La maggior parte di chi cerca «headscale vs tailscale» sa già che cos'è Tailscale. Ciò che spiazza è che cosa sostituisca davvero Headscale. Non è un altro client di VPN mesh, è un sostituto self-hosted e open source del server di coordinamento di Tailscale. Continui a installare la stessa app Tailscale ufficiale sul portatile e sul telefono, che dialoga con un server che gestisci tu invece che con il cloud di Tailscale.
Questo singolo dettaglio cambia tutto il calcolo. Non stai scegliendo un'altra esperienza lato client, stai scegliendo chi detiene la mappa della tua rete: l'infrastruttura di Tailscale o la tua.
Risposta rapida
Vai a una sezione
Che cos'è Headscale e come funziona?
Il prodotto di Tailscale sono in realtà due cose: l'app client che costruisce una rete mesh WireGuard cifrata tra i tuoi dispositivi, e un server di coordinamento che aiuta quei dispositivi a trovarsi, distribuisce le chiavi e applica le regole di accesso. Headscale, scritto in Go e con licenza BSD-3, reimplementa solo la seconda parte. Il traffico peer to peer vero e proprio tra i tuoi dispositivi in entrambi i casi non tocca né Headscale né i server di Tailscale, quella parte è sempre stata end to end. Cambia chi gestisce lo strato di coordinamento che rende possibile la rete mesh fin dall'inizio.
Come scegliere tra Headscale e Tailscale
Tre domande coprono gran parte della decisione:
- I metadati della tua rete devono restare fuori dai server di terzi? Con Tailscale l'elenco dei dispositivi, la topologia della rete e le regole di accesso stanno sull'infrastruttura di Tailscale, anche se il tuo traffico vero è cifrato e peer to peer. Se già solo questi metadati sono un ostacolo insormontabile, Headscale è l'unica opzione qui.
- Vuoi mantenere un server? Con Headscale lo aggiorni, ne fai i backup e lo ripari quando qualcosa si rompe. Con Tailscale niente di tutto questo, è un servizio ospitato a cui ti iscrivi.
- Quanti dispositivi, e quante reti difficili? Il piano gratuito di Tailscale (100 dispositivi, 3 utenti) copre da solo la maggior parte degli homelab e dei piccoli team, e i suoi circa 200 relay DERP globali risolvono senza far rumore problemi di NAT di cui altrimenti dovresti fare il debug da solo.
Headscale: il tuo piano di controllo Tailscale
Headscale ha licenza BSD-3 ed è arrivato al punto in cui è stabile per uso personale e per piccole organizzazioni, con migliaia di distribuzioni in produzione. Supporta il nucleo di ciò che offre Tailscale: MagicDNS, la condivisione di file Taildrop, il subnet routing, gli exit node, il dual-stack IPv4/IPv6, le liste di controllo degli accessi e il single sign-on tramite OIDC. Non c'è alcun tetto artificiale a utenti o dispositivi, l'unico limite è ciò che regge il tuo server.
Funzioni principali
- Piena compatibilità con le app client Tailscale ufficiali, nessun software personalizzato da installare
- MagicDNS, Taildrop, subnet routing e supporto agli exit node
- Liste di controllo degli accessi e chiavi preautenticate per l'iscrizione automatica dei dispositivi
- Single sign-on basato su OIDC per autenticare gli utenti
- Nessun limite per utente o per dispositivo
Vantaggi
- Zero costi per utente, mai, a prescindere dalle dimensioni del team
- I metadati della rete e l'elenco dei dispositivi non lasciano mai il tuo server
- Nessun tetto artificiale di dispositivi o utenti contro cui sbattere più avanti
Svantaggi
- Nessuna interfaccia web ufficiale, sei sulla riga di comando a meno di aggiungere Headplane a parte
- Sei responsabile di aggiornamenti, backup e disponibilità del server di coordinamento
- Nessuna rete globale di relay integrata, il NAT traversal in reti difficili richiede più configurazione da parte tua
Tailscale: VPN mesh gestita e senza manutenzione
Tailscale è il prodotto commerciale di cui Headscale reimplementa il lato server. È costruito su WireGuard, aggiunge un controllo degli accessi basato sull'identità e si appoggia a circa 200 server relay DERP nel mondo, che gestiscono senza far rumore le situazioni di NAT e firewall che altrimenti richiederebbero un intervento manuale. Il piano gratuito copre 100 dispositivi e 3 utenti, abbastanza generoso per la maggior parte degli homelab e dei piccoli progetti collaterali. I piani a pagamento partono da circa 6 USD per utente al mese e arrivano a un livello Premium da 18 USD al mese con integrazioni SSO più profonde (Okta, SAML, Google, Microsoft, GitHub, GitLab).
Funzioni principali
- Zero manutenzione del server, è un servizio di coordinamento completamente gestito
- Circa 200 server relay DERP nel mondo per un NAT traversal affidabile
- Il piano gratuito copre 100 dispositivi e 3 utenti senza limiti di tempo
- Integrazioni SSO aziendali profonde di serie
- Console web ufficiale e curata per gestire la tua tailnet
Vantaggi
- Davvero zero manutenzione, ti iscrivi e funziona
- Il solo piano gratuito copre la maggior parte dei piccoli team e degli homelab
- La rete globale di relay risolve problemi di NAT di cui altrimenti faresti il debug da solo
Svantaggi
- Prezzo per utente una volta superato il piano gratuito
- La topologia della tua rete e i metadati dei dispositivi stanno sull'infrastruttura di Tailscale
- I limiti del piano gratuito (100 dispositivi, 3 utenti) alla fine impongono un piano a pagamento ai team in crescita
Relay e NAT traversal: DERP e peer relay
È l'unico punto in cui i due differiscono davvero in ciò che la tua rete può fare, e non solo in chi la gestisce.
Quando due dispositivi non riescono ad aprire una connessione WireGuard diretta, perché entrambi sono dietro un NAT rigido o un firewall aziendale, qualcosa deve inoltrare il traffico. Tailscale gestisce per questo circa 200 server relay DERP nel mondo, in ogni livello, compreso quello gratuito. Anche Headscale parla DERP. Ma o lo punti ai relay pubblici di Tailscale, il che ti riporta sulla loro infrastruttura proprio per le connessioni che ti stavano a cuore, o gestisci i tuoi, e gestire i tuoi come si deve significa avere server nelle regioni in cui stanno davvero i tuoi utenti. Non una sola macchina a Francoforte perché è lì che vive tutto il resto.
Headscale supporta i peer relay di Tailscale?
I peer relay sono la risposta più recente di Tailscale allo stesso problema. Invece di passare da DERP, designi un dispositivo già presente nella tua tailnet perché faccia da relay per gli altri, il che tiene il traffico su hardware tuo e solleva il tetto di throughput che impone DERP. Qualsiasi dispositivo con Tailscale 1.86 o successivo può esserlo, attivandolo con tailscale set --relay-server-port.
Su Headscale funziona, ma non in modo identico, e il divario è del tipo che ti costa un pomeriggio. Il supporto è seguito upstream. Il problema noto: sul servizio ospitato di Tailscale un peer relay funziona ancora quando i due endpoint non riescono a raggiungere direttamente il nodo relay, mentre su Headscale oggi hanno bisogno di quella visibilità, il che in pratica significa aggiungere una regola ACL che esiste solo per rendere raggiungibile il relay. Se i peer relay sono il motivo per cui cambi, leggi lo stato attuale di quella segnalazione prima di impegnarti.
Sicurezza di Headscale, SSO e ACL
La crittografia è identica da entrambe le parti. La impone il client, WireGuard end to end, e il tuo traffico in entrambi i casi non passa mai dal server di coordinamento. Questo sorprende chi dà per scontato che ospitare in proprio il piano di controllo renda il tunnel più privato. Non è così. Il tunnel era già privato.
Cambia chi detiene la mappa. L'elenco dei dispositivi, le chiavi e i criteri stanno su un server tuo, che è l'intero motivo per farlo, e significa anche che gli aggiornamenti, il certificato TLS e i backup del database ora sono tuoi.
SSO e OIDC
Headscale offre l'SSO tramite OIDC: discovery, PKCE e autorizzazione per dominio, e-mail o appartenenza a un gruppo. Keycloak, Entra ID e Google si integrano senza problemi.
Una limitazione ti morderà se hai pianificato il tuo modello di accesso attorno a questo. I gruppi OIDC non si possono referenziare nelle ACL e non c'è supporto per le ACL dinamiche. L'appartenenza ai gruppi del tuo identity provider non guida le regole di accesso come nei livelli a pagamento di Tailscale, quindi associ gli utenti ai criteri a mano.
ACL
Lo stesso formato di criteri HuJSON che usa Tailscale, quindi le regole in gran parte si trasferiscono. Modificare significa un file e un ricaricamento. Oppure Headplane, se preferisci lavorare in un browser.
Headplane: l'interfaccia web che Headscale non include
Usa Headscale per più di un fine settimana e il flusso di lavoro solo da riga di comando comincia a logorare, è il vuoto che riempie Headplane. È un'interfaccia web creata dalla community e completa nelle funzioni per Headscale: gestione delle macchine (scadenza, routing, proprietà), configurazione dettagliata di ACL e tag, accesso OIDC, impostazioni DNS e la possibilità di modificare la configurazione stessa di Headscale, tutto da un browser invece che con SSH e un editor di testo. Non è un progetto ufficiale di Headscale né di Tailscale, ma è mantenuto attivamente ed è la cosa più simile alla console di amministrazione curata di Tailscale che il lato self-hosted abbia.
Headscale vs Tailscale: confronto delle funzioni
| Funzione | Headscale | Tailscale |
|---|---|---|
| Licenza / modello | BSD-3, self-hosted | Proprietario, SaaS gestito |
| Software client | Client Tailscale ufficiale | Client Tailscale ufficiale |
| Prezzi | Gratuito, paghi solo il tuo server | Gratuito fino a 100 dispositivi/3 utenti, poi per utente |
| Interfaccia web | Nessuna integrata, usa Headplane | Ufficiale, integrata |
| MagicDNS | Sì | Sì |
| Condivisione di file Taildrop | Sì | Sì |
| Exit node e subnet routing | Sì | Sì |
| SSO / OIDC | Sì | Sì, più SAML, Okta e altro |
| Rete globale di relay (DERP) | Configurata da te | ~200 relay nel mondo, integrati |
| Peer relay | Funziona, ma gli endpoint devono vedere il relay | Disponibilità generale, client 1.86+ |
| Manutenzione del server | Responsabilità tua | Nessuna, completamente gestito |
| Limiti di dispositivi/utenti | Nessuno | Piano gratuito limitato a 100 dispositivi/3 utenti |
Perché usiamo Headscale per i clienti
La maggior parte dei team che vengono da noi per Tailscale non è scontenta del prodotto, è a disagio all'idea che la mappa della propria rete stia sui server di qualcun altro, oppure ha visto crescere il conto per utente a ogni nuovo arrivo. Headscale elimina entrambi i problemi senza cambiare ciò che gli utenti finali vedono ogni giorno, continuano a installare la stessa app Tailscale che userebbero comunque. Lo impacchettiamo come AMI pronta da avviare, con il server di coordinamento, le ACL e il TLS già configurati, così la parte che di solito richiede un fine settimana di lettura della documentazione è fatta prima che l'istanza finisca di avviarsi.
La nostra guida per sviluppatori di Headscale copre l'installazione manuale completa se preferisci farlo girare prima da solo.
Da dove partirei io
Vuoi zero manutenzione e hai meno di 100 dispositivi: usa semplicemente il piano gratuito di Tailscale, non c'è motivo di aggiungere una cura del server di cui non hai ancora bisogno. Ti mette a disagio avere i metadati della rete sull'infrastruttura di un terzo, o stai crescendo oltre il punto in cui i prezzi per utente si sommano: Headscale, abbinato a Headplane se vuoi un'interfaccia web invece della riga di comando.
In entrambi i casi non sei vincolato. Poiché entrambi parlano lo stesso protocollo con lo stesso software client, passare più avanti da Tailscale a un'installazione Headscale self-hosted è una modifica di configurazione, non un progetto di migrazione.
Domande frequenti
Headscale vs Tailscale: qual è la vera differenza?
Headscale è un sostituto open source e self-hosted del server di coordinamento di Tailscale. Continui a usare il client Tailscale ufficiale su ogni dispositivo, che dialoga con il tuo server Headscale invece che con il cloud di Tailscale. La rete mesh in sé è identica.
Che cos'è Headscale?
Un'implementazione self-hosted, con licenza BSD-3 e scritta in Go, del server di controllo di Tailscale. Distribuisce le chiavi, tiene traccia dei dispositivi presenti nella tua rete e applica le regole di accesso. Non è un client VPN e non sostituisce l'app Tailscale sui tuoi dispositivi.
Headscale supporta i peer relay di Tailscale?
Sì, ma non in modo identico. Il supporto è seguito upstream, e c'è una lacuna nota: il servizio ospitato di Tailscale inoltra anche quando gli endpoint non riescono a raggiungere direttamente il nodo relay, mentre Headscale oggi ha bisogno di quella visibilità, di solito tramite una regola ACL aggiuntiva.
Dove trovo la documentazione ufficiale di Headscale, il server di controllo Tailscale self-hosted?
Su headscale.net, che copre configurazione, OIDC, criteri ACL e registrazione dei dispositivi, con il codice sorgente su github.com/juanfont/headscale. Tailscale non documenta Headscale, perché è un progetto della community e non uno ufficiale.
Headscale supporta l'SSO?
Sì, tramite OIDC, con discovery, PKCE e autorizzazione per dominio, e-mail o appartenenza a un gruppo, quindi Keycloak, Entra ID e Google funzionano. Un inconveniente: i gruppi OIDC non si possono usare nelle ACL e non c'è supporto per le ACL dinamiche.
Headscale è sicuro quanto Tailscale?
La crittografia è identica, perché la impone il client Tailscale ufficiale, WireGuard end to end, con un traffico che in entrambi i casi non passa mai dal server di coordinamento. Cambia che patch, TLS e backup del piano di controllo diventano una tua responsabilità.
Come configuro Tailscale self-hosted con Headscale?
Esegui il server Headscale (Docker o un binario nativo), punta i tuoi client Tailscale verso di esso con --login-server, poi registra ogni dispositivo con una chiave di preautenticazione. Aggiungi Headplane in seguito se vuoi un'interfaccia web invece della riga di comando per la gestione quotidiana.
Che cos'è l'interfaccia Headplane e mi serve?
Headplane è un'interfaccia web di terze parti per Headscale che sostituisce la riga di comando per gestire nodi, ACL e DNS. Non ti serve, Headscale funziona interamente da riga di comando, ma la maggior parte di chi lo usa con più di una manciata di dispositivi aggiunge Headplane per la visibilità.
Avvia Headscale su AWS senza l'installazione manuale
Avvia un server Headscale preconfigurato su AWS, un'alternativa self-hosted a Tailscale con TLS e ACL già configurati.
Ottieni Headscale su AWS Marketplace
