Tailscale と ZeroTier の比較｜仕組み・管理方法・向いている用途の違いと選び方

Tailscale と ZeroTier は、どちらも中央の VPN サーバーを立てずに、離れた端末同士を仮想ネットワークでつなげるサービスです。結論からいうと、サーバーの管理画面や SSH への安全な経路を手早く作りたいなら Tailscale、L2 のネットワークをまるごと延長したい場合や、管理基盤を自前で持ちたい場合は ZeroTier が候補になります。この記事では、両者の仕組みと管理方法の違いを整理し、Web サイト運用での使い方と選ぶときの判断材料を示します。

共通点：メッシュ型の VPN

従来の VPN は、拠点に VPN サーバーを置き、すべての端末がそこを経由します。Tailscale と ZeroTier はどちらも、端末同士が可能なかぎり直接通信するメッシュ型です。

• 端末にクライアントを入れてログイン（または参加）すると、仮想ネットワーク上の IP アドレスが割り当てられます。
• NAT の内側にある端末同士でも、NAT 越えの仕組みで直接つながろうとします。
• 直接つながらない場合は、提供元が運営する中継サーバーを経由します。

ルーターでポートを開ける必要が基本的に無いため、自宅、オフィス、クラウドの VM をまとめて同じネットワークに入れられます。どちらにも無料で使える枠がありますが、利用できる台数や機能の範囲、料金体系は変更されることがあります。導入前に各社の公式サイトで最新の条件を確認してください。本記事の機能説明も執筆時点のものです（2026年10月現在）。

違い1：通信の仕組みとネットワークの層

Tailscale は WireGuard をもとにしています。通信の暗号化は WireGuard の方式で行われ、仮想ネットワークは L3（IP）です。端末には 100.64.0.0/10 の範囲から IP が割り当てられます。直接通信できない場合は、DERP と呼ばれる中継サーバーを HTTPS で経由します。

ZeroTier は独自のプロトコルを使い、仮想ネットワークは L2（イーサネット）として振る舞います。そのため、ブロードキャストやマルチキャストに依存する機器の探索、古い業務アプリの通信、物理 LAN とのブリッジといった用途にも対応できます。IP の割り当て範囲は、ネットワークの管理者が自由に決められます。

どちらが速いかは、回線、NAT の種類、直接通信できたか中継を経由したかで大きく変わります。一般論で優劣を決めるより、実際の環境で試して比べるほうが確かです。

違い2：管理方法と認証

Tailscale は、Google、Microsoft、GitHub などの既存のアカウント（ID プロバイダー）でログインする仕組みです。社員の退職時には ID プロバイダー側でアカウントを止めれば、VPN へのアクセスもあわせて止められます。端末間の通信許可は、管理コンソールのアクセス制御ポリシー（JSON 形式の設定）で、「このグループはこのタグの付いたサーバーの 22 番ポートだけ」のように細かく書けます。ポリシーの書式は機能追加に伴って新しい書き方が加わっているので、公式ドキュメントで確認してください。

ZeroTier は、16 桁のネットワーク ID を指定して参加し、管理者がコントローラー上で端末を承認する方式が基本です。通信の制御は、ネットワークごとのルール（フロールール）で記述します。

違い3：自前でホストできるか

Tailscale のクライアントはオープンソースですが、端末の情報や鍵を配る調整サーバーは Tailscale 社のサービスです。自前で運用したい場合は、互換の調整サーバーを実装したオープンソースの Headscale という選択肢があります。ただし、Tailscale 社の公式製品ではなく、すべての機能が使えるわけではありません。

ZeroTier は、クライアントにネットワークコントローラーの機能が含まれており、自前でコントローラーを動かせます。管理画面が必要な場合は、コミュニティ製のツールを組み合わせます。ZeroTier のライセンスはバージョンによって変わってきた経緯があるため、業務で自前運用や組み込みを考えている場合は、使うバージョンのライセンス条件を確認してください。

比較表

Web サイト運用での使い方

WordPress などのサーバー運用では、管理用の経路を VPN の内側に移す使い方が効果的です。

SSH を VPN 経由に限定する

サーバーにクライアントを入れて仮想ネットワークに参加させ、SSH をその経路からだけ受け付けるようにします。インターネット側の 22 番ポートを閉じられれば、総当たり攻撃のログが大きく減ります。Tailscale の場合の確認手順は次のとおりです。

# サーバー側で参加し、状態を確認
sudo tailscale up
tailscale status
tailscale ip -4

# 別の端末から疎通を確認（直接通信か中継かも分かる）
tailscale ping web-server

ZeroTier の場合は次のとおりです。参加後、コントローラーで端末を承認するまで通信できない点に注意してください。

sudo zerotier-cli join 0123456789abcdef
sudo zerotier-cli listnetworks
sudo zerotier-cli peers

ファイアウォールで公開側の SSH を閉じる作業は、順序が大切です。VPN 経由で SSH ログインできることを確認してから閉じます。順序を誤ると、サーバーに入れなくなります。クラウドのコンソール接続など、別の復旧経路も確保しておいてください。

管理画面へのアクセスを制限する

wp-admin やデータベースの管理ツールを VPN の IP 範囲からだけ許可する方法もあります。Nginx の例です。

location /wp-admin/ {
    allow 100.64.0.0/10;   # Tailscale の割り当て範囲
    deny all;
    # 以降は通常の PHP 処理の設定
}

admin-ajax.php は公開側の機能でも使われることがあるため、/wp-admin/ 全体を制限するとサイトの一部が動かなくなる場合があります。設定前に Nginx の設定ファイルをバックアップし、検証用の環境で動作を確認してから本番に反映してください。

選び方のまとめ

• Tailscale が向いている場合: 既存の ID プロバイダーで社員のアクセスを管理したい、サーバーへの SSH や管理画面への経路を短時間で整えたい、アクセス制御を細かく書きたい。
• ZeroTier が向いている場合: L2 で拠点の LAN を延長したい、ブロードキャストを使う機器や古いアプリを通したい、コントローラーを自前で運用したい。

どちらも数台なら短時間で試せます。実際に使う端末と回線で、つながりやすさ、速度、管理のしやすさを比べてから決めると、導入後の手戻りを減らせます。

まとめ

• Tailscale と ZeroTier はどちらもメッシュ型の VPN で、ポート開放なしに離れた端末をつなげられます。
• Tailscale は WireGuard ベースの L3 ネットワークで、既存の ID プロバイダーと連携した認証とアクセス制御が強みです。
• ZeroTier は独自プロトコルの L2 ネットワークで、LAN の延長やコントローラーの自前運用に向いています。
• 無料枠や料金、ライセンス条件は変わるため、導入前に公式の最新情報を確認します。
• サーバー運用では SSH や管理画面を VPN 経由に限定すると効果的ですが、公開側を閉じる前に VPN 経由の接続と復旧経路を確認します。

• WireGuardで社内VPNを構築する方法
• NAT 越えができない場合の原因と対処法