PiVPN vs Tailscale (2026): la cuestión es si puedes abrir un puerto

Busca esta comparativa y encontrarás largas tablas de funciones. La mayoría entierra el único dato que decide el resultado para la mayoría de la gente, y no tiene nada que ver con las funciones: ¿puedes abrir un puerto entrante en tu conexión a internet?

Si la respuesta es sí, ambas herramientas funcionan y la elección depende de lo que quieras. Si es no, la comparativa termina antes de empezar.

Una excepción: detrás de CGNAT todavía puedes conservar PiVPN ejecutándolo en un VPS pequeño con su propia IPv4 pública, como un Contabo Cloud VPS 4 (enlace de afiliado) desde 5,50 € al mes con un plazo de 24 meses, con la Pi de casa uniéndose como cliente (detalles más abajo). Si prefieres un proveedor estadounidense con garantía de devolución de 30 días, Ultahost VPS Basic cuesta 5,52 $ al mes con un plazo de 24 meses (1 GB de RAM, IPv4 dedicada, consultado el 21 de octubre de 2026), suficiente para un servidor WireGuard con pocos dispositivos.

La restricción que lo decide

PiVPN monta un servidor. Los clientes se conectan desde fuera, lo que requiere un puerto accesible desde internet, lo que a su vez requiere una dirección pública propia.

Tailscale nunca acepta una conexión entrante. Ambos extremos abren conexiones salientes y un servidor de coordinación los presenta. No hay que cambiar nada en tu router.

Así que la primera pregunta no es "cuál es mejor", sino ¿qué te da tu proveedor? Si la dirección WAN de tu router está entre 100.64.0.0 y 100.127.255.255, estás detrás de un NAT de operador (CGNAT): no hay puerto que redirigir, y PiVPN no puede ser alcanzado desde fuera por mucho que lo configures.

Dos formas distintas de red

Más allá de la accesibilidad, las dos construyen cosas realmente diferentes.

PiVPN es en estrella. Todo pasa por la Pi. Es exactamente lo que quieres cuando el objetivo es estar en casa desde otro lugar: navegar con tu IP de casa, llegar a la impresora, usar un servicio que solo confía en tu dirección doméstica.

Tailscale es una malla. Tu portátil habla directamente con tu móvil, esté la Pi encendida o no. Nada se canaliza por una sola caja, así que nada se rompe cuando esa caja se reinicia, y nada pasa por tu conexión doméstica salvo que lo pidas.

Ninguna forma es mejor. Responden a frases distintas: "quiero estar en mi red de casa" frente a "quiero que mis máquinas se comuniquen entre sí".

Lo que te cuesta cada una

La tercera opción cuando no se puede abrir el puerto

Detrás de CGNAT, la tabla anterior parece decir que Tailscale es la única opción. Hay una tercera que conserva la forma de PiVPN: sacar el servidor WireGuard de la Pi y llevarlo a un VPS pequeño con su propia IPv4 pública. El VPS tiene un puerto accesible desde cualquier lugar, tu móvil y tu portátil se conectan a él exactamente igual que lo harían a PiVPN, y la Pi de casa se conecta como un cliente más con PersistentKeepalive = 25, de modo que tu red local sigue accesible a través de ella. Mantienes un nodo central clásico que controlas por completo, ningún servidor de coordinación guarda tu lista de dispositivos, y el CGNAT deja de importar porque nada tiene que llegar a tu conexión doméstica desde fuera.

Antes de decidir, comprueba si de verdad estás detrás de CGNAT. Nuestro verificador de puerto WireGuard gratuito compara la dirección WAN de tu router con tu IP pública y te responde en unos segundos; si las dos difieren, o si la dirección WAN está en 100.64.0.0/10, ningún ajuste de PiVPN te servirá. La configuración con relé está explicada paso a paso en WireGuard detrás de CGNAT, y las configuraciones para el VPS, la Pi y cada móvil salen del generador de configuración WireGuard en un minuto, con las claves generadas en tu navegador. El generador es gratuito hasta 10 dispositivos; a partir de ahí, WireGuard Pro (nuestro propio producto, 9 EUR en un único pago, sin suscripción) sube el límite a 250 y añade un ZIP con el .conf de cada cliente y su código QR en PNG, práctico para configurar una oficina o una familia entera de una vez.

Lo que cuesta: unos pocos euros al mes y un servidor más que mantener actualizado. Lo que cambia frente a PiVPN en casa: el tráfico de internet sale por la dirección del VPS, no por tu IP de casa, salvo que lo encamines a través de la Pi, lo que supone más configuración. Si el objetivo era precisamente parecer que estás en casa, sigues necesitando una conexión doméstica accesible, y eso te devuelve a Tailscale.

La recomendación honesta

Empieza con Tailscale si tienes dudas. Funciona en todas partes, incluidos los casos en que PiVPN simplemente no puede, y añadir un dispositivo lleva segundos. Para la mayoría de quienes quieren llegar a sus propias máquinas desde fuera, eso es todo lo que necesitan.

Elige PiVPN cuando el objetivo sea tu propia conexión doméstica, parecer que estás en casa, o rechazar cualquier dependencia externa. Ambos son motivos legítimos, y el segundo no es paranoia: es la diferencia entre una red que operas y una red a la que te suscribes.

Y si quieres la malla sin la empresa, el término medio existe: aloja tú mismo el plano de control con Headscale, comparado con Tailscale aquí. Conservas los clientes oficiales y el atravesamiento de NAT, y la parte que conoce tus dispositivos se queda en una máquina tuya.