Alternatives a Tailscale el 2026: taula comparativa
Una alternativa a Tailscale és qualsevol xarxa de malla que connecti els teus dispositius sense obrir ports. Les quatre que es comparen aquí són Headscale, NetBird, ZeroTier i prialo. La diferència que importa no és el túnel, que quasi sempre és WireGuard, sinó on corre el pla de control i qui guarda les claus i les metadades de la xarxa.
Què fa Tailscale i per què se'n busquen alternatives
Tailscale munta una xarxa de malla sense passarel·la central fent servir WireGuard: cada dispositiu guarda el seu parell de claus i el servidor de coordinació, operat per Tailscale Inc., reparteix el mapa de la xarxa i les adreces. Quan dos equips no aconsegueixen parlar-se en directe, el trànsit passa pels seus relés DERP. Funciona bé, i per això les alternatives es busquen per altres motius: qui opera el servidor de coordinació, a quin país queden les metadades (noms de dispositiu, claus públiques, adreces, qui s'ha connectat i quan) i si pots endur-te la xarxa a un servidor teu quan vulguis.
4 criteris per comparar xarxes de malla: túnel, control, claus i NAT
- Túnel: el protocol que xifra els paquets entre dispositius. WireGuard és l'estàndard de facto i el seu codi és públic; un protocol propi obliga a confiar en la revisió d'un sol fabricant.
- Pla de control: qui reparteix adreces, claus públiques i polítiques. Pot operar-lo el fabricant als seus servidors o pots allotjar-lo tu en una màquina teva.
- Claus i metadades: on viuen els noms de dispositiu, les adreces i el registre de connexions. El contingut del trànsit no passa mai pel pla de control; les metadades sí.
- Travessia de NAT: què passa quan dos equips són darrere del CGNAT de l'operador o d'un NAT simètric i no poden obrir camí directe. Cal un relay, i convé saber de qui és i per on passa.
Tailscale, Headscale, NetBird, ZeroTier i prialo: taula comparativa
| Eina | Túnel | Pla de control | Qui guarda claus i metadades |
|---|---|---|---|
| Tailscale | WireGuard | Servidor de coordinació de Tailscale Inc. i relés DERP propis | Tailscale Inc., als seus servidors |
| Headscale | WireGuard (clients de Tailscale) | Reimplementació lliure del servidor de coordinació, autoallotjada | Tu, al teu servidor |
| NetBird | WireGuard | Servidor de gestió de codi obert, allotjat per NetBird o autoallotjat | NetBird o tu, segons el desplegament |
| ZeroTier | Protocol propi, no WireGuard | Controladors de xarxa allotjats o autoallotjats | ZeroTier o tu, segons el desplegament |
| prialo | WireGuard | Paquet autoallotjat amb Docker Compose, o servei allotjat per Sinergia (Barcelona) | Tu a l'autoallotjat; Sinergia a l'allotjat, a Espanya |
La columna que decideix és l'última. Amb Tailscale, i amb el pla allotjat de qualsevol fabricant, les metadades de la teva xarxa són a mans d'un tercer; amb Headscale, NetBird autoallotjat o el paquet autoallotjat de prialo són al teu servidor i, si el contractes a Europa, sota el RGPD sense transferències internacionals que justificar. Cap dels cinc exposa ports als dispositius: en tots, cada equip surt cap al pla de control i negocia el camí directe.
Com s'autoallotja prialo: tres ports i un pin TLS
El paquet autoallotjat de prialo són tres contenidors amb Docker Compose: servidor de coordinació (gRPC i STUN), relay i PostgreSQL, per a Linux x86_64 o arm64 amb Docker Engine 24 i Compose v2. El tallafoc obre tres ports, 50051/tcp (gRPC), 4430/tcp (relay) i 3478/udp (STUN); l'API d'administració del 8080 no es publica mai i es fa servir per túnel SSH. Cada node verifica el servidor contra l'empremta SPKI de la seva clau TLS, així que no hi intervé cap autoritat de certificació: si algú suplanta el servidor, el node es nega a connectar. Amb 2 vCPU i 2 GB de RAM hi caben centenars de nodes, perquè el pla de control no veu el trànsit; només el relay creix amb els bytes que no poden anar en directe. Els passos complets són a la guia del paquet autoallotjat.
sudo PRIALO_AUTH_KEY='<clau d'alta>' prialo install \
--server=control.exemple.cat:50051 \
--relay=control.exemple.cat:4430 \
--tls-pin=sha256:<empremta>Després d'instal·lar, prialo status ha de mostrar «Control: tls, pinned» i una adreça dins de 100.64.0.0/10, l'espai d'adreces compartit de la RFC 6598 que no xoca amb cap xarxa domèstica ni d'oficina.
Quan triar prialo i quan una altra alternativa a Tailscale
- Tria Tailscale si vols apps polides a totes les plataformes avui i no t'importa que el pla de control l'operi un tercer fora de la Unió Europea.
- Tria Headscale si ja fas servir els clients de Tailscale, vols el servidor a la teva màquina i assumeixes que la compatibilitat amb cada versió del client la sosté una comunitat, no el fabricant.
- Tria NetBird si busques codi obert amb servidor de gestió propi i et serveix tant el seu servei allotjat com muntar-lo tu.
- Tria ZeroTier si el seu model de controladors t'encaixa i acceptes un protocol propi en lloc de WireGuard.
- Tria prialo si vols WireGuard, el pla de control al teu servidor europeu o al d'una empresa espanyola amb factura espanyola, rutes de subxarxa amb aprovació en tres passos i preu per persona, no per gigues: gratis per a una persona amb fins a 10 dispositius i 5 € per persona i mes per a equips, sense IVA. Avui funcionen el paquet autoallotjat i el client de línia d'ordres; les apps de Mac i iPhone són en revisió d'Apple i Android, en preparació.
Preguntes freqüents
Headscale és el mateix que Tailscale autoallotjat?
Headscale és una reimplementació de codi obert del servidor de coordinació de Tailscale, mantinguda per la comunitat, que es fa servir amb els clients oficials de Tailscale. Autoallotjar Headscale deixa el pla de control al teu servidor, però el client continua sent el de Tailscale i la compatibilitat entre versions la sosté aquesta comunitat.
Quines dades veu el pla de control d'una xarxa de malla?
El pla de control d'una xarxa de malla veu metadades: noms de dispositiu, claus públiques, adreces 100.64.x.x i quan s'ha connectat cada equip. No veu el contingut del trànsit, que va xifrat amb WireGuard entre dispositius; un relay, quan cal, reenvia paquets que no pot desxifrar.
Una alternativa a Tailscale autoallotjada funciona darrere de CGNAT?
Una xarxa de malla autoallotjada funciona darrere de CGNAT si inclou STUN i relay propis. A prialo, l'STUN (3478/udp) ajuda a obrir camí directe i, quan l'operador ho impedeix, el relay (4430/tcp) del teu servidor reenvia el trànsit xifrat; en aquest cas els gigues surten del teu ample de banda.
prialo té certificació NIS2, ENS o RGPD?
prialo no té certificació sota NIS2, l'ENS ni el RGPD. El que aporta a un expedient de compliment és que, autoallotjat, els noms de dispositiu, claus, adreces, polítiques i registres d'auditoria es queden al teu servidor, al país que triïs, i Sinergia no accedeix a aquesta instància.
Prefereixes el teu propi servidor? Guia del paquet autoallotjat de prialo