Alternativas a Cloudflare Zero Trust: adónde ir y cómo migrar sin cortar el acceso

Por qué pasarte a Twingate. Si usas Cloudflare para dar acceso a herramientas internas (una intranet, una base de datos, un servidor SSH), Twingate hace lo mismo con menos menús. Un conector se instala en tu red, solo hace conexiones de salida, y declaras recursos: una dirección, un nombre, una subred. Cada usuario ve solo lo que le has abierto.

Para quién. Las pymes que sustituyen una VPN antigua y quieren acceso por recurso sin montar una plataforma de seguridad entera.

Para quién no. Los equipos que también usaban el filtrado DNS y web de Cloudflare Gateway: en Twingate, el filtrado DNS es un complemento del plan Business.

Su límite. El gratuito se queda en 5 usuarios y 50 recursos, frente a 50 usuarios en Cloudflare. Teams aparece desde 5 $ por usuario y mes, con un máximo de 100 usuarios; Business parte de 10 $ y llega a 500 usuarios (la tabla de Twingate muestra también 12 $ por usuario según la facturación: comprueba el importe al pagar).

Cómo migrar. Instala un conector de Twingate junto a cloudflared, en la misma máquina o en una vecina. Recorre tu lista de aplicaciones de Access y crea un recurso de Twingate para cada una. Pasa primero a un grupo pequeño y luego apaga el túnel de Cloudflare correspondiente.

Por qué pasarte a Tailscale. Cloudflare hace pasar cada conexión por su red. Tailscale conecta tus equipos directamente sobre WireGuard y solo usa un relé cuando la conexión directa falla. Para un servidor que habla con una base de datos, un desarrollador que entra en una máquina de pruebas o un acceso SSH, es más directo y a menudo más rápido.

Para quién. Equipos técnicos con servidores, portátiles y máquinas virtuales que unir.

Para quién no. Quien publicaba una aplicación web en su propio dominio para gente de fuera: Funnel, la función para compartir en público, solo usa nombres en ts.net y los puertos 443, 8443 y 10000.

Su límite. El plan Personal llega a 6 usuarios, pero es solo para uso no comercial. Una empresa paga desde el primer día: 8 $ por usuario y mes en Standard y 18 $ en Premium.

Cómo migrar. Instala Tailscale en cada servidor que estaba detrás de un túnel y cambia los nombres públicos por nombres MagicDNS. Reescribe las reglas de Access como reglas de acceso de Tailscale, grupo a grupo. WARP puede seguir instalado durante la transición, pero comprueba que no se peleen por el DNS. Nuestra guía para dejar Tailscale cuenta sus límites desde dentro.

Por qué pasarte a NetBird. Si tu motivo es depender de Cloudflare, NetBird responde de frente: el proyecto es de código abierto y puedes alojar tú mismo el servidor de gestión y el relé. En el día a día es una malla sobre WireGuard, con reglas de acceso por grupo y consola web.

Para quién. Equipos que quieren controlar toda la cadena, o que tienen requisitos de soberanía sobre sus datos.

Para quién no. Un equipo sin nadie que mantenga un servidor. Autoalojarlo pide una máquina virtual Linux (al menos 1 vCPU y 2 GB de memoria), los puertos TCP 80 y 443 y UDP 3478 abiertos, y un dominio público.

Su límite. Es una malla entre equipos, no un filtro web: pierdes lo que hacía Gateway. NetBird Cloud es gratis hasta 5 usuarios y 100 máquinas; después, Team cuesta 6 € y Business 12 € por usuario y mes. Truco: NetBird solo cobra los usuarios y máquinas que se han conectado al menos una vez en el periodo.

Cómo migrar. Empieza en NetBird Cloud para validar tus reglas y pasa a tu propio servidor si quieres. Instala el agente en las máquinas que estaban detrás de cloudflared y recrea tus grupos.

Por qué pasarte a Pomerium. Muchos equipos usan Cloudflare Access para una sola cosa: poner un inicio de sesión delante de aplicaciones web internas. Pomerium hace justo eso, sin cliente en los portátiles. El usuario abre la dirección, entra con su cuenta de empresa y la regla decide. Pomerium Core es de código abierto y se instala en tu infraestructura.

Para quién. Equipos técnicos que publican paneles, herramientas de administración o APIs internas y quieren controlar el proxy.

Para quién no. Quien necesita acceso completo a la red (carpetas compartidas, protocolos que no son web): mejor Twingate o NetBird.

Su límite. La versión gestionada, Zero, es gratis solo para uso personal. Zero Business cuesta 7 $ por usuario y mes en anual (9 $ en mensual), sobre los usuarios activos del mes, con 100 rutas y 100 reglas.

Cómo migrar. Cada aplicación de Access se convierte en una ruta de Pomerium: dirección pública, dirección interna y regla (grupo, dominio de correo). Apunta el DNS a Pomerium aplicación por aplicación.

Por qué pasarte a ZeroTier. Cloudflare cobra por usuario. Si lo que necesitas es que sensores, terminales de venta, servidores o máquinas industriales hablen entre sí, pagar por dispositivo tiene más sentido. ZeroTier crea una red local virtual: las máquinas se ven como si estuvieran en el mismo switch.

Para quién. Parques de máquinas, IoT, sedes remotas que unir.

Para quién no. Un equipo de oficina que quiere acceso por aplicación con reglas por persona.

Su límite. El gratuito (10 dispositivos, una red) es solo para uso no comercial. Essential cuesta 18 $ al mes para 10 dispositivos, y luego 2 $ por dispositivo; Scale, 179 $ al mes para 100 dispositivos.

Cómo migrar. Crea una red, instala el agente en cada máquina, autorízalas en la consola y cambia las direcciones de los túneles por las de ZeroTier.

Por qué pasarte a NordLayer. Algunos equipos adoptaron Cloudflare para proteger la navegación y salir a internet desde una dirección conocida. Si es tu caso, una VPN de empresa con IP dedicada lo resuelve con menos configuración: tus proveedores autorizan tu IP y tu equipo se conecta con un clic.

Para quién. Equipos pequeños que trabajan desde cafeterías y hoteles, o que deben conectarse desde una IP autorizada.

Para quién no. Quien quiere acceso por aplicación con reglas finas: NordLayer sigue siendo una VPN.

Su límite. Sin plan gratuito y con un mínimo de 5 usuarios. Lite cuesta 8 $, Core 11 $ y Premium 14 $ por usuario y mes en anual, y Core y Premium exigen un servidor con IP dedicada por 40 $ más al mes. Garantía de devolución de 14 días.

Cómo migrar. Contrata la IP dedicada, pide que la añadan a las listas blancas de tus proveedores antes de apagar Cloudflare y despliega el cliente. Nuestra comparativa de VPN para empresas clasifica más opciones.