Private Apps mit Tailscale oder WireGuard auf blitz.cloud

Eine private App auf blitz.cloud hat keine öffentliche Adresse. Nur Geräte in deinem eigenen Netz können sie öffnen: in deinem Tailscale-Tailnet oder in einem WireGuard-Netz, das du schon betreibst, zum Beispiel auf deinem Router. Du verbindest ein Netz auf der Seite Private network im Dashboard und schaltest eine App dann im Tab Settings auf privat. Der kostenlose Tarif verbindet ein Netz mit beliebig vielen privaten Apps, Pro bis zu fünf.

Wann eine private App sinnvoll ist

Manche Apps gehören nicht ins offene Internet: ein Passwort-Manager, den nur deine Familie nutzt, eine Fotosammlung, ein Admin-Panel, ein Datenbank-Werkzeug. Privat geschaltet haben sie gar keine öffentliche Adresse mehr. Niemand findet sie, rät ein Passwort oder probiert eine Sicherheitslücke an ihnen aus.

Tailscale verbinden

1. Öffne im Dashboard Private network und klick auf Connect Tailscale.
2. Melde dich mit deinem Tailscale-Konto an. Die Karte aktualisiert sich von selbst, sobald du angemeldet bist.
3. Installier Tailscale auf Handy oder Laptop und melde dich mit demselben Konto an, falls noch nicht geschehen.

Deine privaten Apps treten deinem Tailnet dann als ein Gerät bei. Wenn du lieber einen Namen pro App willst, etwa http://immich, und eine Zählung deiner Geräte, wähl "Use an OAuth client instead": Leg in Tailscales Admin-Konsole einen OAuth-Client an und füg sein Secret ein. blitz.cloud trägt das Tag, das seine Geräte brauchen, selbst in die Richtlinie deines Tailnets ein, du musst die Zugriffsregeln also nicht von Hand bearbeiten. Wer das Tag lieber selbst einrichtet, findet im Dashboard auch die engeren Rechte dafür.

WireGuard verbinden

Wenn du schon einen WireGuard-Server betreibst oder einen Router mit WireGuard hast, etwa eine FRITZ!Box:

1. Leg auf deinem Router oder VPN-Server ein neues Gerät (einen "Peer") an und lade seine Konfiguration herunter. Nutz sie nur für blitz.cloud, denn zwei Geräte können sich keine Konfiguration teilen.
2. Klick auf Private network auf Upload config und wähl die Datei aus.

blitz.cloud tritt deinem Netz als dieses Gerät bei. Die Konfiguration enthält einen privaten Schlüssel. Wir speichern ihn verschlüsselt und nutzen ihn nur, um deinem Netz beizutreten. Eine Konfiguration, deren Router aus dem Internet nicht erreichbar ist, wird schon beim Hochladen mit Begründung abgelehnt. Das passiert hinter Carrier-Grade-NAT, wie es viele Anschlüsse zu Hause haben, und bei reinen IPv6-Anschlüssen.

Nach dem Verbinden öffnest du die Adresse, die auf der Karte steht, von einem Gerät in deinem Netz. Dort stehen alle deine privaten Apps.

Eine App privat schalten

Öffne die App, geh zu Settings und schalte sie auf privat. Was sich ändert:

• Die öffentliche Adresse funktioniert nicht mehr. Statt Visit zeigt die App "Private, on your network".
• Die App schläft nicht mehr ein und antwortet sofort, wenn du sie aus deinem Netz öffnest.
• Mit Tailscale bekommt sie einen festen Namen in deinem Tailnet, mit WireGuard einen festen Port auf der Adresse, die blitz.cloud in deinem Netz hat.

Schaltest du sie zurück auf öffentlich, ist die Adresse wieder da.

Ein Netz trennen

Beim Trennen fragt das Dashboard, was mit den Apps passieren soll, die an diesem Netz hängen: wieder öffentlich machen oder pausieren. Gelöscht wird nichts.

Grenzen

Bevor du ein Netz verbindest, musst du deine E-Mail-Adresse bestätigen. Ein KI-Assistent, der über MCP verbunden ist, kann deine Netze auflisten und eine App privat oder öffentlich schalten. Das Verbinden eines Netzes bleibt im Dashboard, weil es ein Secret oder eine Konfigurationsdatei braucht. Siehe KI-Assistenten anbinden.