Mesh VPN: Parte 4 — Headscale o WireGuard: tu propio servidor en lugar de Tailscale

Tailscale, el servicio en la nube NetBird y ZeroTier son cómodos, pero la gestión de la red en ellos sigue estando en manos de una empresa externa: ella verifica a los usuarios, distribuye claves y reglas de acceso. Si esto es inaceptable —por requisitos de seguridad, por almacenamiento de datos en Rusia o simplemente por principio— hay dos caminos: un servidor de gestión propio Headscale o WireGuard configurado manualmente.

Headscale: tu propio servidor para clientes Tailscale

Headscale es una implementación abierta del servidor de coordinación de Tailscale para alojarlo en tu propio servidor. Los dispositivos usan los clientes oficiales habituales de Tailscale, pero se conectan no a la nube de la empresa, sino a tu servidor.

Advertencias importantes desde la descripción del proyecto:

• Headscale no está vinculado a Tailscale Inc. Es un proyecto abierto e independiente. Uno de sus mantenedores trabaja en Tailscale y puede participar en el proyecto durante su jornada laboral, pero sus cambios son revisados por los demás mantenedores.
• Tarea limitada: Headscale atiende una sola red (tailnet) y está pensado para uso personal o una organización pequeña, no para una gran empresa con cientos de equipos.

En septiembre de 2026 la última versión estable es v0.29.3, la versión mínima de cliente Tailscale soportada es v1.80.0 (según las notas del lanzamiento). Al actualizar Headscale conviene comprobar este requisito: los clientes antiguos en routers y NAS pueden dejar de conectarse.

Qué está soportado

Según la documentación de Headscale, está implementada la mayor parte de las funcionalidades de Tailscale:

• MagicDNS y DNS dividido;
• políticas de acceso (ACL y grants), Tailscale SSH;
• routers de subred y nodos de salida, aprobación automática de rutas;
• servidor DERP integrado para retransmisión;
• registro vía web, claves de preautorización e inicio de sesión mediante OpenID Connect (por ejemplo, con Keycloak);
• Taildrop, nodos temporales (ephemeral), etiquetas.

Aún no están implementados, en particular, los grupos OIDC en las reglas de acceso, las funciones Funnel y Serve, y los registros de flujo de red.

Cómo conectar un dispositivo

# en el servidor: crear un usuario
headscale users create office

# en el cliente: conectarse a tu servidor en lugar de a la nube de Tailscale
tailscale up --login-server https://headscale.example.ru

# en el servidor: confirmar el dispositivo por el identificador de la URL
headscale auth register --user office --auth-id <AUTH_ID>

Para servidores son más cómodas las claves de preautorización:

headscale preauthkeys create --user <USER_ID>
tailscale up --login-server https://headscale.example.ru --authkey <CLAVE>

La sintaxis de los comandos ha cambiado entre versiones, así que compárala con la documentación de la versión que instales.

Qué necesitarás

• un servidor con dirección fija y nombre de dominio;
• certificado TLS — los clientes se conectan por HTTPS;
• copia de seguridad de la base y de la configuración de Headscale: sin ellas, si se pierde el servidor habrá que volver a registrar todos los dispositivos;
• vigilancia de la disponibilidad y actualizaciones regulares.

WireGuard manualmente

La segunda opción es renunciar al servidor de coordinación y configurar WireGuard por tu cuenta. Cada dispositivo obtiene un par de claves, y en su configuración se listan los vecinos: sus claves públicas, direcciones y qué redes están disponibles a través de cada uno.

Según la guía oficial de WireGuard, las claves se crean así:

wg genkey | tee privatekey | wg pubkey > publickey

Configuración mínima del servidor /etc/wireguard/wg0.conf:

[Interface]
PrivateKey = <clave privada del servidor>
Address = 10.10.0.1/24
ListenPort = 51820

[Peer]
PublicKey = <clave pública del portátil>
AllowedIPs = 10.10.0.2/32

Y del cliente:

[Interface]
PrivateKey = <clave privada del portátil>
Address = 10.10.0.2/24

[Peer]
PublicKey = <clave pública del servidor>
Endpoint = vpn.example.ru:51820
AllowedIPs = 10.10.0.0/24
PersistentKeepalive = 25

La interfaz se levanta con el comando wg-quick up wg0. PersistentKeepalive mantiene la conexión detrás de NAT, y AllowedIPs define qué direcciones están disponibles a través de ese vecino.

Honestamente sobre la opción manual: es difícil construir una red mesh completa así. Cada nuevo dispositivo debe ser añadido en todos los demás, y no hay paso transparente a través de NAT — una de las partes debe tener una dirección accesible desde fuera. Por eso manualmente normalmente se monta una “estrella” con un servidor central o se conectan varias sedes con direcciones fijas. Para decenas de dispositivos en distintas sedes es más cómodo Headscale o NetBird.

MikroTik

WireGuard está soportado de serie en RouterOS 7, por lo que un router MikroTik puede ser tanto servidor como nodo de una red manual. Configuración según la documentación de MikroTik:

/interface/wireguard
add listen-port=13231 name=wireguard1
/ip/address
add address=10.10.0.1/24 interface=wireguard1
/interface/wireguard/peers
add allowed-address=10.10.0.2/32 interface=wireguard1 public-key="<clave>"

No olvides permitir el puerto UDP entrante en el cortafuegos del router. Más sobre las capacidades de los routers — en el artículo «MikroTik: ¿qué router es y por qué conviene al pequeño comercio?».

No existe cliente oficial de Tailscale para RouterOS: en la página de descargas de Tailscale sólo figuran Windows, macOS, Linux, iOS y Android. RouterOS desde la versión 7.4 puede ejecutar contenedores (se requiere el paquete container y habilitar el modo contenedores), y técnicamente se podría ejecutar un cliente Linux en él, pero oficialmente ni MikroTik ni Tailscale soportan esa variante. Es más fiable conectar la red de la oficina a Headscale o Tailscale a través de un servidor Linux o una máquina virtual detrás del router que actúe como router de subred.

Qué elegir

Errores típicos

• Headscale sin copias de seguridad. El servidor de gestión se convierte en el elemento central de la red.
• Actualizar Headscale sin comprobar las versiones de los clientes. Los clientes antiguos por debajo de la versión mínima dejan de conectarse.
• Subredes idénticas en distintas sedes — la enrutación se vuelve ambigua.
• Claves privadas en repositorios o carpetas compartidas. La clave privada de WireGuard debe permanecer sólo en su dispositivo.
• WireGuard manual para decenas de dispositivos. El mantenimiento se convierte en una edición constante de configuraciones — a esa escala se necesita un servidor de coordinación.