NetBird vs Headscale vs Tailscale: ¿qué VPN de malla deberías usar?

Las VPN de malla han sustituido a las VPN tradicionales para conectar dispositivos entre redes. En lugar de enrutar todo el tráfico a través de un servidor central, las VPN de malla establecen conexiones directas de igual a igual. Cada nodo alcanza a todos los demás nodos. El tráfico solo pasa por un relé cuando las conexiones directas fallan.

WireGuard hizo esto viable: es rápido, ligero y gestiona bien el NAT traversal. Tres herramientas dominan en 2026: Tailscale (gestionada en la nube, la opción por defecto), Headscale (control de Tailscale autoalojado) y NetBird (VPN de malla autoalojada construida desde cero).

¿Cuál encaja con tu configuración? He usado las tres. Esto es lo que encontré.

Qué es cada herramienta

Tailscale

Tailscale es una VPN de malla gestionada en la nube y construida sobre WireGuard. Instalas el cliente en cada dispositivo, te autenticas a través del proveedor de identidad de Tailscale y cada dispositivo recibe una IP privada en tu tailnet. Tailscale gestiona el plano de control, la distribución de claves, el DNS y los servidores de relé.

Es la VPN de malla más fácil de configurar. Cero configuración. Pero el servidor de control funciona en la infraestructura de Tailscale: los datos de tu red viven en sus servidores. Ese es el compromiso.

Headscale

Headscale es una implementación de código abierto y autoalojada del servidor de control de Tailscale. Lo ejecutas en tu propio VPS y los clientes estándar de Tailscale se conectan a él en lugar de a la nube de Tailscale. Mismo cliente, mismos túneles WireGuard, pero tú controlas el plano de coordinación.

Es para quienes quieren la experiencia de Tailscale pero necesitan ser dueños del servidor de control. Consulta nuestra guía de configuración de Headscale para un recorrido completo del despliegue.

NetBird

NetBird es una plataforma de VPN de malla totalmente autoalojada. A diferencia de Headscale, que depende de los clientes de Tailscale, NetBird tiene sus propios clientes, su propio servidor de control, su propia interfaz de gestión y su propia infraestructura de relé. Es una pila de VPN de malla completa que puedes autoalojar de extremo a extremo.

Soporta SSO/MFA, control de acceso granular y tiene un panel web pulido. El servicio de gestión, el servicio de señalización y el relé se ejecutan en tu infraestructura.

Comparación de características

Instalación y mantenimiento

# Install and connect
curl -fsSL https://tailscale.com/install.sh | sh
tailscale up

# On the server
docker compose up -d

# On each client
tailscale up --login-server=https://headscale.example.com

curl -fsSL https://pkgs.netbird.io/install.sh | sh

Autenticación y control de acceso

Aquí es donde las tres herramientas divergen significativamente.

Tailscale usa su propio proveedor de identidad (Google, Microsoft, GitHub o basado en email). Las ACLs se configuran a través de una interfaz web o archivos de política. Es la más sencilla de configurar pero la menos flexible.

Headscale soporta cualquier proveedor OIDC: Authentik, Keycloak, Google o el que ya tengas en marcha. Las ACLs son archivos de configuración JSON que editas en el servidor. Más flexible, pero requiere gestión manual de la configuración.

NetBird soporta OIDC/SSO/MFA con cualquier proveedor. Las ACLs se gestionan a través del panel web o la API. El mejor equilibrio entre flexibilidad y usabilidad entre las opciones autoalojadas.

Si ya estás usando Authentik o Keycloak para tus servicios autoalojados, tanto Headscale como NetBird se integran sin problemas. Si quieres gestionar las ACLs a través de una interfaz web, NetBird gana. Si prefieres archivos de configuración (con control de versiones en Git), el enfoque JSON de Headscale funciona bien.

Rendimiento y fiabilidad

Las tres usan WireGuard para el tunelado real, así que el rendimiento de las conexiones directas de igual a igual es idéntico en todas. Las diferencias vienen del comportamiento de los relés y la latencia del plano de control.

La red DERP de Tailscale está distribuida globalmente con servidores de relé en Norteamérica, Europa, Asia y Australia. Cuando las conexiones directas fallan, el tráfico se enruta a través del DERP más cercano. Esto le da a Tailscale el mejor rendimiento de relé por defecto.

Headscale usa por defecto los relés DERP de Tailscale (la misma red), lo que significa que el rendimiento de relé es idéntico. Puedes añadir servidores DERP personalizados para regiones específicas, pero la mayoría de los usuarios no se molesta.

NetBird ejecuta su propia infraestructura de relé. En modo autoalojado, despliegas el relé en tu VPS junto al servidor de gestión. Esto funciona bien para configuraciones regionales, pero te deja con un único punto de relé. Para alcance global, necesitarías desplegar relés en varias regiones.

En la práctica, en una red estable donde la mayoría de las conexiones son directas (que es lo habitual), las tres rinden igual. El rendimiento de los relés importa sobre todo en conexiones transcontinentales o en escenarios de CGNAT a CGNAT.

Cuándo elegir cada una

Elige Tailscale si:

• Quieres la instalación más sencilla posible
• No necesitas ser dueño del plano de control
• Tienes menos de 6 usuarios (el nivel gratuito lo cubre)
• Necesitas soporte completo de clientes móviles (iOS/Android)
• Dependes de MagicDNS para la resolución de nombres
• Quieres Funnel para exponer endpoints públicos

Elige Headscale si:

• Quieres la experiencia del cliente de Tailscale con control autoalojado
• Necesitas usuarios ilimitados sin pagar a Tailscale
• Quieres usar tu propio proveedor OIDC
• Necesitas soberanía de datos (UE o una jurisdicción concreta)
• Te sientes cómodo gestionando un VPS y configuración YAML
• Ya usas clientes de Tailscale y solo quieres cambiar el plano de control

Consulta nuestra guía de configuración de Headscale para las instrucciones de despliegue.

Elige NetBird si:

• Quieres una VPN de malla totalmente autoalojada sin dependencias de proveedores
• Necesitas una interfaz web para gestionar usuarios y ACLs
• Quieres SSO/MFA integrado en la plataforma de VPN de malla
• Estás construyendo una VPN de malla desde cero (no migrando desde Tailscale)
• Quieres la infraestructura de relé y señalización bajo tu control
• Estás configurando una VPN de malla para una organización pequeña o un equipo

Comparación de costes

Las opciones autoalojadas cuestan más o menos lo mismo, ya que todas necesitan un VPS. La diferencia está en la carga de administración, no en el dinero.

Conclusión

Tailscale sigue siendo la mejor opción para la mayoría de la gente. La instalación es trivial, el mantenimiento es cero y la experiencia del cliente está pulida. Si no tienes una razón concreta para autoalojar, usa Tailscale.

Headscale es la elección correcta cuando necesitas control autoalojado pero quieres seguir usando los clientes de Tailscale. Es un punto medio pragmático: ganas propiedad de los datos sin cambiar la experiencia del cliente. El compromiso es el soporte no oficial de clientes y más configuración manual.

NetBird es la opción cuando quieres una plataforma de VPN de malla completa y autoalojada sin dependencias de proveedores. Requiere más trabajo de instalación que Tailscale, pero te da control total sobre cada componente: clientes, servidor de control, relé, autenticación e interfaz.

Para uso en homelab y equipos pequeños, tanto Headscale como NetBird funcionan bien. Headscale tiene una comunidad más grande (porque se apoya en el ecosistema de Tailscale), mientras que NetBird ofrece una experiencia de gestión autoalojada más pulida. Elige según prefieras aprovechar los clientes de Tailscale (Headscale) o ejecutar una pila independiente (NetBird).