stack IPv4/IPv6, Zugriffskontrolllisten und Single Sign-On über OIDC. Es gibt keine künstliche Obergrenze für Nutzer oder Geräte, die einzige Grenze ist, was Ihr Server schafft.
Wichtige Funktionen
- Volle Kompatibilität mit den offiziellen Tailscale-Client-Apps, keine eigene Software zu installieren
- MagicDNS, Taildrop, Subnetz-Routing und Unterstützung für Exit Nodes
- Zugriffskontrolllisten und vorab authentifizierte Schlüssel für die automatische Geräteregistrierung
- OIDC-basiertes Single Sign-On zur Nutzerauthentifizierung
- Keine Limits pro Nutzer oder Gerät
Vorteile
- Null Kosten pro Nutzer, nie, unabhängig von der Teamgröße
- Netzwerk-Metadaten und Geräteliste verlassen Ihren eigenen Server nie
- Keine künstlichen Geräte- oder Nutzerobergrenzen, auf die Sie später stoßen
Nachteile
- Keine offizielle Weboberfläche, Sie arbeiten auf der Kommandozeile, außer Sie ergänzen Headplane separat
- Patches, Backups und Verfügbarkeit des Koordinationsservers liegen bei Ihnen
- Kein eingebautes globales Relay-Netzwerk, NAT-Traversal in kniffligen Netzwerken erfordert mehr eigene Konfiguration
Tailscale: verwaltetes Mesh-VPN ohne Wartung
Tailscale ist das kommerzielle Produkt, dessen Serverseite Headscale nachbaut. Es baut auf WireGuard auf, ergänzt eine identitätsbasierte Zugriffskontrolle und stützt sich auf rund 200 DERP-Relay-Server weltweit, die unauffällig die NAT- und Firewall-Situationen abfangen, die sonst manuelle Fehlersuche bräuchten. Der kostenlose Tarif deckt 100 Geräte und 3 Nutzer ab, großzügig genug für die meisten Homelabs und kleinen Nebenprojekte. Bezahlte Tarife beginnen bei etwa 6 USD pro Nutzer und Monat und reichen bis zu einer Premium-Stufe für 18 USD pro Monat mit tieferen SSO-Integrationen (Okta, SAML, Google, Microsoft, GitHub, GitLab).
Wichtige Funktionen
- Null Serverwartung, es ist ein vollständig verwalteter Koordinationsdienst
- Rund 200 DERP-Relay-Server weltweit für zuverlässiges NAT-Traversal
- Der kostenlose Tarif deckt 100 Geräte und 3 Nutzer ohne zeitliche Begrenzung ab
- Tiefe Enterprise-SSO-Integrationen von Haus aus
- Offizielle, ausgefeilte Webkonsole zur Verwaltung Ihres Tailnets
Vorteile
- Wirklich null Wartung, anmelden und es funktioniert
- Allein der kostenlose Tarif deckt die meisten kleinen Teams und Homelabs ab
- Das globale Relay-Netzwerk löst NAT-Probleme, die Sie sonst selbst debuggen müssten
Nachteile
- Preise pro Nutzer, sobald Sie dem kostenlosen Tarif entwachsen
- Ihre Netzwerktopologie und Geräte-Metadaten liegen auf der Infrastruktur von Tailscale
- Die Grenzen des kostenlosen Tarifs (100 Geräte, 3 Nutzer) zwingen wachsende Teams irgendwann zu einem bezahlten Tarif
Relays und NAT-Traversal: DERP und Peer Relays
Das ist die eine Stelle, an der sich die beiden wirklich darin unterscheiden, was Ihr Netzwerk kann, und nicht nur darin, wer es betreibt.
Wenn zwei Geräte keine direkte WireGuard-Verbindung aufbauen können, weil beide hinter einem strengen NAT oder einer Firewall im Unternehmen sitzen, muss etwas den Datenverkehr weiterleiten. Tailscale betreibt dafür rund 200 DERP-Relay-Server weltweit, in jeder Stufe, auch der kostenlosen. Headscale spricht ebenfalls DERP. Aber entweder richten Sie es auf die öffentlichen Relays von Tailscale aus, was Sie für genau die Verbindungen, um die es Ihnen ging, wieder auf deren Infrastruktur bringt, oder Sie betreiben eigene, und eigene richtig zu betreiben heißt Server in den Regionen, in denen Ihre Nutzer tatsächlich sitzen. Nicht eine Maschine in Frankfurt, weil dort alles andere liegt.
Unterstützt Headscale die Peer Relays von Tailscale?
Peer Relays sind die neuere Antwort von Tailscale auf dasselbe Problem. Statt über DERP zu routen, bestimmen Sie ein Gerät, das bereits in Ihrem Tailnet ist, als Relay für die anderen, was den Datenverkehr auf Ihrer eigenen Hardware hält und die Durchsatzgrenze aufhebt, die DERP auferlegt. Jedes Gerät mit Tailscale 1.86 oder neuer kann eines sein, aktiviert mit tailscale set --relay-server-port.
Bei Headscale funktioniert es, aber nicht identisch, und die Lücke ist von der Art, die Sie einen Nachmittag kostet. Die Unterstützung wird im Upstream-Projekt verfolgt. Das bekannte Problem: Beim gehosteten Dienst von Tailscale funktioniert ein Peer Relay auch dann, wenn die beiden Endpunkte den Relay-Knoten nicht direkt erreichen können, während sie ihn bei Headscale derzeit sehen müssen, was in der Praxis heißt, eine ACL-Regel hinzuzufügen, die nur dazu existiert, das Relay erreichbar zu machen. Wenn Peer Relays der Grund für Ihren Wechsel sind, lesen Sie den aktuellen Stand dieses Issues, bevor Sie sich festlegen.
Headscale: Sicherheit, SSO und ACLs
Die Verschlüsselung ist auf beiden Seiten identisch. Der Client setzt sie durch, WireGuard Ende zu Ende, und Ihr Datenverkehr läuft in beiden Fällen nie über den Koordinationsserver. Das überrascht Leute, die annehmen, das Selbsthosten der Control Plane mache den Tunnel privater. Das tut es nicht. Der Tunnel war schon privat.
Was sich ändert, ist, wer die Karte hält. Ihre Geräteliste, Schlüssel und Richtlinien liegen auf einem Server, der Ihnen gehört, was der ganze Grund dafür ist, und es heißt auch, dass Patches, das TLS-Zertifikat und die Datenbank-Backups jetzt Ihre Sache sind.
SSO und OIDC
Headscale kann SSO über OIDC: Discovery, PKCE und Autorisierung nach Domain, E-Mail-Adresse oder Gruppenzugehörigkeit. Keycloak, Entra ID und Google fügen sich ein.
Eine Einschränkung wird Sie treffen, wenn Sie Ihr Zugriffsmodell darauf ausgelegt haben. OIDC-Gruppen lassen sich in ACLs nicht referenzieren, und dynamische ACLs werden nicht unterstützt. Die Gruppenzugehörigkeit aus Ihrem Identity Provider steuert Zugriffsregeln nicht so wie in den bezahlten Stufen von Tailscale, Sie ordnen Nutzer also von Hand der Richtlinie zu.
ACLs
Dasselbe HuJSON-Richtlinienformat, das Tailscale nutzt, Regeln lassen sich also meist übernehmen. Bearbeiten heißt eine Datei und ein Reload. Oder Headplane, wenn Sie lieber im Browser arbeiten.
Headplane: die Weboberfläche, die Headscale nicht mitbringt
Betreiben Sie Headscale länger als ein Wochenende, und der reine Kommandozeilen-Workflow beginnt zu zermürben, diese Lücke füllt Headplane. Es ist eine von der Community gebaute, funktionsvollständige Weboberfläche für Headscale: Geräteverwaltung (Ablauf, Routing, Zugehörigkeit), detaillierte ACL- und Tag-Konfiguration, OIDC-Anmeldung, DNS-Einstellungen und die Möglichkeit, die Konfiguration von Headscale selbst zu bearbeiten, alles im Browser statt per SSH und Texteditor. Es ist kein offizielles Projekt von Headscale oder Tailscale, wird aber aktiv gepflegt und kommt der ausgefeilten Admin-Konsole von Tailscale am nächsten, die die selbst gehostete Seite hat.
Headscale vs Tailscale: Funktionsvergleich
| Funktion | Headscale | Tailscale |
|---|---|---|
| Lizenz / Modell | BSD-3, selbst gehostet | Proprietär, verwaltetes SaaS |
| Client-Software | Offizieller Tailscale-Client | Offizieller Tailscale-Client |
| Preise | Kostenlos, Sie zahlen nur Ihren Server | Kostenlos bis 100 Geräte/3 Nutzer, danach pro Nutzer |
| Weboberfläche | Keine eingebaut, Headplane nutzen | Offiziell, eingebaut |
| MagicDNS | Ja | Ja |
| Dateifreigabe mit Taildrop | Ja | Ja |
| Exit Nodes und Subnetz-Routing | Ja | Ja |
| SSO / OIDC | Ja | Ja, plus SAML, Okta und mehr |
| Globales Relay-Netzwerk (DERP) | Selbst konfiguriert | ~200 Relays weltweit, eingebaut |
| Peer Relays | Funktioniert, aber Endpunkte brauchen Sichtbarkeit des Relays | Allgemein verfügbar, Client 1.86+ |
| Serverwartung | Ihre Verantwortung | Keine, vollständig verwaltet |
| Geräte-/Nutzerlimits | Keine | Kostenloser Tarif auf 100 Geräte/3 Nutzer begrenzt |
Warum wir Headscale für Kunden betreiben
Die meisten Teams, die wegen Tailscale zu uns kommen, sind mit dem Produkt nicht unzufrieden, es ist ihnen unangenehm, dass die Karte ihres Netzwerks auf fremden Servern liegt, oder sie haben die Rechnung pro Nutzer wachsen sehen, jedes Mal, wenn jemand Neues dazukam. Headscale beseitigt beide Probleme, ohne zu ändern, was Endnutzer im Alltag sehen, sie installieren weiterhin dieselbe Tailscale-App, die sie ohnehin nutzen würden. Wir paketieren es als startklares AMI mit bereits konfiguriertem Koordinationsserver, ACLs und TLS, sodass der Teil, der normalerweise ein Wochenende Dokumentation lesen kostet, erledigt ist, bevor die Instanz fertig gestartet ist.
Unser Headscale-Entwicklerleitfaden behandelt die vollständige manuelle Einrichtung, wenn Sie es lieber zuerst selbst betreiben wollen.
Womit ich anfangen würde
Sie wollen null Wartung und haben unter 100 Geräte: Nutzen Sie einfach den kostenlosen Tarif von Tailscale, es gibt keinen Grund, Serverpflege hinzuzufügen, die Sie noch nicht brauchen. Ihnen sind Ihre Netzwerk-Metadaten auf fremder Infrastruktur unangenehm, oder Sie wachsen über den Punkt hinaus, an dem sich Preise pro Nutzer summieren: Headscale, zusammen mit Headplane, wenn Sie eine Weboberfläche statt der Kommandozeile wollen.
In beiden Fällen sitzen Sie nicht fest. Da beide dasselbe Protokoll mit derselben Client-Software sprechen, ist der spätere Wechsel von Tailscale zu einem selbst gehosteten Headscale-Setup eine Konfigurationsänderung, kein Migrationsprojekt.
Häufig gestellte Fragen
Headscale vs Tailscale: Was ist der eigentliche Unterschied?
Headscale ist ein quelloffener, selbst gehosteter Ersatz für den Koordinationsserver von Tailscale. Sie betreiben auf jedem Gerät weiterhin den offiziellen Tailscale-Client, er spricht nur mit Ihrem eigenen Headscale-Server statt mit der Tailscale-Cloud. Das Mesh-Netzwerk selbst ist identisch.
Was ist Headscale?
Eine selbst gehostete, in Go geschriebene und BSD-3-lizenzierte Implementierung des Control-Servers von Tailscale. Er verteilt Schlüssel, verfolgt, welche Geräte in Ihrem Netzwerk sind, und setzt Zugriffsregeln durch. Er ist kein VPN-Client und ersetzt nicht die Tailscale-App auf Ihren Geräten.
Unterstützt Headscale die Peer Relays von Tailscale?
Ja, wenn auch nicht identisch. Die Unterstützung wird im Upstream-Projekt verfolgt, und es gibt eine bekannte Lücke: Der gehostete Dienst von Tailscale leitet auch dann weiter, wenn die Endpunkte den Relay-Knoten nicht direkt erreichen können, während Headscale diese Sichtbarkeit derzeit braucht, meist über eine zusätzliche ACL-Regel.
Wo finde ich die offizielle Dokumentation für Headscale, den selbst gehosteten Tailscale-Control-Server?
Auf headscale.net, das Konfiguration, OIDC, ACL-Richtlinien und Geräteregistrierung abdeckt, mit dem Quellcode unter github.com/juanfont/headscale. Tailscale dokumentiert Headscale nicht, da es ein Community-Projekt und kein offizielles ist.
Unterstützt Headscale SSO?
Ja, über OIDC, mit Discovery, PKCE und Autorisierung nach Domain, E-Mail-Adresse oder Gruppenzugehörigkeit, sodass Keycloak, Entra ID und Google funktionieren. Ein Haken: OIDC-Gruppen lassen sich nicht in ACLs verwenden, und dynamische ACLs werden nicht unterstützt.
Ist Headscale so sicher wie Tailscale?
Die Verschlüsselung ist identisch, weil der offizielle Tailscale-Client sie durchsetzt, WireGuard Ende zu Ende, mit Datenverkehr, der in beiden Fällen nie über den Koordinationsserver läuft. Was sich ändert: Patches, TLS und Backups der Control Plane liegen dann in Ihrer Verantwortung.
Wie kann ich Headscale einrichten und Tailscale selbst hosten?
Betreiben Sie den Headscale-Server (Docker oder ein natives Binary), richten Sie Ihre Tailscale-Clients mit --login-server darauf aus und registrieren Sie dann jedes Gerät mit einem Pre-Auth-Key. Ergänzen Sie danach Headplane, wenn Sie für die tägliche Verwaltung eine Weboberfläche statt der Kommandozeile wollen.
Was ist die Headplane-Oberfläche, und brauche ich sie?
Headplane ist eine Weboberfläche eines Drittanbieters für Headscale, die die Kommandozeile bei der Verwaltung von Knoten, ACLs und DNS ersetzt. Sie brauchen sie nicht, Headscale funktioniert vollständig über die Kommandozeile, aber die meisten, die es mit mehr als ein paar Geräten betreiben, ergänzen Headplane wegen der Übersicht.
Headscale auf AWS ohne manuelle Einrichtung starten
Starten Sie einen vorkonfigurierten Headscale-Server auf AWS, eine selbst gehostete Tailscale-Alternative mit bereits eingerichtetem TLS und ACLs.
Headscale im AWS Marketplace holen
