VPN, Proxy und Filter

Konflikt zwischen Tailscale und einem anderen VPN auf dem Mac

Tailscale gibt jedem Gerät eine Adresse aus 100.64.0.0/10. Ein anderes VPN kann den Tailscale-Datenverkehr blockieren oder dieselben Adressen nutzen.

Gilt für: aktuelles Tailscale für macOS unter macOS 13 Ventura und neuer. Die Routenbefehle funktionieren in allen aktuellen macOS-Versionen.Geprüft: 29. Oktober 2026

Symptome

  • Tailscale-Geräte antworten nicht mehr, sobald sich das andere VPN verbindet.
  • Das andere VPN funktioniert nicht mehr, sobald sich Tailscale verbindet.
  • Manche 100.x.y.z-Adressen landen im falschen Netzwerk.
  • Ein Exit-Node funktioniert nicht mehr, wenn ein zweites VPN aktiv ist.

Mögliche Ursachen

  • Strenge VPN-Firewallregeln. Laut Tailscale blockieren die meisten VPNs Datenverkehr, der nicht durch sie läuft. Das kann Tailscale-Datenverkehr verwerfen.
  • Überlappende Adressen. Ein VPN, das ebenfalls den CGNAT-Bereich 100.64.0.0 bis 100.127.255.255 nutzt, kollidiert mit Tailscale-Adressen.
  • Exit-Nodes. Laut Tailscale unterstützen Exit-Nodes nur ein VPN gleichzeitig.
  • Überlappende Subnetzrouten. Zwei Tunnel können denselben lokalen Netzwerkbereich beanspruchen. Der Mac schickt den Datenverkehr dann nur an einen davon.

So prüfst du es

  1. Zeig den Status deiner Tailscale-Verbindungen an. Nutze bei der App-Store-Version den vollständigen Pfad zur CLI.

    tailscale status

  2. Teste ein Gerät ausschließlich über Tailscale. Ersetze den Namen durch den Namen deines Geräts.

    tailscale ping my-server

  3. Zeig an, welche Schnittstelle den Datenverkehr zu einer Tailscale-Adresse transportiert.

    route -n get 100.101.102.103

  4. Zeig alle Routen an. Achte auf zwei utun-Schnittstellen mit denselben Bereichen.

    netstat -rn

  5. Hol dir einen Bericht über das Netzwerk unter dem Tunnel.

    tailscale netcheck

So behebst du es

  1. Trenne das andere VPN. Stell sicher, dass Tailscale allein funktioniert.

  2. Frag den Anbieter des anderen VPN, ob er 100.64.0.0/10 und fd7a:115c:a1e0::/48 von seinem Tunnel ausnehmen kann.

  3. Füge auch deine Tailscale-Subnetzrouten zu dieser Ausnahmeliste hinzu.

  4. Nutze keinen Tailscale-Exit-Node, solange ein anderes VPN aktiv ist.

  5. Überlappen sich die Adressbereiche, bitte deinen Netzwerkadministrator, einen davon zu ändern.

  6. Hilft nichts davon, nutze jeweils nur ein VPN.

Mit Kilobat

  1. Die Verbindungsprüfung von Kilobat nennt für jeden Pfad die Schnittstelle, etwa WLAN oder ein VPN. Sie vergleicht den direkten Pfad mit dem Tunnel.

    kilobat why my-server.example.ts.net

  2. Die VPN-Schnittstellen und ihre Zähler auflisten.

    kilobat interfaces --json

  3. Muss ein gehosteter Dienst eine Tailscale-Adresse erreichen, füge --context provider hinzu. Kilobat meldet dann, dass die Adresse privat ist.

    kilobat why http://100.101.102.103:8080 --context provider

Fragen

Wo ist die Tailscale-CLI auf dem Mac?

Die App-Store-Version enthält sie unter /Applications/Tailscale.app/Contents/MacOS/Tailscale. Die Standalone-Version kann tailscale in /usr/local/bin installieren.

Warum nutzt Tailscale 100.x.y.z-Adressen?

Tailscale nutzt den CGNAT-Bereich 100.64.0.0/10 für Geräteadressen. Andere VPNs können denselben Bereich nutzen.

Quellen

Quellen geprüft am 29. Oktober 2026. Die Manpages sind die mit macOS installierten; öffne eine mit man <name> im Terminal.