Tailscale + リモートデスクトップ 手順書（サブ機Home → メイン機Pro）

個人personalアクティブ

Tailscale + リモートデスクトップ 手順書

別々のネットワークにある2台のWindows PCを、Tailscale（無料のメッシュVPN）でつなぎ、サブ機からメイン機へリモートデスクトップ（RDP）接続するための手順書。

このドキュメントは published: false（非公開）。Gitでpushしておき、メイン機側でpullして同じ設定を行うためのメモとして使う。

前提・役割の整理

役割PCエディションRDPの向き
クライアント（つなぐ側）サブ機Windows 11 Home ✅確認済発信のみ（Homeで可）
ホスト（つながれる側）メイン機Windows 11 Pro（要確認）着信を受ける（Pro以上が必須）
  • RDPの「ホスト」になれるのは Pro / Enterprise / Education のみ。Homeはホストになれない。
  • 今回は サブ機(Home) → メイン機(Pro) の一方向なので、標準機能で成立する。
  • ネットワークは別々（外出先↔自宅など）を想定 → ルーターのポート開放をせず、Tailscaleで安全につなぐ。

STEP 0. メイン機のエディション確認（メイン機で実施）

「Proで合っているはず」だが、念のため確認する。以下のいずれかで確認できる。

方法A: PowerShell（推奨・確実）

(Get-CimInstance Win32_OperatingSystem).Caption

→ 出力に Pro が含まれていればOK（例: Microsoft Windows 11 Pro）。

方法B: 設定画面

設定 → システム → バージョン情報 → 「エディション」欄を確認。

もしメイン機が Home だった場合は、この手順のRDP部分は使えない。その場合は末尾の「代替案」を参照（Chromeリモートデスクトップ等）。

STEP 1. Tailscaleアカウント作成（初回のみ・どちらのPCでも）

  1. https://tailscale.com/ にアクセス
  2. 「Get started」からサインアップ
  3. Google / Microsoft / GitHub などの既存アカウントでログインするのが簡単
  4. 両方のPCで必ず同じアカウントにログインすること（同じTailnet＝同じ仮想ネットワークに入る条件）

STEP 2. 両PCにTailscaleをインストール

メイン機・サブ機の両方で実施する。

インストール

  • 公式サイトの「Download」→ Windows版インストーラを取得して実行
  • または winget（管理者PowerShell）:
winget install --id Tailscale.Tailscale -e

ログイン

  1. インストール後、タスクトレイのTailscaleアイコンから「Log in」
  2. STEP 1で作ったアカウントでログイン
  3. ブラウザで承認 → デバイスがTailnetに登録される

Tailscale IP / マシン名の確認

各PCで、管理者PowerShellまたはPowerShellから:

tailscale ip -4

→ 100.x.x.x の形式のIPが表示される。メイン機のこのIPをメモしておく（サブ機からの接続先になる）。

管理コンソール（https://login.tailscale.com/admin/machines）でも、両デバイスが「Connected」になっているか確認できる。マシン名（例: main-pc）でも接続可能。

メイン機の常時接続設定（メイン機で実施・重要）

外出先から「いつでも繋ぐ」には、メイン機を常時Tailnetに居させる必要がある。以下2つを設定しないと「繋いだら居ない／数か月後に急に落ちる」が起きる。

① 無人接続モード（Run unattended）を有効化

デフォルトのTailscaleはログインユーザーのコンテキストで動くため、メイン機がロック中・サインアウト・再起動直後だとTailnetに現れないことがある。システムとして常駐させる:

  • タスクトレイのTailscaleアイコンを右クリック → Preferences（設定） → Run unattended（無人モードで実行） にチェック

② キー有効期限を無効化（Disable key expiry）

Tailscaleのデバイス鍵はデフォルトで約180日で失効する。失効するとTailnetから外れ、メイン機の手元で再ログインするまでリモート接続できなくなる。常時ホストのメイン機は失効を止める:

セキュリティ上のトレードオフ: 期限無効化は鍵が半永久的に有効になるということ。信頼できる固定機のみに適用し、メイン機を紛失・廃棄する際は管理コンソールから必ずそのデバイスを削除（Remove）すること。

STEP 3. メイン機でリモートデスクトップを有効化（メイン機で実施）

3-1. RDPをオンにする

設定 → システム → リモート デスクトップ → 「リモート デスクトップ」をオン

（PowerShellで有効化する場合・管理者権限）:

# RDPを許可
Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server' -Name "fDenyTSConnections" -Value 0
# ファイアウォールでRDPを許可
Enable-NetFirewallRule -DisplayGroup "リモート デスクトップ"

3-2. 接続を許可するユーザーの確認

  • リモートデスクトップ設定画面の「このPCにリモートでアクセスできるユーザー」を確認
  • Microsoftアカウントでサインインしている場合、そのアカウント（メールアドレス＋パスワード）で接続する
  • ローカルアカウントの場合は、そのユーザー名にパスワードが設定されている必要がある
  • ⚠️ 普段PIN・顔認証（Windows Hello）でログインしていても、RDPの資格情報にPINは使えない。 アカウントのパスワードが必要（Microsoftアカウントならメールアドレス＋Microsoftアカウントのパスワード）。PINしか覚えていない場合は、事前にパスワードを確認・リセットしておく。

3-3. スリープ対策（重要）

スリープ中は接続を受けられない。メイン機で:

設定 → システム → 電源 → 「スリープ」を 「なし」 もしくは十分長い時間に設定。

（ノートPCの場合は「電源接続時」の設定を変更）

3-4. 再起動・BitLockerの注意（該当する場合）

  • Windows Updateなどで再起動が入ると、STEP 2の「Run unattended」が無効だとサインインするまでTailnetに戻らない。無人モードを必ず有効にしておく。
  • BitLockerで起動時にPIN・パスワード・USBキーの入力を求める構成（プリブート認証）だと、再起動後にWindows起動前の画面で止まり、手元で入力するまでリモート接続できない。常時リモート前提なら、BitLockerはTPMによる自動解除（起動時入力なし）で運用する。
  • BIOS/UEFI設定変更やハード構成変更でBitLocker回復キー画面に入った場合も同様に現地対応が必要。

STEP 4. サブ機からメイン機へ接続（サブ機で実施）

前提: 両PCでTailscaleが起動・ログイン済み（タスクトレイのアイコンが接続状態）。

  1. サブ機で 「リモート デスクトップ接続」 を起動
    • スタートメニューで リモート デスクトップ接続 を検索、または Win + R → mstsc → Enter
  2. 「コンピューター」欄に メイン機のTailscale IP（100.x.x.x） を入力
    • マシン名（例: main-pc）でも可
  3. 「接続」をクリック
  4. メイン機のユーザー名・パスワードを入力
    • Microsoftアカウントの場合はそのメールアドレスとパスワード
  5. 証明書の警告が出たら内容を確認して「はい」

接続できれば、メイン機のデスクトップがサブ機に表示される。

STEP 5. 接続確認・トラブルシュート

疎通確認（サブ機から）

# TailscaleのIP宛にping（メイン機のIPに置き換え）
ping 100.x.x.x
# RDPポート3389が開いているか確認
Test-NetConnection 100.x.x.x -Port 3389

TcpTestSucceeded : True ならRDPポートまで到達している。

よくあるエラーと対処

症状原因対処
Tailscale IPにpingが通らない相手PCがスリープ / Tailscale未起動メイン機を起動しTailscaleをログイン状態にする
ping OKだがRDP接続不可RDP未有効 / ファイアウォールSTEP 3-1を再確認。Test-NetConnection ... -Port 3389
資格情報が拒否されるユーザー名/パスワード誤り、PINを入力しているMicrosoftアカウントはメール全体を入力。PINでなくパスワードを使う（STEP 3-2）
スリープで切れる電源設定STEP 3-3のスリープ無効化
マシン名で繋がらない名前解決Tailscale IP（100.x.x.x）で直接指定する
再起動後にメイン機がTailnetに出てこないRun unattended 未設定 / BitLockerプリブートで停止STEP 2の無人モード有効化、STEP 3-4を確認
数か月使ったら急に接続不能Tailscaleキーの失効（180日）メイン機で再ログイン。再発防止にDisable key expiry（STEP 2）

運用メモ

  • セキュリティ: Tailscaleは自分のアカウント内デバイス間だけをつなぐWireGuardベースのVPN。ルーターのポート開放が不要なので、RDPを直接インターネットに晒すより安全。
  • 常時接続: メイン機は「電源ON＋スリープ無効＋Tailscaleが無人モードで常駐＋キー有効期限の無効化」の4条件を維持する。外出先からいつでも繋ぐにはこの4点が要る（STEP 2・STEP 3-3）。
  • さらに絞りたい場合: Tailscaleの「ACL」でRDP(3389)をサブ機からのみ許可する設定も可能（任意）。

代替案（メイン機がHomeだった場合など）

RDPが使えない/使いたくない場合の選択肢:

  • Chromeリモートデスクトップ: 両方Homeでも可。無料・設定が最も簡単。Googleアカウントだけで完結。
  • RustDesk / AnyDesk / Parsec: 用途に応じて。Parsecは高fps用途（動画・作業）に強い。

Tailscale + 標準RDPは「Windows純正・追加ソフト最小・安全」のバランスが良いので、メイン機がProである今回は本手順を推奨。

チェックリスト

  • メイン機がPro以上であることを確認（STEP 0）
  • Tailscaleアカウント作成（STEP 1）
  • メイン機にTailscaleインストール＆ログイン（STEP 2）
  • サブ機にTailscaleインストール＆ログイン（STEP 2）
  • メイン機のTailscale IPをメモ（STEP 2）
  • メイン機で Run unattended（無人モード）を有効化（STEP 2）
  • メイン機のキー有効期限を無効化（Disable key expiry）（STEP 2）
  • メイン機でRDP有効化（STEP 3-1）
  • 接続ユーザー確認・PINでなくパスワードを準備（STEP 3-2）
  • メイン機のスリープ無効化（STEP 3-3）
  • BitLockerプリブート認証の有無を確認（該当時のみ・STEP 3-4）
  • サブ機からmstscで接続成功（STEP 4）