Headscale Self-host VPN（ヘッドスケール）
Headscale Self-host VPN詳細(Tailscale OSS control plane代替)。Headscale(GitHub juanfont/headscale・Apache 2.0・Go・Tailscale.com control plane互換・Self-host)・Setup: Linux server(Raspberry Pi 5/Mini PC/VPS) + Docker compose・Tailscale client connect to self-hosted Headscale endpoint・Use case: Privacy-conscious user/Self-host enthusiast/Tailscale 100 device limit回避・Subnet Router・Exit Node・Tags ACL同format・Magic DNS partial support・Web UI: headscale-ui(community・$0)・OAuth Google/GitHub/OIDC integration・cloudflared exposing local server with Tailscale-style auth・No commercial subscription・Tailscale Funnel代替: caddy reverse proxy + headscale auth・2026年 Self-host Mass appeal Best、Privacy critical user定番。
概要
Headscale Self-host VPNは、Tailscaleのオープンソース制御プレーンを完全に再現した自己ホスト型ソリューションです。GitHub上の juanfont/headscale をベースにし、Apache 2.0ライセンスで配布され、Goで実装されています。ユーザーはLinuxサーバー（Raspberry Pi 5、Mini PC、VPS）にDocker Composeでデプロイし、Tailscaleクライアントを接続するだけで、プライベートネットワークを構築できます。2025年にはTailscale 100デバイス制限を回避しつつ、Magic DNSの一部機能が統合され、2026年にはSelf-host Mass Appealとしてプライバシー重視ユーザーの定番に。さらに、cloudflaredと組み合わせたローカルサーバー公開や、caddy reverse proxyでTailscale Funnel代替を実現。商用サブスクリプション不要で、Google/GitHub/OIDC連携が可能なWeb UIも提供。
主な特徴・仕組み
- Tailscale互換制御プレーン：Tailscale APIをそのまま模倣し、既存クライアントとシームレスに連携。
- 自己ホスト環境：Raspberry Pi 5（ARM Cortex‑A76 4 GHz、4 GB RAM）やMini PC（Intel Core i7‑12700H、16 GB DDR5）で構築可能。
- Subnet Router & Exit Node：VPN内からローカルネットワーク全体にアクセスでき、特定デバイスを出口ノードに設定。
- ACL同形式：Tailscaleと同じJSON形式でアクセス制御を定義。
- Magic DNS部分サポート：VPN内での名前解決を簡素化。2025年に完全サポートへ向けてアップデート。
- Web UI (headscale-ui)：コミュニティ版で無料、ユーザー管理・デバイス一覧を可視化。
- OAuth統合：Google、GitHub、OIDCプロバイダーを利用した認証で、企業環境もスムーズ。
- cloudflared連携：ローカルサーバーをTailscale風認証付きで公開。
- Funnel代替：caddy reverse proxyとHeadscale認証を組み合わせて、Tailscale Funnelに相当。
- 商用サブスクリプション不要：完全オープンソースで運用コストゼロ。
- 2026年最新版：Self-host Mass Appealが高まり、プライバシー重視ユーザーの定番に。
スペック比較表
| 項目 | Headscale Self-host VPN | Tailscale Commercial |
|---|---|---|
| 制御プレーン | Apache 2.0、Go実装 | Proprietary、Tailscale社 |
| 料金 | 無料（セルフホスト） | 月額$5〜 |
| デバイス制限 | 無制限（設定可） | 100デバイス制限 |
| Magic DNS | 部分サポート（2025年で完全） | 完全 |
| Exit Node | 任意デバイス設定可 | 既定で有効 |
| Web UI | headscale-ui（無料） | 専用管理コンソール |
具体例・対応製品
-
Raspberry Pi 5 + 1TB NVMe SSD
- CPU: 4 GHz Cortex‑A76, 4 GB LPDDR4
- ストレージ: 1 TB NVMe, 450 W TDP
- HeadscaleをDocker Composeで稼働させ、5台のスマートフォンと接続。
-
Intel NVIDIA RTX 5090 + AMD Ryzen 9 9950X3D
- GPU: 24 GB GDDR7, 350 W TDP
- CPU: 16 コア/32スレッド, 5 GHz, 64 GB DDR5‑6000
- HeadscaleをVPSにデプロイし、ゲームサーバーとクラウドアプリをVPN経由で安全に接続。
-
Dell XPS 15 (9500) + 650 W PSU
- CPU: Intel Core i9‑11900H, 4 GHz, 32 GB DDR4
- Headscaleをローカルにインストールし、オフィス内の複数PCをVPNに接続。
自作PCでの選び方・注意点
- CPUとメモリ：HeadscaleはGoで書かれているため、軽量だが複数デバイスを管理する場合は2.5 GHz以上のCPUと8 GB以上のRAMを推奨。
- ストレージ：Dockerイメージとログは数十GBに達することがある。高速SSD（NVMe）を選択。
- 電源：Headscale自体は消費電力が低いが、VPNを経由するデバイスの増加でCPU負荷が上がる。650 W以上の電源ユニットを確保。
- ネットワーク：VLANやサブネットを利用してVPNトラフィックを分離。
- バックアップ：設定ファイル（
config.json）とACLを定期的にGitにコミット。 - セキュリティ：Headscaleはオープンソースであるため、常に最新版（2025年版はGo 1.22対応）へ更新。
- 監視：Prometheus + GrafanaでDockerコンテナのCPU・メモリ使用率を可視化。
- アクセスポリシー：ACLをJSONで細かく設定し、不要なデバイスアクセスを遮断。
関連用語との違い
| 用語 | 主な違い | 代表例 |
|---|---|---|
| Tailscale | 商用サブスク必須、制御プレーン非公開 | Tailscale Cloud |
| WireGuard | VPNプロトコルのみ、制御プレーンは別実装 | WireGuard + custom server |
| OpenVPN | 旧来のVPN、設定が煩雑 | OpenVPN Access Server |
| Headscale | Tailscale OSS制御プレーン代替、自己ホスト | Headscale Self-host VPN |
よくある質問(FAQ)
Q1. Headscaleを自宅のRaspberry Pi 5で稼働させる場合、どのくらいのCPU負荷がかかりますか？
A1. 1〜2 GHzのCortex‑A76で、1〜3 %のCPU使用率が一般的です。デバイスが増えると10 %前後になることがあります。
Q2. Magic DNSを完全に利用するにはどうすればいいですか？
A2. Headscaleの2025年リリースでMagic DNSが完全対応。config.json の magic_dns を true に設定し、DNSサーバーをVPN内に追加します。
Q3. Tailscaleの100デバイス制限を回避したい場合、Headscaleで何を設定すればいいですか？
A3. Headscaleはデフォルトで無制限です。config.json の max_devices を設定しないか、null にすることで制限なしにできます。
まとめ
Headscale Self-host VPNは、Tailscaleの機能を完全に再現しつつ、自己ホスト型で商用料金不要という点が最大の魅力です。2025年にはMagic DNSが完全サポートへ、2026年にはSelf-host Mass Appealとしてプライバシー重視ユーザーの定番に。Raspberry Pi 5やRTX 5090、Ryzen 9 9950X3Dといった最新ハードウェアと組み合わせれば、低コストで高性能なプライベートネットワークを構築できます。自作PCに導入する際はCPU・メモリ・ストレージ、電源、ネットワーク設計を十分に検討し、定期的なアップデートと監視で安全性を確保してください。