Estos dos se comparan constantemente, y la comparación está ligeramente mal planteada. Headscale y OpenVPN no resuelven el mismo tipo de problema. Uno coordina una malla en la que tus dispositivos hablan directamente entre sí; el otro es un concentrador por el que pasa todo el tráfico. Elegir entre ellos es sobre todo decidir cuál de esas dos topologías quieres realmente, y la respuesta suele ser evidente en cuanto se plantea así la pregunta.
¿Estás comparando Headscale con el propio servicio alojado? Nuestra comparativa Tailscale vs Headscale enumera las funciones que faltan, el coste a 3 años y un veredicto según el tamaño del equipo.
La diferencia estructural, en un párrafo
Con OpenVPN, los clientes se conectan a un servidor. Ese servidor ve cada paquete, y es a la vez el punto de control y la ruta del tráfico. Cuando dos de tus portátiles hablan entre sí, su tráfico sube hasta el servidor y vuelve a bajar.
Con Headscale, el servidor reparte claves y mapas de red y después se aparta. Dos dispositivos que ya se han presentado hablan directamente, cifrados de extremo a extremo con WireGuard. El plano de control puede estar fuera de línea y los túneles existentes siguen funcionando.
Esa única diferencia determina casi todo lo que sigue.
Dónde gana la malla
El tráfico no da rodeos. Dos máquinas en la misma oficina se comunican a través de la oficina, no pasando por un VPS en Fráncfort. En trabajos sensibles a la latencia, no es una ganancia marginal.
Ningún cuello de botella único para el tráfico. El ancho de banda de un servidor OpenVPN es un techo compartido por todos; una malla no tiene un conducto central equivalente.
Identidad por dispositivo. Cada nodo tiene su propia clave y su propio lugar en una ACL, en lugar de un certificado que da acceso a "la red".
Velocidad, normalmente. WireGuard suele ejecutarse en el kernel de Linux mientras OpenVPN se ejecuta en espacio de usuario, lo que tiende a favorecer a WireGuard en un host Linux. Tómalo como una tendencia, no como una cifra: en un enlace saturado, o cuando ambos pares están de todos modos cerca del servidor OpenVPN, la diferencia puede perderse en el ruido.
Dónde sigue ganando OpenVPN, y no es nostalgia
Atravesar redes hostiles. OpenVPN puede funcionar sobre el puerto TCP 443, indistinguible del HTTPS normal para un filtro basado en puertos. WireGuard es solo UDP, así que una red que bloquea UDP bloquea la malla por completo: ningún ajuste del cliente lo soluciona. En el Wi-Fi de hoteles, campus y empresas esto es decisivo, y es la razón por la que mucha gente mantiene un punto de acceso OpenVPN únicamente como vía de escape. Cuando incluso TCP/443 se inspecciona en lugar de simplemente filtrarse, la respuesta deja de ser un ajuste de transporte y pasa a ser la ofuscación: wstunnel, que transporta el túnel dentro de un WebSocket, es el siguiente paso habitual.
Dispositivos que nunca ejecutarán WireGuard. Routers antiguos, equipos industriales embebidos, firmware de NAS antiguo, aparatos abandonados por su fabricante. Una malla a la que no puede unirse la mitad de tus equipos no es una malla.
Un único punto de entrada controlado. A veces centralizar el tráfico es el requisito, no el inconveniente, cuando todo debe pasar por un único punto de inspección o salir desde una sola dirección auditable. Una malla es, por diseño, la herramienta equivocada para eso.
Madurez del ecosistema. Décadas de documentación, y ninguna dependencia del cliente de una sola empresa.
Una tabla de decisión sin rodeos
| Tu situación | Elección |
|---|---|
| Conectar tus propias máquinas entre sí | Headscale |
| Necesitas un único punto de entrada controlado y auditable | OpenVPN |
| Parte del parque es hardware antiguo o equipos dedicados | OpenVPN |
| La latencia entre pares importa | Headscale |
| Trabajas a menudo desde redes que filtran UDP | OpenVPN (TCP/443) |
| Quieres identidad por dispositivo y ACL centralizadas | Headscale |
| No quieres ninguna dependencia del cliente de un proveedor | OpenVPN |
El veredicto honesto
Si estás construyendo conectividad privada entre máquinas que te pertenecen, Headscale es la mejor opción por defecto en 2026: la topología encaja con el problema, y el rendimiento se deriva de ese encaje y no de una ingeniería ingeniosa.
¿Te decides por Headscale? La parte del servidor es un pequeño VPS con una IP pública y un dominio. Nuestro generador de configuración Headscale gratuito escribe el config.yaml, el archivo Docker Compose, la configuración TLS y los primeros comandos, y un Contabo Cloud VPS 4 aparece desde 5,50 €/mes en contabo.com (comprobado el 17 oct. 2026). Si prefieres un proveedor estadounidense con garantía de reembolso de 30 días, Ultahost VPS Basic cuesta 5,52 $ al mes con un plazo de 24 meses (1 GB de RAM, IPv4 dedicada, consultado el 21 de octubre de 2026), suficiente para un servidor Headscale de un equipo pequeño. La misma máquina puede mantener un servicio OpenVPN escuchando en TCP/443 para las redes hostiles mencionadas arriba.
Conserva OpenVPN donde es realmente insustituible: redes hostiles que solo dejan salir TCP/443, y hardware que no puede unirse a una malla moderna. Esos dos casos son más limitados que hace cinco años, y no van a desaparecer.
Usar los dos es un resultado legítimo, no una incapacidad para decidir. El coste son dos vías de acceso que auditar en lugar de una, real, pero normalmente menor que forzar todos los casos a través de una sola herramienta que solo encaja con algunos.
★ Datacenter Núremberg GDPR · ✓ IPv4 dedicada incluida · puerto de 200 Mbit/s
Aloja tu VPN en tu propio VPS → ContaboAcceso root completo · IPv4 pública · elige tu región→
