Режимы подключения

Настройки → Режим туннеля, один из трёх. Переключать можно когда угодно.

Режим	Что нужно	Что идёт в tailnet
Прокси	ничего	приложения, которые вы направите на локальный прокси
VPN (TUN)	разрешение VPN	адреса tailnet, а с выходным узлом — всё
Root	root (Magisk, KernelSU, APatch)	всё устройство, через интерфейс ядра tailscale0

Прокси

Разрешение VPN не нужно, поэтому режим уживается с любым другим VPN или блокировщиком рекламы. На устройстве работают:

Что	По умолчанию	Где настроить
SOCKS5	127.0.0.1:48115	Локальные прокси → Адрес SOCKS5
HTTP	127.0.0.1:8080, выключен, пока не включить Включить HTTP-прокси	Локальные прокси → Адрес HTTP-прокси
DNS для имён tailnet	127.0.0.1:1053	DNS → Адрес DNS-прокси

• Направьте на них браузер, приложение или прокси-клиент (Exclave, NekoBox…). Копировать ссылку SagerNet даст ссылку socks5://.
• Имя пользователя SOCKS5 и Пароль SOCKS5 работают только вместе: одно поле без другого игнорируется.
• Открыть прокси в локальную сеть открывает все три для вашего Wi-Fi. Сначала задайте пароль SOCKS5: без него ваш tailnet доступен любому в сети.
• Без выходного узла интернет-трафик через прокси уходит через обычную сеть телефона, с ним — через выходной узел.

Доступно из tailnet

В режиме прокси, с движком hev-socks5-tunnel и в Root-режиме без его интерфейса демон работает в userspace. Соединение с другого устройства tailnet на tailnet-адрес этого устройства, на порт, который сам демон не обслуживает, уходит на тот же порт 127.0.0.1 — так Tailscale работает в этом режиме. Значит, устройства, которых политика tailnet пускает к этому, могли пользоваться прокси TailSocks, его веб-интерфейсом и пробросами TailCat так, будто те работают у них.

С 5.1.0 собственные порты TailSocks из tailnet закрыты. Настройки → Локальные прокси → Доступно из tailnet открывает прокси по одному: SOCKS5 из tailnet, HTTP-прокси из tailnet, DNS-прокси из tailnet, Прокси Taildrive из tailnet. У веб-интерфейса и пробросов TailCat переключателя нет, они остаются закрытыми.

• Пользовались прокси телефона с другого устройства tailnet? Включите его здесь. Сначала задайте пароль SOCKS5; HTTP-прокси пароля не спрашивает никогда.
• Службы других приложений — adb по сети на 5555, SSH-сервер, Syncthing — доступны, как на любом узле Tailscale в userspace. Строго: закрыть из tailnet и всё остальное закрывает и их, кроме портов из поля Оставить открытыми порты под ним: 5555, 8022, udp:1234.
• Порт удалённого управления, 28115, подчиняется только переключателю Разрешить удалённое управление. Taildrop, папкам Taildrive и Serve эти переключатели не нужны.
• Демон подхватывает изменение примерно за секунду, без перезапуска.
• С настоящим интерфейсом — нативный движок TUN, tailscale0 Root-режима — переключатели ничего не меняют: до порта на 127.0.0.1 tailnet там не достаёт никогда. А с интерфейсом Root-режима прокси, открытые в локальную сеть, доступны и из tailnet.

Настройки → Дополнительно → Что открыто на этом устройстве показывает всё, что доступно из интернета, tailnet или локальной сети, и у каждого пункта — переключатель, который это закрывает. Тот же список есть в отчёте диагностики.

Вместе с AdGuard

AdGuard может отдавать имена tailnet TailSocks, а остальное фильтровать как обычно.

1. В AdGuard → Управление приложениями → TailSocks выключите «Направлять трафик через AdGuard», иначе получится петля.
2. AdGuard → Настройки → Общие → Расширенные → Низкоуровневые настройки:
   • Резервные upstream-серверы (dns.fallback_upstream): добавьте 127.0.0.1:1053.
   • Резервные домены (dns.fallback_domains): добавьте *.ts.net и ваши домены split DNS.
3. AdGuard → Настройки → Прокси: добавьте SOCKS5-прокси 127.0.0.1:48115 (ваш Адрес SOCKS5). До адреса 100.x можно достучаться только через него — одного имени мало.
4. Проверьте: откройте имя из tailnet, например my-laptop.example.ts.net.

VPN (TUN)

Пропускает устройство через VPN-интерфейс Android. Слот VPN Android отдаёт одному приложению, поэтому включение сначала спросит (Занять слот VPN?). Любой VPN или блокировщик, который займёт слот следом, так же отключит TailSocks.

• Без выходного узла через VPN идут только tailnet и принятые маршруты подсетей.
• С выходным узлом — весь трафик.

Настройки → Режим туннеля → Настройки режима TUN:

• Движок TUN — Нативный (по умолчанию): туннелем управляет сам tailscaled, MagicDNS, split DNS и выходные узлы работают напрямую через него. Включение и выключение выходного узла на несколько секунд перезапускает демона. hev-socks5-tunnel — движок для совместимости: каждый пакет идёт через локальный SOCKS5. Берите его, если нативный ведёт себя странно.
• Исключенные приложения — остаются вне туннеля.
• Исключенные подсети IP — при включённом выходном узле остаются в обычной сети (Android 13+).
• Весь IPv6 через туннель — по умолчанию выключено. Включайте, только если выходной узел умеет IPv6, иначе сайты с IPv6 будут висеть.

Root (экспериментально)

На рутованном устройстве (Magisk, KernelSU, APatch) демон работает через su на настоящем интерфейсе ядра tailscale0, с policy routing. Слот VPN в Android остаётся свободным.

Выберите Root в Настройки → Режим туннеля (на телевизоре: Настройки → Дополнительно → Root-режим). Переключатели — в карточке Root-режим и системная служба (ЭКСПЕРИМЕНТАЛЬНО): интерфейс ядра, загрузочный скрипт, команда tailscale для root-консоли.

• С выходным узлом через него идёт всё устройство, кроме Исключенных приложений; Системный DNS через MagicDNS (Настройки → DNS) отправляет DNS всех приложений в MagicDNS.
• Рядом с другим VPN-приложением он уступает: адреса tailnet, имена MagicDNS и локальные прокси работают, а приложения, которые тот VPN оставил вне туннеля, идут через выходной узел.
• После перезагрузки загрузочный скрипт возвращает tailnet; выходной узел и системный DNS появляются, когда работает приложение.

Всё о нём — настройка, соседство с другим VPN, загрузочный скрипт, поиск неполадок — на странице Root-режим.