Ausgehende Synology-Verbindungen für Tailscale zu aktivieren ist unter DSM 7 ein zusätzlicher Handgriff, den viele NAS-Besitzer zunächst übersehen. Standardmäßig erreichst du dein Synology-NAS zwar bequem über Tailscale, doch Anwendungen, die auf dem NAS laufen, dürfen nicht selbst nach außen ins Tailnet funken. Diese Anleitung zeigt dir Schritt für Schritt, wie du das TUN-Device freischaltest und so vollen ausgehenden Zugriff bekommst.
Warum ausgehende Verbindungen unter DSM 7 blockiert sind
Mit DSM 7 hat Synology deutlich strengere Regeln eingeführt, was installierte Pakete auf dem System dürfen. Unter DSM 6 lief Tailscale noch als root mit vollen Rechten – dort sind die hier beschriebenen Schritte gar nicht nötig. Unter DSM 7 läuft das Tailscale-Paket dagegen eingeschränkt und darf standardmäßig kein eigenes TUN-Device anlegen.
Die Folge: Tailscale akzeptiert weiterhin eingehende Verbindungen zum NAS, aber ausgehender Tailscale-Zugriff von anderen Diensten auf dem Synology ins Tailnet funktioniert nicht. Der Grund ist genau diese fehlende Berechtigung, ein TUN-Device (den virtuellen Netzwerkadapter für den verschlüsselten Tunnel) zu erstellen. Damit ausgehende Synology-Verbindungen für Tailscale klappen, musst du TUN gezielt freigeben.
Voraussetzungen
- Ein Synology-NAS mit DSM 7 oder neuer.
- Tailscale 1.22.2 oder eine neuere Version, installiert aus dem Paket-Zentrum.
- Administratorrechte auf dem NAS (Zugriff auf die Systemsteuerung und den Aufgabenplaner).
- Optional: SSH-Zugang, falls du das Skript einmalig ohne Neustart ausführen möchtest.
Wenn du Tailscale auf deinem NAS noch gar nicht eingerichtet hast, findest du die Grundlagen in unserer Anleitung zu Tailscale-Fernzugriffen auf das Synology-NAS ohne Portfreigabe. Grundlegende erste Schritte erklären wir außerdem im Guide Tailscale einrichten – erste Schritte.
Schritt für Schritt: TUN für Tailscale aktivieren
Rechne mit rund fünf Minuten. Das Ziel ist, bei jedem Systemstart automatisch die TUN-Konfiguration für das Tailscale-Paket zu setzen, damit ausgehende Verbindungen dauerhaft erhalten bleiben.
Schritt 1: Tailscale installieren oder aktualisieren
Stelle sicher, dass du Tailscale in Version 1.22.2 oder neuer nutzt – entweder über das Synology Paket-Zentrum oder als manuell installiertes *.spk vom offiziellen Tailscale Packages Server. Melde dein NAS anschließend wie gewohnt in deinem Tailnet an.
Schritt 2: Ausgelösten Task im Aufgabenplaner anlegen
Öffne im DSM die Systemsteuerung > Aufgabenplaner. Klicke auf Erstellen und wähle Ausgelöster Task > Benutzerdefiniertes Skript. Vergib im Reiter Allgemein einen Aufgabennamen, wähle als Benutzer root und als auslösendes Ereignis Boot-up. Achte darauf, dass die Aufgabe aktiviert ist.
Wechsle anschließend in den Reiter Aufgabeneinstellungen und trage unter Benutzerdefiniertes Skript folgenden Befehl ein:
/var/packages/Tailscale/target/bin/tailscale configure-host; synosystemctl restart pkgctl-Tailscale.serviceBestätige mit OK. Der Befehl setzt die TUN-Konfiguration für den Tailscale-Host und startet den Paketdienst neu. Starte danach das NAS einmal neu, damit der Boot-up-Trigger greift. Möchtest du den Neustart vermeiden, führe denselben Befehl einmalig als root per SSH auf dem Gerät aus, um das Tailscale-Paket direkt neu zu starten.
Dank des Boot-up-Triggers bleiben die TUN-Einstellungen ab sofort bei jedem Neustart erhalten – du musst den Schritt also nur einmal einrichten.
Schritt 3: Synology-Firewall anpassen (falls aktiv)
Sobald TUN aktiv ist, läuft der Tailscale-Datenverkehr durch die integrierte Firewall des Synology-NAS. Diese Firewall ist standardmäßig deaktiviert – falls du sie aber nutzt, musst du eine Ausnahme für das Tailscale-Subnetz 100.64.0.0/10 hinzufügen.
Gehe dazu in Systemsteuerung > Sicherheit > Firewall und füge im Standardprofil eine Regel ein, die den Datenverkehr aus dem Quell-IP-Subnetz 100.64.0.0 mit der Subnetzmaske 255.192.0.0 zulässt. Ohne diese Ausnahme blockiert die Firewall den Tunnel, obwohl TUN korrekt eingerichtet ist.
Funktion prüfen
Nach Neustart und aktivem TUN-Device sollten Dienste auf dem NAS – etwa Docker-Container, Backup-Jobs oder ein interner DNS-Resolver – andere Geräte im Tailnet über deren Tailscale-IP erreichen können. Ein einfacher Test ist ein ping von einem anderen Tailnet-Gerät aus oder das Aufrufen eines Dienstes über die 100.x-Adresse. Wenn du ohnehin gerade an der Netzwerkkonfiguration arbeitest, lohnt sich ein Blick darauf, wie du den DNS-Server auf dem Synology-Router änderst.
Fazit
Ausgehende Synology-Verbindungen für Tailscale sind unter DSM 7 kein Hexenwerk – sie brauchen nur den bewussten Schritt, das TUN-Device per Boot-up-Skript freizugeben und bei aktiver Firewall die passende Ausnahme zu setzen. Danach agiert dein NAS als vollwertiger Tailnet-Teilnehmer, der nicht nur erreichbar ist, sondern auch selbst nach außen kommuniziert. Ein einmaliger Aufwand von wenigen Minuten, der dauerhaft erhalten bleibt.
Häufige Fragen (FAQ)
Warum sind ausgehende Tailscale-Verbindungen unter DSM 7 standardmäßig deaktiviert?
DSM 7 schränkt die Rechte installierter Pakete stark ein. Das Tailscale-Paket darf ohne Zusatzschritt kein TUN-Device anlegen, das für ausgehenden Tunnel-Verkehr nötig ist. Deshalb funktionieren nur eingehende Verbindungen zum NAS, bis du TUN manuell freischaltest.
Betrifft das auch DSM 6?
Nein. Unter DSM 6 läuft Tailscale als root mit vollen Rechten. Dort ist die TUN-Freigabe bereits gegeben, und die hier beschriebenen Schritte sind nicht erforderlich.
Muss ich das NAS wirklich neu starten?
Der Neustart ist der sauberste Weg, weil der ausgelöste Task beim Boot-up greift. Alternativ kannst du den Skriptbefehl einmalig als root per SSH ausführen, um das Tailscale-Paket sofort neu zu starten – die dauerhafte Wirkung sichert aber weiterhin der Boot-up-Trigger.
Welche Tailscale-Version brauche ich?
Mindestens Version 1.22.2. Ältere Pakete kennen den Befehl tailscale configure-host nicht. Aktualisiere bei Bedarf über das Paket-Zentrum oder installiere ein neueres *.spk vom offiziellen Tailscale-Packages-Server.
Warum erreiche ich trotz TUN keine anderen Geräte?
In den meisten Fällen blockiert die aktivierte Synology-Firewall den Verkehr. Lege eine Ausnahmeregel für das Tailscale-Subnetz 100.64.0.0/10 (Maske 255.192.0.0) an. Prüfe außerdem, ob der ausgelöste Task tatsächlich als root und beim Boot-up läuft.