結論から書きます。自宅NASに外出先からアクセスしたいなら、ルーターのポート開放をするよりもTailscaleを入れるほうが簡単で安全です。Tailscaleは各端末同士を直接つなぐ「メッシュ型VPN」で、NASとスマホの両方にクライアントを入れてログインするだけで、自宅のLANにいるのと同じ感覚でNASへ届きます。ルーターの設定は一切触りません。

私は自宅の検証環境をラズパイとSynology NASで組んでいますが、以前は「外からアクセスしたいけどポートを開けるのは怖い」という理由で、結局NASを家の中でしか使っていませんでした。Tailscaleを知ってからは、この悩みがほぼ消えました。この記事では、2026年9月時点の公式ドキュメントで確認した内容をもとに、導入手順と押さえておきたい概念をまとめます。

なぜポート開放をしなくて済むのか

一般的なリモートアクセスでは、ルーターで特定のポートを開けてNASに転送する必要があります。この方法は、インターネット上のあらゆる相手からNASのログイン画面が見える状態になるため、総当たり攻撃や脆弱性を突かれるリスクがあるとされています。

Tailscaleは仕組みが違います。各端末がTailscaleの調整サーバーに「自分はここにいる」と登録し、端末同士がNAT越えの技術で直接接続します。接続はWireGuardという暗号化プロトコルで守られ、Tailscaleにログインした自分の端末以外からはNASが見えません。ルーターの内側から外向きに通信を張るだけなので、受け側のポートを開ける必要がないというわけです。

つまり「Tailscaleを入れた端末だけの小さなプライベートネットワーク（tailnet）」が作られる、と理解しておけば十分です。

ラズパイ・LinuxにTailscaleを入れる手順

自宅サーバーがラズパイやLinuxの場合、公式のインストールスクリプトが用意されています。Raspberry Pi OS（Bookworm）を含む主要ディストリビューションを自動判定してくれます。

curl -fsSL https://tailscale.com/install.sh | sh

インストール後、次のコマンドで初回ログインを行います。

sudo tailscale up

初回実行時にはターミナルにURLが表示されるので、それをブラウザで開いてGoogleやGitHubなどのアカウントで認証します。これで端末がtailnetに参加し、100.x.x.x形式のTailscale IPが割り当てられます。

ラズパイのように常時接続しておきたい端末では、管理コンソールの「Machines」画面からキーの有効期限切れ（key expiry）を無効化しておくと、数か月後に突然つながらなくなる事故を防げます。これは公式ドキュメントでも推奨されている設定です。

自宅NAS用のラズパイをこれから用意する方は、Raspberry Pi 5と外付けSSDの組み合わせが定番になっています。ラズパイをTailscaleの常時接続ノードにする構成がよく使われています。

Synology NASなら公式パッケージがある

Synology DSMには、Tailscaleの公式パッケージ（.spk）が提供されています。DSM 7向けのパッケージはTailscaleのパッケージ配布サイトからダウンロードでき、パッケージセンターの「手動インストール」から導入できます。自分のNASのCPUアーキテクチャ（x86_64、armv8など）に合ったファイルを選ぶ点だけ注意してください。

インストール後は、DSMのアプリ一覧からTailscaleを開き、ラズパイのときと同様にブラウザで認証すれば完了です。SSHでログインしてCLIから設定することもできます。

一点、DSM 7ではパッケージの権限が厳しくなっており、初期状態では「外からNASへの受信接続」はできても「NAS上の他のアプリからTailscale経由で外へ出る通信」は有効になっていないとされています。NASをバックアップの受け側として使うだけなら問題ありませんが、NASから別拠点へ同期を張りたい場合は、公式ドキュメントの追加設定を確認してください。

家族用NASとしてこれから選ぶなら、2ベイのSynology DS224+が扱いやすい価格帯です。Tailscaleの公式パッケージがそのまま動くので、追加のコンテナや自前ビルドは不要です。

無料プランの範囲とSubnet router・MagicDNS

Tailscaleの個人向けプラン（Personal）は無料で、2026年9月時点の料金ページでは「ユーザー数は最大6名」「ユーザーの端末は台数無制限」とされています。家族で使う分には十分で、私も個人利用の範囲で課金したことはありません。

もう一段便利にするなら、次の2つの機能を押さえておくとよいです。

**Subnet router（サブネットルーター）**は、tailnetに参加した1台をゲートウェイにして、Tailscaleを入れていないLAN内の機器（プリンター、古いNAS、IoT機器など）にも届くようにする機能です。ラズパイをSubnet routerにする場合、IP転送を有効にしたうえで次のように自宅LANのアドレス帯を広告します。

echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf
sudo tailscale set --advertise-routes=192.168.1.0/24

そのあと管理コンソールのMachines画面で該当端末の「Edit route settings」を開き、広告された経路にチェックを入れて保存すると有効になります。

MagicDNSは、100.x.x.xのIPを覚えなくても「nas」「raspi」のような端末名でアクセスできる名前解決機能です。新しいtailnetでは初期状態で有効になっており、管理コンソールのDNS設定から確認できます。スマホからSynologyのDS fileアプリでNASの名前を指定するだけでつながるので、家族に使ってもらうときの説明がぐっと楽になります。

まとめ

  • Tailscaleを使えば、ルーターのポート開放なしで外出先から自宅NASへ接続できます
  • ラズパイ・Linuxは公式スクリプト一発、Synologyは公式パッケージで導入できます
  • 無料のPersonalプランは最大6ユーザー・端末数無制限とされており、家族用NASには十分です
  • Subnet routerでLAN内の他の機器にも届き、MagicDNSで名前指定の接続ができます

「外からNASに触りたいけどポートは開けたくない」という方は、まずラズパイかNASに1台入れて、スマホからつながることを確かめてみてください。多くの家庭ではここまでで日常的なリモートアクセスの要件は満たせています。

運営者が作った Excel テンプレートを BOOTH で配布しています。IT 資産管理台帳（無料 Lite 版あり） / IT 資格の学習管理シート