Qué es Tailscale: VPN en malla sobre WireGuard, explicado de forma sencilla

Qué es Tailscale

Tailscale es un servicio que une tus ordenadores, servidores y teléfonos en una única red privada sobre Internet. Los dispositivos obtienen direcciones internas permanentes y se conectan entre sí directamente mediante el protocolo WireGuard, dondequiera que estén y detrás de los routers que sean. No es necesario configurar túneles, claves ni reenvío de puertos: basta con instalar la aplicación e iniciar sesión en la cuenta.

En palabras sencillas, Tailscale hace como si todos tus dispositivos estuvieran conectados a un mismo switch de oficina, incluso si uno está en casa, otro en un centro de datos y un tercero en el bolsillo.

Cómo funciona

Tailscale consta de dos partes.

Servidor de coordinación funciona en la nube de Tailscale. Cuando inicias sesión en la aplicación, el dispositivo se registra en tu red (se la llama tailnet), publica su clave pública de WireGuard y obtiene las claves y direcciones de otros participantes, así como las reglas de acceso. Las claves privadas permanecen en los dispositivos.

Clientes en los dispositivos establecen entre sí conexiones directas cifradas. Si ambos dispositivos están detrás de NAT, los clientes lo perforan: averiguan sus direcciones externas y envían paquetes al mismo tiempo el uno hacia el otro. Si la conexión directa no es posible, el tráfico va a través de retransmisores DERP. Según la documentación de Tailscale, éstos reenvían paquetes ya cifrados y no pueden descifrarlos, porque las claves privadas no salen de los dispositivos. El retransmisor es más lento que la ruta directa, por lo que en la mayoría de casos DERP sólo es necesario para establecer la conexión.

El tráfico de usuarios no pasa por el servidor de coordinación: éste gestiona la red, pero no transmite datos.

Funciones principales

• MagicDNS. Los dispositivos son accesibles por nombres en lugar de direcciones: ssh nas en vez de ssh 100.101.102.103. Según la documentación, en redes creadas después del 20 de octubre de 2022 la función está activada por defecto.
• Reglas de acceso (ACL). En el archivo de políticas se describe quién tiene acceso a qué, por ejemplo «los desarrolladores ven los servidores de prueba, contabilidad sólo el servidor 1C». Importante: mientras no se definan reglas, se aplica la política por defecto que permite a todos los dispositivos de la red comunicarse entre sí.
• Enrutador de subred (subnet router). Un dispositivo con Tailscale abre acceso a toda una red local detrás de él: impresoras, cámaras, servidores en los que no se puede instalar la aplicación.
• Nodo de salida (exit node). Dispositivo a través del cual se puede encaminar todo el tráfico de Internet de otro participante de la red.
• Acceso mediante Tailscale SSH, compartir acceso a dispositivos concretos, claves de autorización para servidores — para conexión automática sin inicio de sesión interactivo.

Subnet router y exit node — cuál es la diferencia

Estas funciones se confunden con frecuencia, aunque resuelven tareas diferentes.

Subnet router da acceso a una red privada. Por ejemplo, en la oficina hay un servidor con Tailscale y detrás de él está la red 192.168.10.0/24 con una impresora y un servidor antiguo. Un empleado desde casa accede a 192.168.10.20 y el tráfico va a la red de la oficina a través de ese servidor. El tráfico de Internet del empleado sigue yendo como siempre, directamente.

# en el servidor de la oficina
sudo tailscale set --advertise-routes=192.168.10.0/24

Después hay que aprobar la ruta en la consola administrativa (sección Machines) o permitirla de antemano con la regla autoApprovers en el archivo de políticas. En Linux, para el enrutamiento también debe estar habilitado el reenvío de paquetes (IP forwarding).

Exit node saca todo el tráfico de Internet del dispositivo. Es útil, por ejemplo, en una red Wi-Fi pública cuando necesitas salir a Internet por tu canal doméstico u oficina.

# en el dispositivo que será nodo de salida
sudo tailscale set --advertise-exit-node

# en el cliente
sudo tailscale set --exit-node=100.64.0.5

El nodo de salida también debe ser autorizado en la consola. Un mismo dispositivo puede ser al mismo tiempo enrutador de subred y nodo de salida.

Tarifas en septiembre de 2026

Según tailscale.com/pricing:

Los planes se cuentan por usuario (“asientos”), no por dispositivo. Para el hogar y un equipo pequeño, el plan gratuito Personal suele ser suficiente.

Para una empresa rusa es importante: no se pueden pagar tarifas extranjeras con tarjeta rusa — Visa y Mastercard suspendieron sus operaciones en Rusia en marzo de 2022. Además, el servidor de coordinación está en el extranjero y lo gestiona una compañía externa. Si esto no es aceptable, hay alternativas con servidor de coordinación propio — NetBird y Headscale.

Cómo empezar

1. Instala la aplicación en el primer dispositivo: hay clientes para Windows, macOS, Linux, iOS y Android. En Linux — el script de instalación desde el sitio, luego sudo tailscale up.
2. Inicia sesión con una cuenta de Google, Microsoft, GitHub u otro proveedor soportado — así se crea tu red.
3. Repite en los demás dispositivos. Se verán inmediatamente entre sí por direcciones del rango 100.x.y.z y por los nombres de MagicDNS.
4. Configura las reglas de acceso antes de que en la red entren servidores de producción.
5. Para servidores sin interfaz usa claves de autorización, y para la red de oficina el enrutador de subred.

Errores típicos

• Dejar la política «todos pueden todo». Cualquier dispositivo de la red, incluido el teléfono personal de un empleado, ve todos los servidores.
• Confundir subnet router y exit node. Activan el nodo de salida para llegar a la red de la oficina y acaban con todo el tráfico de Internet pasando por la oficina.
• Olvidar aprobar la ruta en la consola. El comando se ejecutó, pero no hay acceso a la subred.
• Subredes que se solapan. Si en casa y en la oficina hay la misma red 192.168.1.0/24, el enrutamiento será ambiguo — es mejor elegir una dirección de oficina no estándar.
• Almacenar claves de autorización en texto claro en scripts y repositorios.

Cuándo Tailscale conviene y cuándo no

Conviene: necesitas acceso remoto a varios dispositivos y ubicaciones sin tener tu propio servidor VPN, en el equipo no hay administrador de red, es importante empezar rápido.

No conviene: el servidor de coordinación debe estar bajo tu control o en Rusia, se necesita una red de capa 2 (L2), se requiere control total sobre cada ajuste. Para estos casos — ZeroTier, NetBird, Headscale o configuración manual de WireGuard.