Tailscaleの使い方と設定方法 ― ポート開放なしで、会社のPCに外から入る
2026年8月26日に書き、2026年9月19日に、最短まとめ・基本と無料の範囲・鍵の期限切れ・よく使うコマンドを足しました。実際に動かして書いています。
つなぎたい機器それぞれにアプリを入れて、同じアカウントでサインインする。それだけです。 ルーターのポート開放は要りません。設定ファイルを配って回る必要もありません。
Tailscale の解説記事は日本語でも何本かあるんですが、読んでみるとどれも自宅のPCとか 自宅のファイルサーバに入る話でした。会社で使おうとすると、引っかかる場所が少し違います。 とくに v6プラスのような回線だと、そもそも普通のVPNが立てられないので、そこから話が要ります。
わたしは実際に、自宅から Android タブレットのブラウザだけで会社のPCを触るところまでやりました。 速度も、長い文章を打っていて不満のない程度には出ています。以下、そのときの手順です。
使い方の最短まとめ（この3つで動きます）
- 両方のPCに Tailscale を入れて、同じアカウントでサインインする。操作される側（会社）と操作する側（自宅）の両方です。片方だけでは何も起きません。
- 相手の機器名かアドレスを控える。Tailscale の画面（または
tailscale status）に出る機器名（例：office-pc）か、100. で始まるアドレスで相手を指定します。 - ClearRemote で、その機器名かアドレスに接続する。ルーターのポート開放も、設定ファイルの配布も要りません。
会社のPCを誰もサインインしていない状態（再起動の直後など）でもつなぎたいときは、会社のPC側で一度だけ 「ログインしなくても実行」を有効にしておきます（手順4の注意）。つながらないときは 「つながらないときは、この3つ」へ。
Tailscaleとは何か、何が無料か（先に1分）
Tailscale は、離れた場所にある機器どうしを「同じ社内LANにいるように」つなぐ仕組みです。
それぞれの機器にアプリを入れて同じアカウントでサインインすると、機器ごとに 100. で始まる専用のアドレスと、
office-pc のような名前が付きます。通信は機器どうしが直接（暗号化して）やり取りし、
Tailscale のサーバーは「どの機器がどこにいるか」の仲介だけをします。画面のデータが Tailscale のサーバーを通ることは、直接つながっている限りありません。
- 無料の範囲（Personal プラン）：6 ユーザーまで、台数は無制限（2026年9月時点の公式料金ページ）。個人や小さな会社で「自宅から会社のPC」に使う分には無料で足ります。有料は Standard が 1 ユーザー月 8 ドルから。
- 要るもの：Google・Microsoft・Apple・GitHub などのアカウント1つ（これが手順1）。ルーターの設定、固定IP、サーバーは要りません。
- 向かないもの：「不特定多数に公開する」用途。Tailscale は同じアカウント（同じ tailnet）の機器だけがつながる仕組みです。
なぜ「ポート開放なし」が要るのか
社外から社内のPCに入るには、ふつうはVPNを立てます。ところが v6プラス・OCNバーチャルコネクトなどのMAP-E方式の回線では、そのVPNが立てられないことがあります。
MAP-E は、1つのIPv4アドレスを何人かで分け合う仕組みです。自分が使えるポート番号は 飛び飛びの一部だけに決まっていて、443 や 1194 のような定番の番号は、まず自分の持ち分ではありません。 「VPNサーバを定番ポートで立てる」前提のものは、ここでつまずきます。
うちの拠点（v6プラス回線、Synology RT6600ax）でも、SSL VPN は使えませんでした。 OpenVPN のほうは、MAP-E で割り当てられたポート番号に合わせて立て直して、ようやく動きました。 そのうえ端末ごとに設定ファイルを配って回ることになります。正直、面倒です。
Tailscale は待ち受けません。両側から外へ出ていって、途中で合流します。 だからポート開放が要らないし、MAP-E でもそのまま通ります。
手順1 アカウントを用意する
tailscale.com でアカウントを作ります。 Google・Microsoft・GitHub・Apple のアカウントでサインインできるので、 新しくIDとパスワードを作る必要はありません。
会社で使うなら、最初のアカウント選びだけ気をつけたほうがいいです。 個人の私用アカウントで作ってしまうと、その人が辞めたときに、社内の全PCがぶら下がった ネットワークごと個人の持ち物になります。会社として管理できるアカウントで作ってください。 あとから移すのは面倒です。
手順2 操作される側のPCに入れる
- tailscale.com/download/windows からインストーラーをダウンロードして、実行します。ふつうのWindowsアプリと同じです。
- 入れ終わると、ブラウザが勝手に開いてログイン画面が出ます。 手順1のアカウントでサインインしてください。操作はこれだけです。
- サインインが済むと、そのPCに
100.で始まるアドレスが1つ割り当てられます。 タスクトレイのアイコンから確認できます。
このアドレスは控えておいてください。あとで接続先として使います。
ClearRemote なら、［このPCを公開する］の［このPCのアドレス］の一覧に
（Tailscale / VPN） と書かれた行で出てくるので、そこから拾えます。
アドレスの代わりに機器の名前でも指定できます（MagicDNS）。タスクトレイのアイコンを開くと
「This device: 名前（100.○○.○○.○○）」のように出ていて、クリックするとアドレスが控えられます。
名前は管理コンソール（login.tailscale.com/admin/machines）の
Machines で、その機器の「…」→ Edit machine name から office-pc のような分かりやすいものに変えておくと、あとで迷いません。
手順3 操作する側にも入れる
両方に入れないと届きません。ここを見落とすと、アドレスは分かっているのに うんともすんとも言わない、という状態になります。わたしはこれで30分溶かしました。
Windows・Mac から操作する場合
手順2とまったく同じです。入れて、同じアカウントでサインインします。
Androidタブレット・スマホから操作する場合
- Google Play で「Tailscale」を検索して、インストールします。
- 起動するとサインインの画面が出ます。手順1と同じアカウントでサインインします。 Googleアカウントで作った場合は、そのままGoogleアカウントを選ぶだけです。
- これで終わりです。ほかに設定するところはありません。 （「VPN接続を許可しますか」という確認が出たら、許可してください。端末のOSが聞いてくるものです）
あとは、ふだん使っているブラウザで開くだけです。
実際、うちでは Chrome で http://100.○○.○○.○○:55510 を開いただけで繋がりました。
Tailscale のアプリ側で、接続先を選んだり設定を書いたりする必要はありません。
iPhone・iPad の場合も、App Store から入れて同じようにサインインします。
手順4 ClearRemote側の設定
いつもと同じです。Tailscale のために変えることはありません。
- 操作される側のPCで ClearRemote を起動し、［このPCを公開する］を待ち受けにします。
- ［ファイアウォールに登録］を1回押します。
- 操作する側で、［接続先IP］に
100.で始まるアドレスを入れて接続します。
ClearRemote は社内LAN・VPNの中からの接続だけを受け付けます。
Tailscale が配るアドレス（100.64〜100.127）は、
「VPNの中」として扱いますので、そのまま繋がります。
タブレットやスマホから、ブラウザで使う場合
ClearRemote はアプリを入れずにブラウザだけでも使えます。タブレットから使うならこちらです。
- 操作される側で、［ブラウザ用パスワード］を設定します。 空欄のうちは、ブラウザからの接続を拒否します。
- タブレットのブラウザで
http://100.○○.○○.○○:55510/を開きます （数字は手順2で控えたアドレス、ポートは ClearRemote の画面に出ている番号です）。
ブラウザ経路そのものは暗号化されていません。ただし Tailscale のトンネルの中を通るので、その区間は保護されます。 逆に言えば、Tailscale を通さずに外へ出してはいけない、ということです。 もっとも ClearRemote は社内LAN・VPN以外からの接続を受け付けないので、 うっかり公開してしまうことはありません。
つながらないときは、この3つ
実際にこの順番で引っかかりました。
① 両方サインインできていますか
これが一番多いはずです。片方だけだと、そのアドレス宛ての通信が Tailscale に乗らず、 ふつうのインターネットへ出て行ってしまいます。
再起動のあと、誰もサインインしていない間は止まっていることがあります。
Windows 版の Tailscale は、既定ではユーザーがサインインしている間だけ動きます。
Windows Update などで再起動したPCは、誰かがサインインするまで Tailscale が止まったままで、
ClearRemote 側がロック画面で待ち受けていても届きません。
操作される側のPCで、Tailscale の設定にある「ログインしなくても実行（Run unattended）」をオンにしてください
（管理者の PowerShell で tailscale set --unattended でも同じです）。
やっかいなのは、そのとき ping だけ通ることがあることです。
100.64〜100.127 は Tailscale だけの帯ではなく、
通信事業者が加入者に配る帯でもあるため、
途中の別の機器が代わりに答えてしまいます。
「ping が通るから経路はあるはずだ」と読まないでください。
Windows なら、繋ぎに行く側でこう打つと分かります。
Test-NetConnection 100.○○.○○.○○ -Port 55510
SourceAddress が 100. で始まっていなければ、その機械は Tailscale を使っていません。
サインインを確認してください。
② Windows がその接続を「パブリック」に分類していませんか
ClearRemote のファイアウォール登録は、カフェやホテルのような場所で穴が開かないよう、 プライベート／ドメインのネットワークに限っています。 パブリックのままだと、「登録済み」と表示されていても1つも通りません。
［設定］→［ネットワークとインターネット］から、その接続を 「プライベート ネットワーク」に変更してください。
③ 中継サーバ経由になっていませんか
お互いに直接つながれない場所では、Tailscale は中継サーバを通ります。
繋がることは繋がりますが、目に見えて遅くなります。
Windows のコマンドプロンプトで tailscale status と打つと、
相手の行が direct（直接）か relay（中継）かが出ます。
置き換えを決める前に、実際に使う場所で何度か試してください。 1回通ったことは「いつでも通る」の証明にはなりません。
ある日突然つながらなくなったら：鍵の期限切れ（180日）
しばらく問題なく使えていたのに、ある日つながらない。この原因でいちばん多いのが鍵の期限切れです。 Tailscale は機器ごとの鍵に期限があり、既定では 180 日。期限が来ると、その機器との通信が止まります（公式の説明：期限までに再認証しないと、その機器との接続が止まる）。
- 会社のPCのような「置きっぱなしの機器」は、期限を無効にしておく。管理コンソールの Machines で、その機器の「…」→ Disable key expiry。これで切れなくなります。
- もう切れてしまったら。その機器で Tailscale にサインインし直します（Windows なら管理者の PowerShell で
tailscale up --force-reauth、またはトレイのメニューから Log in）。手元から届かない機器なら、管理者が Machines で Temporarily extend key を選ぶと 30 分だけ延び、その間に相手側でサインインし直せます。
ほかに引っかかりやすいこと
- 会社のPCがスリープしている。Windows の電源設定で「スリープ状態にする」を「なし」に。ノートPCなら「カバーを閉じたときの動作」も。
- ログイン前は動かない設定になっている。再起動の直後や更新のあとにつながらないのはこれ（手順4の注意）。
- 自宅と会社で別のアカウントでサインインしている。たとえば自宅は Google、会社は Microsoft で作ると、別々の tailnet になって互いに見えません。同じアカウントで。
- 別のVPN（会社の SSL-VPN など）と同時に動いている。経路がそちらに取られることがあります。切り分けるときは片方を止めます。
- セキュリティソフトのファイアウォール。Tailscale の
100.のアドレス帯からの接続を止めていることがあります。ESET などは「ネットワークの種類」を自宅／信頼済みに。
よく使うコマンド（Windows は管理者の PowerShell で）
| やりたいこと | コマンド |
|---|---|
| いま見えている機器と、直接か中継かを見る | tailscale status |
| このPCのアドレスを見る | tailscale ip -4 |
| 相手に届くか、直接つながっているかを見る | tailscale ping office-pc |
| 回線の状態（中継サーバまでの距離など）を見る | tailscale netcheck |
| ログイン前でも動かす（置きっぱなしの機器） | tailscale set --unattended |
| 鍵の期限切れのあと、サインインし直す | tailscale up --force-reauth |
管理コンソール（Machines）では、機器の一覧・最後に見えた時刻・鍵の期限・名前の変更ができます。ブラウザで開くだけで、機器側の設定は要りません。
実際に動かした記録
2026年8月、うちの拠点（v6プラス回線）でやってみた結果です。
- 自宅から、Androidタブレットのブラウザだけで会社のPCを操作できました。 ポート開放は一切していません。長い文章を打っていて、遅くて困るということはなかったです。
- 操作された側のPCは、モニターもキーボードもマウスも1つも繋がっていない状態でした （画面の解像度を保つため、ダミープラグだけ挿してあります）。
- 同じLANの中にいるときは、Tailscale はLANの経路を直接使いますので、 外を経由せず、いちばん速い形になります。
なぜ Tailscale のほうが速いのか
使ってみると、これまでの OpenVPN より明らかに軽いです。理由は2つあって、 効いているのは暗号の重さより、通り道の形のほうだと思っています。
理由1 通り道が違う
OpenVPN だと、通信が全部ルーターを通ります。自宅のタブレットから会社のPCを触るときも、 行きも帰りもいったん会社のルーターまで行って折り返す。 Tailscale は途中で折り返しません。お互いが直接つながります。
理由2 暗号の重さが違う
OpenVPN は、ルーターやNASのCPUにとっては重い処理です。そこが天井になって、それ以上は出ません。 Tailscale が使っている WireGuard は、もっと軽い設計です。同じ機械でも通る量が変わります。
なので「Synologyに負荷がかかってるのか」は、かかっています。 ただ負荷が天井に当たっていなくても、理由1のぶんだけは必ず遅くなります。
ついでに OpenVPN が TCP で動いていると、さらに悪い
OpenVPN は UDP でも TCP でも動きますが、TCP で設定されていると目に見えて悪くなります。 TCP の中で TCP を流すと渋滞の制御が二重にかかり、 混んだ瞬間に一気に止まります。「なんとなく遅い」ではなく 「ときどきガクッと固まる」感じがあるなら、ここを疑ってください。
速さは、数字で比べられます
ClearRemote のウィンドウの下に、RTT（往復の時間）が出ています。 同じPCに OpenVPN 経由と Tailscale 経由で順番に繋いで、その数字を見比べてください。 体感の正体が数字になります。
あわせて、Windows のコマンドプロンプトで tailscale status と打つと、
相手の行が direct（直接）か relay（中継）かが出ます。
直接つながっているときが、上の図の下側の形です。
最後に、2つだけ
Tailscale はうちが作ったものではありません。料金や利用条件は、使う前に自分で確かめてください。 仕事で使うと、台数や管理の条件が個人利用とは変わることがあります。
それと、ClearRemote 自体は外部のサーバへ出ません。 ここで書いた Tailscale は、離れた場所どうしを繋ぐための別の仕組みで、選ぶのは使う人です。 社内VPNでも、ほかのメッシュVPNでも構いません。ClearRemote 側の設定は、どれを使っても同じです。
ClearRemote は、Windows用のリモートデスクトップです。 exe を1個置いて起動するだけで、インストールもアカウント登録も要りません。 相手のマルチモニターを1枚ずつ別のウィンドウに分けて表示できます。 無料版があります。
ClearRemote について詳しく見る →
v6プラス（MAP-E）の拠点に、VPNで入れますか →
ダウンロード →