Alternativas a Tailscale en 2026: tabla comparativa
Una alternativa a Tailscale es cualquier red en malla que conecte tus dispositivos sin abrir puertos. Las cuatro que se comparan aquí son Headscale, NetBird, ZeroTier y prialo. La diferencia que importa no es el túnel, que casi siempre es WireGuard, sino dónde corre el plano de control y quién guarda las claves y los metadatos de la red.
Qué hace Tailscale y por qué se buscan alternativas
Tailscale monta una red en malla sin pasarela central usando WireGuard: cada dispositivo guarda su par de claves y el servidor de coordinación, operado por Tailscale Inc., reparte el mapa de la red y las direcciones. Cuando dos equipos no logran hablarse en directo, el tráfico pasa por sus relés DERP. Funciona bien, y por eso las alternativas se buscan por otros motivos: quién opera el servidor de coordinación, en qué país quedan los metadatos (nombres de dispositivo, claves públicas, direcciones, quién se conectó y cuándo) y si puedes llevarte la red a un servidor tuyo cuando quieras.
4 criterios para comparar redes en malla: túnel, control, claves y NAT
- Túnel: el protocolo que cifra los paquetes entre dispositivos. WireGuard es el estándar de facto y su código es público; un protocolo propio obliga a confiar en la revisión de un solo fabricante.
- Plano de control: quién reparte direcciones, claves públicas y políticas. Puede operarlo el fabricante en sus servidores o puedes alojarlo tú en una máquina tuya.
- Claves y metadatos: dónde viven los nombres de dispositivo, las direcciones y el registro de conexiones. El contenido del tráfico nunca pasa por el plano de control; los metadatos sí.
- Travesía de NAT: qué ocurre cuando dos equipos están tras CGNAT del operador o un NAT simétrico y no pueden abrir camino directo. Hace falta un relay, y conviene saber de quién es y por dónde pasa.
Tailscale, Headscale, NetBird, ZeroTier y prialo: tabla comparativa
| Herramienta | Túnel | Plano de control | Quién guarda claves y metadatos |
|---|---|---|---|
| Tailscale | WireGuard | Servidor de coordinación de Tailscale Inc. y relés DERP propios | Tailscale Inc., en sus servidores |
| Headscale | WireGuard (clientes de Tailscale) | Reimplementación libre del servidor de coordinación, autoalojada | Tú, en tu servidor |
| NetBird | WireGuard | Servidor de gestión de código abierto, alojado por NetBird o autoalojado | NetBird o tú, según el despliegue |
| ZeroTier | Protocolo propio, no WireGuard | Controladores de red alojados o autoalojados | ZeroTier o tú, según el despliegue |
| prialo | WireGuard | Paquete autoalojado con Docker Compose, o servicio alojado por Sinergia (Barcelona) | Tú en el autoalojado; Sinergia en el alojado, en España |
La columna que decide es la última. Con Tailscale, y con el plan alojado de cualquier fabricante, los metadatos de tu red están en manos de un tercero; con Headscale, NetBird autoalojado o el paquete autoalojado de prialo están en tu servidor y, si lo contratas en Europa, bajo el RGPD sin transferencias internacionales que justificar. Ninguno de los cinco expone puertos en los dispositivos: en todos ellos cada equipo sale hacia el plano de control y negocia el camino directo.
Cómo se autoaloja prialo: tres puertos y un pin TLS
El paquete autoalojado de prialo son tres contenedores con Docker Compose: servidor de coordinación (gRPC y STUN), relay y PostgreSQL, para Linux x86_64 o arm64 con Docker Engine 24 y Compose v2. El cortafuegos abre tres puertos, 50051/tcp (gRPC), 4430/tcp (relay) y 3478/udp (STUN); la API de administración del 8080 no se publica nunca y se usa por túnel SSH. Cada nodo verifica el servidor contra la huella SPKI de su clave TLS, así que no interviene ninguna autoridad de certificación: si alguien suplanta el servidor, el nodo se niega a conectar. Con 2 vCPU y 2 GB de RAM caben cientos de nodos, porque el plano de control no ve el tráfico; solo el relay crece con los bytes que no pueden ir en directo. Los pasos completos están en la guía del paquete autoalojado.
sudo PRIALO_AUTH_KEY='<clave de alta>' prialo install \
--server=control.ejemplo.es:50051 \
--relay=control.ejemplo.es:4430 \
--tls-pin=sha256:<huella>Tras instalar, prialo status debe mostrar «Control: tls, pinned» y una dirección dentro de 100.64.0.0/10, el espacio de direcciones compartido de la RFC 6598 que no choca con ninguna red doméstica ni de oficina.
Cuándo elegir prialo y cuándo otra alternativa a Tailscale
- Elige Tailscale si quieres apps pulidas en todas las plataformas hoy y no te importa que el plano de control lo opere un tercero fuera de la Unión Europea.
- Elige Headscale si ya usas los clientes de Tailscale, quieres el servidor en tu máquina y asumes que la compatibilidad con cada versión del cliente la sostiene una comunidad, no el fabricante.
- Elige NetBird si buscas código abierto con servidor de gestión propio y te vale tanto su servicio alojado como montarlo tú.
- Elige ZeroTier si su modelo de controladores te encaja y aceptas un protocolo propio en lugar de WireGuard.
- Elige prialo si quieres WireGuard, el plano de control en tu servidor europeo o en el de una empresa española con factura española, rutas de subred con aprobación en tres pasos y precio por persona, no por gigas: gratis para una persona con hasta 10 dispositivos y 5 € por persona y mes para equipos, sin IVA. Hoy funcionan el paquete autoalojado y el cliente de línea de comandos; las apps de Mac e iPhone están en revisión de Apple y Android, en preparación.
Preguntas frecuentes
¿Headscale es lo mismo que Tailscale autoalojado?
Headscale es una reimplementación de código abierto del servidor de coordinación de Tailscale, mantenida por la comunidad, que se usa con los clientes oficiales de Tailscale. Autoalojar Headscale deja el plano de control en tu servidor, pero el cliente sigue siendo el de Tailscale y la compatibilidad entre versiones la sostiene esa comunidad.
¿Qué datos ve el plano de control de una red en malla?
El plano de control de una red en malla ve metadatos: nombres de dispositivo, claves públicas, direcciones 100.64.x.x y cuándo se conectó cada equipo. No ve el contenido del tráfico, que va cifrado con WireGuard entre dispositivos; un relay, cuando hace falta, reenvía paquetes que no puede descifrar.
¿Una alternativa a Tailscale autoalojada funciona tras CGNAT?
Una red en malla autoalojada funciona tras CGNAT si incluye STUN y relay propios. En prialo, el STUN (3478/udp) ayuda a abrir camino directo y, cuando el operador lo impide, el relay (4430/tcp) de tu servidor reenvía el tráfico cifrado; en ese caso los gigas salen de tu ancho de banda.
¿prialo tiene certificación NIS2, ENS o RGPD?
prialo no tiene certificación bajo NIS2, el ENS ni el RGPD. Lo que aporta a un expediente de cumplimiento es que, autoalojado, los nombres de dispositivo, claves, direcciones, políticas y registros de auditoría se quedan en tu servidor, en el país que elijas, y Sinergia no accede a esa instancia.
¿Prefieres tu propio servidor? Guía del paquete autoalojado de prialo