Alternativas a Tailscale: adónde ir y cómo migrar sin perder el acceso

Por qué pasarte a NetBird. Es la herramienta que más se parece a Tailscale, sin su gran pega. La idea es la misma: una red en malla sobre WireGuard, conexiones directas entre dispositivos cuando la red lo permite y un relé cuando no. La diferencia es que todo está publicado: el cliente, el servidor de gestión, el de señalización y el relé. Puedes empezar con la nube de NetBird y llevarte todo a tu propio servidor más adelante. NetBird es una empresa alemana y factura sus planes en euros.

Para quién. Equipos técnicos que quieren la comodidad de Tailscale con una puerta de salida. Homelabs que quieren alojar sus propios relés. Pymes que prefieren un proveedor europeo para el mapa de su red.

Para quién no. Si no quieres ver nunca un archivo de configuración y no necesitas autoalojar, las apps móviles de Tailscale siguen algo más pulidas.

Su límite. En foros de autoalojamiento hay usuarios que se quejan del consumo de batería de la app de Android, y algunos volvieron a Tailscale por eso. Autoalojar también tiene trampas: la clave de cifrado del almacenamiento vive en config.yaml, y perder ese archivo es perder el acceso a los datos cifrados del servidor. En licencia, desde 2025 el servidor (management, signal y relay) pasó de BSD-3 a AGPLv3; el cliente sigue en BSD-3.

Cómo migrar. Instala el cliente de NetBird junto a Tailscale en dos máquinas, comprueba que se ven y pasa los dispositivos uno a uno. Las reglas de acceso se rehacen como grupos y políticas en la interfaz web, que suele ser más fácil de leer que el archivo de políticas de Tailscale. Para autoalojar, la guía oficial pide una VM Linux con 1 CPU, 2 GB de RAM y un dominio público.

Su precio. Free: 0 € para 5 usuarios y 100 máquinas. Team: 6 € por usuario y mes. Business: 12 € por usuario y mes. Solo se cobran los usuarios y máquinas activos en el periodo. La edición comunitaria autoalojada es gratis y sin límite de tiempo.

Por qué pasarte a Headscale. Headscale sustituye una sola pieza de Tailscale: el servidor de coordinación, el que intercambia claves y reparte direcciones. Tus dispositivos siguen con las apps oficiales de Tailscale; solo cambias la dirección del servidor al que se conectan. Si lo único que te molesta es que una empresa estadounidense tenga el mapa de tu red, es la migración más ligera.

Para quién. Uso personal, homelab y organizaciones pequeñas. El propio proyecto lo dice: está pensado para una sola tailnet, de uso personal o de una pequeña organización de código abierto.

Para quién no. Equipos que dependen de los app connectors, Funnel o Serve de Tailscale: no están cubiertos o siguen en incidencias abiertas en GitHub. Tampoco si necesitas un contrato de soporte.

Su límite. No hay consola web oficial: trabajas con la línea de comandos y un archivo de políticas. Headplane, una interfaz de la comunidad, cubre ese hueco, pero no la mantienen los autores de Headscale. Los grupos de tu proveedor de identidad (OIDC) no sirven en las ACL. Y sigues dependiendo de los clientes de Tailscale: si el protocolo cambia, Headscale tiene que adaptarse.

Cómo migrar. No hay botón de importación. En cada nodo: tailscale logout y luego tailscale up --login-server https://tu-headscale con una clave de preautenticación. Guarda antes tailscale status --json: una cuenta de Tailscale cerrada no te devuelve nada.

Su precio. Gratis, con licencia BSD-3-Clause. Solo pagas el servidor donde corre (mira nuestra comparativa de servidores VPS).

Por qué pasarte a ZeroTier. ZeroTier existía antes que Tailscale y funciona de otra forma: crea una red Ethernet virtual, como si todos tus dispositivos estuvieran enchufados al mismo switch. Eso permite cosas que Tailscale resuelve mal, como jugar en LAN, algunos equipos IoT o cualquier protocolo que necesite capa 2 (el nivel de las direcciones MAC). Usa su propio protocolo, no WireGuard.

Para quién. Aficionados que quieren una LAN virtual de verdad, instalaciones industriales e IoT, y quien ya conoce ZeroTier.

Para quién no. Una pyme que busca un plan gratis: el gratuito es solo para uso personal no comercial. Quien necesite una licencia de código abierto: el código está bajo BSL 1.1, código visible con restricciones.

Su límite. El plan gratis se queda en 10 dispositivos y una red. Después se paga por dispositivo, y la cuenta sube rápido con móviles, portátiles y servidores.

Cómo migrar. Crea una red, instala el agente, únete con el identificador de red de 16 caracteres y autoriza cada dispositivo en la consola. Las reglas de flujo de ZeroTier tienen su propia sintaxis: reserva una hora para reescribir tus ACL.

Su precio. Personal: gratis, 10 dispositivos, 1 red, uso no comercial. Essential: 18 $ al mes para 10 dispositivos, luego 2 $ por dispositivo. Scale: 179 $ al mes para 100 dispositivos, luego 1,80 $ por dispositivo.

Por qué pasarte a Twingate. Tailscale conecta dispositivos entre sí. Twingate da acceso a recursos concretos (una base de datos, una intranet, un NAS) y a nada más. Un conector dentro de tu red solo abre conexiones salientes, así que no abres ningún puerto. Para un equipo sin administrador de redes, ese modelo es más fácil de explicar y de auditar.

Para quién. Pymes que sustituyen una VPN de empresa, equipos que dan acceso a un proveedor externo a una sola herramienta, y quien piensa en términos de «quién puede abrir qué».

Para quién no. El homelab donde los servidores tienen que hablar entre ellos: Twingate no es una malla. Quien quiera autoalojar el plano de control: se queda en Twingate.

Su límite. El plan gratis llega a 5 usuarios. Cuando la conexión directa falla, el tráfico pasa por los relés de Twingate, con menos velocidad.

Cómo migrar. Despliega un conector por sede (basta un contenedor Docker), declara los recursos por IP o nombre DNS e invita a los usuarios. Puedes mantener Tailscale en paralelo durante el cambio: los dos clientes conviven.

Su precio. Starter: gratis hasta 5 usuarios. Teams: 5 $ por usuario y mes con pago anual, hasta 100 usuarios. Business: 10 $ por usuario y mes con pago anual. Home: 15 $ al mes, uso no comercial.

Por qué pasarte a Cloudflare Zero Trust. Si tu dominio ya está en Cloudflare, tienes acceso privado sin servidor que mantener. El cliente WARP conecta los dispositivos, Cloudflare Tunnel publica una aplicación interna sin abrir puertos y Access comprueba la identidad antes de cada conexión. El plan gratis llega a 50 usuarios, muy por encima de los 5 o 6 del resto.

Para quién. Equipos que ya usan Cloudflare y pymes que quieren poner herramientas internas (un n8n autoalojado, un panel de administración) detrás de un inicio de sesión, sin VPN clásica.

Para quién no. Quien deja Tailscale para depender menos de un gran proveedor estadounidense: todo tu tráfico pasa por Cloudflare. Quien solo quiere una malla entre servidores: la configuración es más pesada.

Su límite. La consola es enorme y está pensada para equipos de seguridad de empresa: cuenta con media jornada para orientarte. El plan gratis guarda los registros solo 24 horas.

Cómo migrar. Empieza por las aplicaciones web: un túnel por servidor y una política de Access por aplicación. Después despliega WARP en los equipos que necesiten acceso completo a la red. Nuestra agencia n8n suele poner las instancias autoalojadas detrás de este tipo de acceso.

Su precio. Gratis hasta 50 usuarios, registros de 24 horas. Pay-as-you-go: 7 $ por usuario y mes, registros de 30 días.

Por qué pasarte a NordLayer. Hay equipos que no quieren una malla, sino una VPN de empresa clásica: una IP fija para entrar en herramientas que filtran por dirección, protección en el wifi del hotel y una consola sencilla. NordLayer, de la empresa de NordVPN, hace justo eso con pasarelas listas para usar.

Para quién. Pymes que necesitan una IP dedicada (un back office, el sistema de un cliente, la banca online) y equipos comerciales que trabajan desde wifis públicas.

Para quién no. Desarrolladores que quieren conectar servidores entre sí, y quien busque un plan gratis: no lo hay.

Su límite. Mínimo 5 usuarios, y el servidor con IP dedicada cuesta 40 $ al mes aparte. Sin autoalojamiento.

Cómo migrar. Crea la organización, añade un servidor con IP dedicada si tus herramientas filtran por dirección, mete esa IP en todas las listas blancas antes de apagar Tailscale y despliega la app en los portátiles.

Su precio. Lite 8 $, Core 11 $, Premium 14 $ por usuario y mes con pago anual, mínimo 5 usuarios. Servidor con IP dedicada: 40 $ al mes adicionales. NordLayer muestra sus precios en dólares, más IVA.

Por qué pasarte a WireGuard sin más. Tailscale está construido sobre WireGuard. Si solo necesitas entrar en la red de casa o de la oficina desde fuera, quédate con el protocolo y quita todo lo demás: sin cuenta, sin servidor de coordinación, sin relés de terceros. wg-easy añade una pequeña interfaz web para crear un perfil por dispositivo y mostrar su código QR.

Para quién. Un homelab con un router que deja abrir un puerto UDP, una oficina pequeña que quiere un acceso remoto simple, quien no quiere ninguna dependencia externa.

Para quién no. Si tu operador te pone detrás de un CGNAT (una IP pública compartida, habitual en conexiones 4G y 5G y en algunas fibras), no puedes abrir puertos y WireGuard solo no funcionará sin un VPS de relé. Y cuando diez dispositivos tienen que hablar entre sí, gestionar las claves se vuelve pesado.

Su límite. Sin atravesar NAT de forma automática, sin MagicDNS, sin ACL centralizadas. Eres el administrador de todo.

Cómo migrar. Ejecuta wg-easy en Docker en una máquina de tu red, abre un puerto UDP en el router (51820 por defecto), crea un perfil por dispositivo y escanea el QR con el móvil. Cuenta una hora.

Su precio. Gratis y de código abierto. Si alquilas un servidor para saltarte el CGNAT, suma el precio de un VPS pequeño.