Salta ai contenuti
Blog

Gestire il tuo MikroTik con Tailscale

Riassunto
Tailscale crea una mesh basata su WireGuard (Tailnet) che rende MikroTik e altri dispositivi raggiungibili senza IP pubblici o NAT manuale. Questa guida spiega installazione, integrazione con RouterOS, routing di subnet, consigli di sicurezza e casi d’uso.

Gestione remota di MikroTik con Tailscale

Tailscale trasforma WireGuard in qualcosa di quasi magico.

Ti offre una mesh privata—Tailnet—dove i dispositivi comunicano come se fossero in LAN.

Niente IP pubblici. Niente apertura manuale di porte. Niente PKI da gestire.

Questo articolo spiega come funziona Tailscale, come installarlo su server e MikroTik e come esporre intere subnet in sicurezza.

Cos’è Tailscale?

Tailscale è un piano di controllo per WireGuard.

Automatizza la distribuzione delle chiavi e il NAT traversal.

Effettui il login con un provider di identità (Google, Microsoft, GitHub o SSO).

I dispositivi si uniscono a una Tailnet e ricevono IP 100.x.x.x.

I relay DERP intervengono solo se le connessioni dirette falliscono.

Risultato: connettività veloce, criptata e semplice.

Nota: Il piano di controllo autentica i dispositivi ma non decripta il traffico.

Concetti chiave

  • Tailnet: la tua mesh privata.
  • Piano di controllo: gestisce autenticazione e scambio chiavi.
  • DERP: rete di relay opzionale e crittografata.
  • Peer: ogni dispositivo—server, laptop, router.

Questi elementi rendono Tailscale resistente a CGNAT e NAT aziendali.

Modello di sicurezza

Tailscale usa la crittografia WireGuard (ChaCha20-Poly1305).

Controllo accessi basato sull’identità.

Gli ACL consentono di limitare chi può accedere a cosa.

I dispositivi compromessi possono essere revocati immediatamente.

Sono disponibili log e tracciamento per monitoraggio.

Suggerimento: Abilita MFA e configura ACL prima di aggiungere molti dispositivi.

Configurazione rapida — server e desktop

Su un server Linux o VPS:

Terminal window
curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up --authkey <AUTHKEY>
# controlla lo stato
tailscale status

Su desktop o mobile: scarica l’app dalla pagina Tailscale e accedi.

MagicDNS e MagicSocket semplificano risoluzione nomi e NAT traversal:

Terminal window
# Esempio: verifica gli IP assegnati nel Tailnet
tailscale status --json

Integrazione MikroTik (RouterOS 7.11+)

Da RouterOS 7.11, MikroTik supporta un pacchetto Tailscale ufficiale.

Passi:

  1. Scarica tailscale-7.x-<arch>.npk corrispondente dal sito MikroTik.
  2. Carica il .npk sul router e riavvia.
  3. Avvia e autentica:
/tailscale up
# Il router mostra un URL per l'autenticazione—aprilo nel browser e accedi
/tailscale status

Quando lo stato mostra connected, il router è nella tua Tailnet.

Annunci e accettazione di rotte subnet

Se vuoi che i dispositivi nella LAN del router siano raggiungibili dal Tailnet, annuncia la subnet.

Su MikroTik:

/ip route add dst-address=192.168.88.0/24 gateway=tailscale0
/tailscale up --advertise-routes=192.168.88.0/24

Poi, nella console admin di Tailscale, accetta la rotta annunciata.

Autorizzata, gli altri dispositivi nel Tailnet possono raggiungere direttamente gli indirizzi 192.168.88.x.

Attenzione: Annuncia solo reti di tua proprietà. Esporre grandi o subnet pubbliche può aumentare la superficie di attacco.

Esempi pratici

SSH a un Raspberry Pi dietro MikroTik:

ssh admin@100.x.x.x

Ping per nome con MagicDNS:

ping mikrotik.yourtailnet.ts.net

Usa le rotte subnet per raggiungere IP camera, NAS o VLAN di gestione senza inoltro porte VPN.

Vantaggi in sintesi

  • Gestione chiavi manuale azzerata.
  • Funziona dietro CGNAT e NAT stringenti.
  • Prestazioni WireGuard elevate.
  • Controllo accessi basato su identità.
  • Routing subnet facile per intere reti.

Confronto tra soluzioni

| Soluzione | Base | Facilità | Prestazioni | Ideale per | |head:

|---:|---:|---:|---|

| Tailscale | WireGuard + piano di controllo | Molto facile | Alta | Team, provider, infrastrutture miste | | WireGuard (manuale) | WireGuard | Moderata | Molto alta | Deploy minimalisti, controllo DIY | | OpenVPN / IPSec | TLS/IPSec | Complesso | Media | Dispositivi legacy, PKI granulare | | ZeroTier | Mesh custom | Facile | Alta | Reti mesh, casi senza identità |

Integrazione in ambienti ibridi

Tailscale si integra bene con cloud, on-premise e edge.

Usalo per:

  • Creare gateway tra datacenter e sedi sul campo.
  • Dare accesso sicuro a servizi interni per pipeline CI/CD.
  • Esporre temporaneamente servizi interni con Tailscale Funnel.

Best practice

  • Abilita ACL e regole di minimo privilegio.
  • Usa MagicDNS per evitare dispersione IP.
  • Forza MFA sui provider identità.
  • Mantieni aggiornati router e pacchetti Tailscale.
  • Controlla la lista dispositivi e revoca hardware perso rapidamente.

Suggerimento: Usa tag e gruppi in Tailscale per semplificare ACL su molti dispositivi.

Quando scegliere Tailscale

Scegli Tailscale se vuoi installazione rapida e sicurezza basata su identità.

È perfetto per gestire flotte MikroTik distribuite, debug remoto e connettere sistemi cloud senza gestire regole firewall.

Se ti serve pieno controllo PKI on-prem o devi supportare dispositivi legacy senza agent, valuta OpenVPN o IPSec.

Dove MKController aiuta: Se preferisci accesso remoto centralizzato, senza agent per dispositivo né approvazioni di rotta, NATCloud di MKController offre controllo remoto centralizzato, monitoraggio e onboarding semplificato per flotte MikroTik.

Conclusione

Tailscale modernizza l’accesso remoto.

Combina la velocità di WireGuard con un piano di controllo che semplifica tutto.

Per gli utenti MikroTik è un modo pratico e performante per gestire router e LAN — senza IP pubblici o tunnelling manuale.

Informazioni su MKController

Speriamo che queste informazioni ti abbiano aiutato a orientarti meglio nel mondo MikroTik e Internet! 🚀
Che tu stia ottimizzando configurazioni o tentando di mettere ordine nel caos di rete, MKController è qui per semplificarti la vita.

Con gestione cloud centralizzata, aggiornamenti automatici di sicurezza e una dashboard accessibile a tutti, abbiamo tutto ciò che serve per migliorare la tua operatività.

👉 Inizia ora la prova gratuita di 3 giorni su mkcontroller.com — e scopri cosa significa controllo di rete senza sforzo.