La mayoría de quienes buscan "headscale vs tailscale" ya saben qué es Tailscale. Lo que confunde es lo que Headscale sustituye en realidad. No es otro cliente de VPN mesh, es un sustituto autoalojado y de código abierto del servidor de coordinación de Tailscale. Sigues instalando la misma aplicación oficial de Tailscale en tu portátil y tu teléfono, solo que habla con un servidor que ejecutas tú en lugar de con la nube de Tailscale.
Ese único detalle cambia todo el cálculo. No estás eligiendo una experiencia de cliente distinta, estás eligiendo quién guarda el mapa de tu red: la infraestructura de Tailscale o la tuya.
Respuesta rápida
Ir a una sección
¿Qué es Headscale y cómo funciona?
El producto de Tailscale son en realidad dos cosas: la aplicación cliente que construye una red mesh WireGuard cifrada entre tus dispositivos, y un servidor de coordinación que ayuda a esos dispositivos a encontrarse, reparte las claves y aplica las reglas de acceso. Headscale, escrito en Go y con licencia BSD-3, reimplementa solo la segunda parte. El tráfico punto a punto real entre tus dispositivos nunca pasa por Headscale ni por los servidores de Tailscale en ninguno de los dos casos, esa parte siempre fue de extremo a extremo. Lo que cambia es quién ejecuta la capa de coordinación que hace posible la red mesh desde el principio.
Cómo elegir entre Headscale y Tailscale
Tres preguntas cubren la mayor parte de la decisión:
- ¿Necesitas que los metadatos de tu red se queden fuera de los servidores de un tercero? Con Tailscale, tu lista de dispositivos, la topología de la red y las reglas de acceso viven en la infraestructura de Tailscale, aunque tu tráfico real esté cifrado y vaya de punto a punto. Si solo esos metadatos ya te impiden elegirlo, Headscale es la única opción aquí.
- ¿Quieres mantener un servidor? Con Headscale lo parcheas, haces sus copias de seguridad y lo reparas cuando algo falla. Con Tailscale nada de eso, es un servicio alojado en el que te registras.
- ¿Cuántos dispositivos y cuántas redes complicadas? El plan gratuito de Tailscale (100 dispositivos, 3 usuarios) cubre por completo la mayoría de los homelabs y los equipos pequeños, y además sus unos 200 relays DERP globales resuelven discretamente problemas de NAT que de otro modo tendrías que depurar tú.
Headscale: tu propio plano de control de Tailscale
Headscale tiene licencia BSD-3 y ha llegado al punto de ser estable para uso personal y de organizaciones pequeñas, con miles de despliegues en producción. Admite lo esencial de lo que ofrece Tailscale: MagicDNS, el uso compartido de archivos de Taildrop, el enrutamiento de subredes, los nodos de salida, la doble pila IPv4/IPv6, las listas de control de acceso y el inicio de sesión único mediante OIDC. No hay un límite artificial de usuarios ni de dispositivos, el único límite es lo que aguante tu servidor.
Funciones principales
- Compatibilidad total con las aplicaciones cliente oficiales de Tailscale, sin software a medida que instalar
- MagicDNS, Taildrop, enrutamiento de subredes y compatibilidad con nodos de salida
- Listas de control de acceso y claves preautenticadas para dar de alta dispositivos de forma automática
- Inicio de sesión único basado en OIDC para autenticar a los usuarios
- Sin límites por usuario ni por dispositivo
Ventajas
- Cero coste por usuario, nunca, sin importar el tamaño del equipo
- Los metadatos de la red y la lista de dispositivos nunca salen de tu propio servidor
- Sin límites artificiales de dispositivos o usuarios con los que toparse más tarde
Inconvenientes
- Sin interfaz web oficial, trabajas con la línea de comandos salvo que añadas Headplane por separado
- Eres responsable de los parches, las copias de seguridad y la disponibilidad del servidor de coordinación
- Sin red global de relays integrada, el paso por NAT en redes difíciles exige más configuración por tu parte
Tailscale: VPN mesh gestionada y sin mantenimiento
Tailscale es el producto comercial cuyo lado servidor reimplementa Headscale. Está construido sobre WireGuard, añade control de acceso basado en la identidad y lo respalda con unos 200 servidores de relay DERP en todo el mundo que resuelven discretamente las situaciones de NAT y cortafuegos que de otro modo exigirían una depuración manual. El plan gratuito cubre 100 dispositivos y 3 usuarios, lo bastante generoso para la mayoría de los homelabs y los proyectos personales pequeños. Los planes de pago empiezan en torno a 6 USD por usuario al mes y llegan hasta un nivel Premium de 18 USD al mes con integraciones de SSO más profundas (Okta, SAML, Google, Microsoft, GitHub, GitLab).
Funciones principales
- Cero mantenimiento de servidor, es un servicio de coordinación totalmente gestionado
- Unos 200 servidores de relay DERP en todo el mundo para un paso por NAT fiable
- El plan gratuito cubre 100 dispositivos y 3 usuarios sin límite de tiempo
- Integraciones de SSO empresarial profundas de serie
- Consola web oficial y pulida para gestionar tu tailnet
Ventajas
- Cero mantenimiento de verdad, te registras y funciona
- Solo el plan gratuito cubre a la mayoría de los equipos pequeños y homelabs
- La red global de relays resuelve problemas de NAT que de otro modo depurarías tú
Inconvenientes
- Precio por usuario en cuanto superas el plan gratuito
- La topología de tu red y los metadatos de tus dispositivos viven en la infraestructura de Tailscale
- Los límites del plan gratuito (100 dispositivos, 3 usuarios) acaban obligando a un plan de pago a los equipos que crecen
Relays y paso por NAT: DERP y peer relays
Este es el único punto en el que los dos difieren de verdad en lo que tu red puede hacer, y no solo en quién la ejecuta.
Cuando dos dispositivos no pueden abrir una conexión WireGuard directa, porque ambos están detrás de un NAT estricto o de un cortafuegos corporativo, algo tiene que retransmitir el tráfico. Tailscale ejecuta para eso unos 200 servidores de relay DERP en todo el mundo, en todos los niveles, también en el gratuito. Headscale también habla DERP. Pero o lo apuntas a los relays públicos de Tailscale, lo que te devuelve a su infraestructura justo para las conexiones que te preocupaban, o ejecutas los tuyos, y ejecutar los tuyos como es debido significa tener servidores en las regiones donde están de verdad tus usuarios. No una sola máquina en Fráncfort porque ahí vive todo lo demás.
¿Admite Headscale los peer relays de Tailscale?
Los peer relays son la respuesta más reciente de Tailscale al mismo problema. En lugar de pasar por DERP, designas un dispositivo que ya está en tu tailnet para que retransmita para los demás, lo que mantiene el tráfico en hardware tuyo y levanta el techo de rendimiento que impone DERP. Cualquier dispositivo con Tailscale 1.86 o posterior puede serlo, activándolo con tailscale set --relay-server-port.
En Headscale funciona, pero no de forma idéntica, y la diferencia es de las que te cuestan una tarde. El soporte se sigue en el repositorio original. El problema conocido: en el servicio alojado de Tailscale un peer relay sigue funcionando cuando los dos extremos no pueden alcanzar directamente el nodo de retransmisión, mientras que en Headscale necesitan hoy esa visibilidad, lo que en la práctica significa añadir una regla de ACL que existe únicamente para que el relay sea alcanzable. Si los peer relays son el motivo por el que cambias, lee el estado actual de esa incidencia antes de comprometerte.
Seguridad de Headscale, SSO y ACL
El cifrado es idéntico en ambos lados. Lo impone el cliente, WireGuard de extremo a extremo, y tu tráfico nunca pasa por el servidor de coordinación en ninguno de los dos casos. Eso sorprende a quien supone que autoalojar el plano de control hace más privado el túnel. No es así. El túnel ya era privado.
Lo que cambia es quién guarda el mapa. La lista de dispositivos, las claves y la política están en un servidor que es tuyo, que es todo el motivo para hacerlo, y eso también significa que los parches, el certificado TLS y las copias de seguridad de la base de datos pasan a ser tuyos.
SSO y OIDC
Headscale ofrece SSO mediante OIDC: descubrimiento, PKCE y autorización por dominio, correo electrónico o pertenencia a un grupo. Keycloak, Entra ID y Google encajan sin problema.
Una limitación te morderá si planificaste tu modelo de acceso en torno a ello. Los grupos de OIDC no se pueden referenciar en las ACL y no hay compatibilidad con ACL dinámicas. La pertenencia a grupos de tu proveedor de identidad no gobierna las reglas de acceso como en los niveles de pago de Tailscale, así que asignas los usuarios a la política a mano.
ACL
El mismo formato de política HuJSON que usa Tailscale, así que las reglas se trasladan en su mayoría. Editar significa un archivo y una recarga. O Headplane, si prefieres trabajar en un navegador.
Headplane: la interfaz web que Headscale no incluye
Usa Headscale más de un fin de semana y el flujo de trabajo solo con línea de comandos empieza a desgastar, ese es el hueco que llena Headplane. Es una interfaz web creada por la comunidad y completa en funciones para Headscale: gestión de máquinas (caducidad, enrutamiento, propiedad), configuración detallada de ACL y etiquetado, inicio de sesión con OIDC, ajustes de DNS y la posibilidad de editar la propia configuración de Headscale, todo desde un navegador en lugar de SSH y un editor de texto. No es un proyecto oficial de Headscale ni de Tailscale, pero se mantiene activamente y es lo más parecido a la consola de administración pulida de Tailscale que tiene el lado autoalojado.
Headscale vs Tailscale: comparación de funciones
| Función | Headscale | Tailscale |
|---|---|---|
| Licencia / modelo | BSD-3, autoalojado | Propietario, SaaS gestionado |
| Software cliente | Cliente oficial de Tailscale | Cliente oficial de Tailscale |
| Precios | Gratis, solo pagas el servidor | Gratis hasta 100 dispositivos/3 usuarios, luego por usuario |
| Interfaz web | Ninguna integrada, usa Headplane | Oficial, integrada |
| MagicDNS | Sí | Sí |
| Uso compartido de archivos con Taildrop | Sí | Sí |
| Nodos de salida y enrutamiento de subredes | Sí | Sí |
| SSO / OIDC | Sí | Sí, además de SAML, Okta y más |
| Red global de relays (DERP) | Configurada por ti | Unos 200 relays en todo el mundo, integrados |
| Peer relays | Funciona, pero los extremos necesitan visibilidad del relay | Disponibilidad general, cliente 1.86+ |
| Mantenimiento del servidor | Responsabilidad tuya | Ninguno, totalmente gestionado |
| Límites de dispositivos/usuarios | Ninguno | Plan gratuito limitado a 100 dispositivos/3 usuarios |
Por qué usamos Headscale con nuestros clientes
La mayoría de los equipos que nos consultan por Tailscale no están descontentos con el producto, les incomoda que su mapa de red esté en servidores ajenos, o han visto crecer la factura por usuario cada vez que incorporan a alguien nuevo. Headscale elimina ambos problemas sin cambiar lo que ven los usuarios finales en el día a día, siguen instalando la misma aplicación de Tailscale que usarían de todos modos. Lo empaquetamos como una AMI lista para lanzar, con el servidor de coordinación, las ACL y el TLS ya configurados, de modo que la parte que normalmente lleva un fin de semana leyendo documentación está hecha antes de que la instancia termine de arrancar.
Nuestra guía para desarrolladores de Headscale cubre la instalación manual completa si prefieres ejecutarlo tú primero.
Por dónde empezaría yo
Si quieres cero mantenimiento y tienes menos de 100 dispositivos: usa el plan gratuito de Tailscale, no hay motivo para añadir un mantenimiento de servidor que aún no necesitas. Si te incomodan los metadatos de tu red en la infraestructura de un tercero, o estás creciendo más allá del punto en que se acumula el precio por usuario: Headscale, acompañado de Headplane si quieres una interfaz web en lugar de la línea de comandos.
En cualquier caso no quedas atado. Como ambos hablan el mismo protocolo con el mismo software cliente, pasar de Tailscale a una instalación autoalojada de Headscale más adelante es un cambio de configuración, no un proyecto de migración.
Preguntas frecuentes
Headscale vs Tailscale: ¿cuál es la diferencia real?
Headscale es un sustituto de código abierto y autoalojado del servidor de coordinación de Tailscale. Sigues ejecutando el cliente oficial de Tailscale en cada dispositivo, solo que habla con tu propio servidor Headscale en lugar de con la nube de Tailscale. La red mesh en sí es idéntica.
¿Qué es Headscale?
Una implementación autoalojada, con licencia BSD-3 y escrita en Go, del servidor de control de Tailscale. Reparte claves, lleva la cuenta de qué dispositivos están en tu red y aplica las reglas de acceso. No es un cliente VPN y no sustituye a la aplicación de Tailscale en tus dispositivos.
¿Admite Headscale los peer relays de Tailscale?
Sí, aunque no de forma idéntica. El soporte se sigue en el repositorio original y hay una carencia conocida: el servicio alojado de Tailscale retransmite incluso cuando los extremos no pueden alcanzar directamente el nodo de retransmisión, mientras que Headscale necesita hoy esa visibilidad, normalmente mediante una regla de ACL adicional.
¿Dónde está la documentación oficial de Headscale, el servidor de control de Tailscale autoalojado?
En headscale.net, que cubre la configuración, OIDC, la política de ACL y el registro de dispositivos, con el código en github.com/juanfont/headscale. Tailscale no documenta Headscale, porque es un proyecto de la comunidad y no uno oficial.
¿Admite Headscale el SSO?
Sí, mediante OIDC, con descubrimiento, PKCE y autorización por dominio, correo electrónico o pertenencia a un grupo, así que Keycloak, Entra ID y Google funcionan. Hay un inconveniente: los grupos de OIDC no se pueden usar dentro de las ACL y no hay compatibilidad con ACL dinámicas.
¿Es Headscale tan seguro como Tailscale?
El cifrado es idéntico, porque lo impone el cliente oficial de Tailscale, WireGuard de extremo a extremo, con un tráfico que nunca pasa por el servidor de coordinación en ninguno de los dos casos. Lo que cambia es que los parches, el TLS y las copias de seguridad del plano de control pasan a ser responsabilidad tuya.
¿Cómo configuro Tailscale autoalojado con Headscale?
Ejecuta el servidor Headscale (Docker o un binario nativo), apunta tus clientes de Tailscale a él con --login-server y registra después cada dispositivo con una clave de preautenticación. Añade Headplane más adelante si quieres una interfaz web en lugar de la línea de comandos para la gestión diaria.
¿Qué es Headplane UI y lo necesito?
Headplane es una interfaz web de terceros para Headscale que sustituye a la línea de comandos para gestionar nodos, ACL y DNS. No la necesitas, Headscale funciona por completo desde la línea de comandos, pero la mayoría de quienes lo usan con más de un puñado de dispositivos añade Headplane por la visibilidad.
Lanza Headscale en AWS sin la instalación manual
Lanza un servidor Headscale preconfigurado en AWS, una alternativa autoalojada a Tailscale con el TLS y las ACL ya configurados.
Consigue Headscale en AWS Marketplace
