Tailscale · VPN mesh · Redes
Tailscale crea una red privada entre tus dispositivos y servicios usando WireGuard, autenticación por identidad y una topología mesh que intenta conectar los equipos directamente entre sí.
- Qué es un tailnet.
- Cómo Tailscale usa WireGuard y NAT traversal.
- Qué son MagicDNS, subnet routers y exit nodes.
- Qué problemas de acceso remoto puede resolver.
Concepto
¿Qué es Tailscale?
Tailscale es una plataforma de conectividad privada basada en identidad. Instalas el cliente en tus dispositivos, autenticas cada uno y Tailscale los incorpora a una red privada llamada tailnet.
En lugar de depender necesariamente de un servidor VPN central por el que pase todo el tráfico, Tailscale intenta crear conexiones punto a punto entre los equipos. Cuando eso no es posible, utiliza mecanismos de relay.
Su objetivo principal es conectar dispositivos, servidores, servicios y redes privadas de forma segura, aunque también puede enrutar todo el tráfico de Internet mediante un exit node.
Red privada
¿Qué es un tailnet?
Un tailnet es el conjunto privado de usuarios, dispositivos y recursos conectados mediante Tailscale. Cada dispositivo recibe una dirección Tailscale estable y puede tener un nombre DNS dentro de la red.
El tailnet no es una red pública: los equipos deben estar autenticados o compartidos según las políticas definidas. Puedes conectar laptops, servidores, teléfonos, máquinas virtuales, contenedores y otros nodos compatibles.
Cifrado
Tailscale se apoya en WireGuard
WireGuard proporciona los túneles cifrados entre endpoints. Tailscale añade encima funciones como descubrimiento de pares, autenticación, NAT traversal, políticas de acceso y servicios de coordinación.
Esto evita que tengas que intercambiar manualmente claves públicas y mantener configuraciones WireGuard estáticas para cada combinación de dispositivos.
Conexiones
Directo cuando es posible; relay cuando hace falta
Tailscale distingue varios tipos de conexión. En una conexión directa, dos dispositivos se comunican entre sí por UDP, normalmente con menor latencia y mayor rendimiento.
Si NAT, firewall o condiciones de red impiden establecer un enlace directo, Tailscale puede usar DERP o un peer relay. El tráfico sigue cifrado de extremo a extremo con WireGuard.
Una conexión directa suele ser más rápida; una conexión relay es el mecanismo de respaldo para mantener conectividad cuando el camino P2P no funciona.
Nombres
MagicDNS evita memorizar direcciones IP
MagicDNS registra automáticamente nombres para los dispositivos del tailnet. En lugar de conectarte a una IP Tailscale, puedes usar nombres como servidor o el nombre DNS completo del dispositivo.
Esto es especialmente útil cuando tienes varios servidores, VMs o servicios internos y quieres mantener nombres humanos sin crear registros DNS manuales para cada nodo.
Redes completas
Subnet routers: acceso a dispositivos sin Tailscale
No todos los equipos pueden ejecutar el cliente Tailscale. Una impresora, un DVR o un equipo heredado pueden permanecer en la LAN tradicional.
Un subnet router es un nodo Tailscale que anuncia rutas hacia una subred. Los demás dispositivos del tailnet pueden usarlo como gateway para llegar a recursos de esa red privada.
Por ejemplo, un servidor Linux podría anunciar 192.168.3.0/24 y permitir que tu laptop remota alcance dispositivos de casa sin instalar Tailscale en cada uno.
Internet
Exit nodes: enrutar todo el tráfico por otro dispositivo
Un exit node recibe el tráfico de Internet de otro cliente del tailnet y lo envía a Internet desde su propia conexión. Es el comportamiento que más se parece a una VPN tradicional.
Puede servir para usar tu conexión de casa mientras estás en otra red, proteger tráfico en Wi-Fi no confiable o salir a Internet desde una ubicación concreta.
El subnet router da acceso a redes privadas específicas. El exit node enruta el tráfico de Internet del cliente.
Control
La identidad forma parte del modelo de acceso
Tailscale asocia usuarios, dispositivos y recursos al tailnet. Puedes definir políticas para decidir qué identidad o tag puede hablar con qué servicio.
Eso permite construir una red privada donde no todos los nodos necesitan tener acceso total entre sí. En entornos con varios usuarios o servidores, este control es más importante que simplemente “estar conectado a la VPN”.
Casos de uso
¿Para qué sirve Tailscale en la práctica?
SSH, paneles o APIs privadas sin abrir puertos públicos.
Conectar servicios privados desde el teléfono o laptop.
Usar subnet routers para enlazar redes privadas.
Dar conectividad privada estable a máquinas virtuales y servidores de laboratorio.
Usar una conexión remota como salida a Internet.
Publicar recursos solo dentro del tailnet mediante nombres privados.
Consideraciones
Qué debes tener en cuenta
- Los clientes y la coordinación dependen del ecosistema Tailscale salvo que uses alternativas compatibles como Headscale.
- Una conexión relay puede ser más lenta que una conexión directa.
- Las rutas anunciadas, exit nodes y políticas mal configuradas pueden ampliar acceso más de lo previsto.
- No sustituye backups, firewall de aplicaciones ni autenticación dentro de tus servicios.
Para acceso privado entre tus propios dispositivos, Tailscale puede eliminar mucha complejidad de NAT y VPN tradicional. Para publicar un servicio a cualquier usuario de Internet, otras herramientas como Cloudflare Tunnel o un reverse proxy pueden ser más apropiadas.