subnet router は、Tailscale をインストールできない機器へ届くための橋になる端末です。
プリンタ・NAS・古いサーバー・クラウドのVPC内リソースのように、Tailscale クライアントを入れられない相手はどうしてもあります。そこで、同じネットワーク内の1台が「このLAN（例：192.168.1.0/24）へは私を経由してください」とtailnet に広告し、代わりに取り次ぎます。
どんな場面で使うか
- 社内LAN全体へ、外から安全に入りたい（1台入れれば全機器に届く）
- プリンタ・NAS・ネットワーク機器など、クライアントを入れられない機器を使いたい
- AWS の VPC や拠点ネットワークを tailnet と接続したい
使うための手順（考え方）
- LAN内の1台（Linuxが定番）で、経路として広告するサブネットを指定して起動する
- その端末で IP forwarding を有効化する（パケットを転送する許可。忘れると「承認したのに届かない」の定番原因）
- tailnet の管理者が広告された経路を承認する
全端末インストールとの使い分け
Tailscale の基本は「各端末に直接入れる」で、その方が端末単位のアクセス制御が効きます。 subnet router 越しの機器は tailnet からはIPアドレスの塊として見えるため、制御の粒度が「どの端末か」から「どのIPレンジか」へ粗くなります。入れられる端末には直接入れ、入れられない機器だけ subnet router で拾うのが定石です。
近い用語との違い
- exit node … インターネット全体への出口。subnet router は特定のLANの内側への入口。方向が逆
- VPNゲートウェイ … 従来の拠点間VPNの入口装置。subnet router はその Tailscale 版に近い役割
- tailnet … ネットワーク全体の単位。subnet router はそこに既存LANを継ぎ足す部品
全体像は Tailscaleとは？VPNとの違い で扱っています。