¿Qué es Tailscale? VPN en malla gratis para 6 usuarios (2026)

Tailscale es una VPN en malla, gratuita hasta 6 usuarios, que une tus portátiles, móviles y servidores en una sola red privada y cifrada basada en WireGuard, sin abrir puertos ni escribir archivos de configuración. Está pensada para llegar a tus propias máquinas desde cualquier lugar (NAS, servidor doméstico, SSH), no para navegar de forma anónima: para ocultar tu IP necesita un exit node.

Esta guía responde, por orden, a las preguntas que la gente escribe en Google: qué hace Tailscale, cómo funciona, qué es gratis y qué es de pago, y cómo usarlo como una VPN normal.

¿Cuánto te va a costar? Tailscale es gratis para 6 usuarios, pero solo para uso no comercial; Twingate y NetBird se quedan en 5 usuarios, y ZeroTier en 10 dispositivos. Nuestra calculadora de precio de Tailscale gratuita toma tu número de usuarios y dispositivos y muestra el plan más barato que encaja en cada servicio a 12, 24 o 36 meses, junto a un servidor Headscale o NetBird autoalojado (precios revisados el 18 oct. 2026).

¿Qué es Tailscale, en una frase?

Tailscale es una VPN en malla, basada en WireGuard, que conecta todos tus dispositivos en una sola red privada casi sin configuración. Instalas la app en cada dispositivo, inicias sesión con una cuenta que ya tienes y todos pueden comunicarse de forma segura, estén donde estén. Toma el protocolo WireGuard, rápido y moderno, y elimina el trabajo manual que suele acompañarlo.

¿Qué hace Tailscale en realidad?

La definición anterior dice lo que Tailscale es. Lo que la gente suele querer saber es lo que hace, y la respuesta es más corta: da a cada uno de tus dispositivos una dirección privada fija que sigue funcionando sea cual sea la red en la que esté.

Todo lo demás se deriva de ese único comportamiento. En la práctica hace tres cosas:

• Hace que tus dispositivos se vean entre sí. Tu portátil puede abrir el NAS de casa, tu ordenador de sobremesa o un servidor alquilado desde una cafetería o desde otro país, sin abrir un solo puerto en el router.
• Sigue funcionando cuando cambia la red. La dirección no cambia al pasar del wifi de casa a los datos móviles. Las conexiones sobreviven al cambio en lugar de cortarse.
• También puede enrutar tu tráfico de internet, si se lo pides. Si designas un dispositivo como exit node, puedes hacer pasar tu navegación por él. Esa es la parte que se parece a una VPN tradicional, y viene desactivada por defecto.

Lo que no hace es ofrecerte un menú de servidores en otros países. Es la fuente habitual de confusión, y lo vemos más abajo.

(El nombre se escribe en una sola palabra. Si buscaste "tail scale" separado, estás en el sitio correcto: el producto se llama Tailscale.)

¿Cómo funciona Tailscale?

Tailscale funciona en cuatro pasos: cada dispositivo crea su propio par de claves WireGuard, las claves públicas se intercambian a través del servidor de coordinación de Tailscale, los dispositivos encuentran un camino entre ellos a través del NAT (directo o mediante un relé cifrado) y, a partir de ahí, el tráfico circula de dispositivo a dispositivo por WireGuard. Esto es lo que ocurre, en orden, la primera vez que ejecutas tailscale up:

1. Inicias sesión con una identidad que ya tienes. Google, Microsoft, GitHub, Apple o cualquier proveedor OIDC. Tailscale no guarda ninguna contraseña propia: el proveedor de identidad dice quién eres, y esa identidad decide a qué tailnet se une el dispositivo.
2. El dispositivo genera un par de claves WireGuard en local. La clave privada nunca sale de la máquina. Solo la clave pública, junto con las direcciones en las que se puede localizar el dispositivo, se envía al servidor de coordinación (el plano de control en login.tailscale.com).
3. El servidor de coordinación reparte el mapa. Cada dispositivo recibe las claves públicas y las direcciones accesibles de sus pares, las reglas de acceso (ACL) que hayas escrito, una dirección privada fija en el rango 100.64.0.0/10 y un nombre MagicDNS como nas.your-tailnet.ts.net.
4. Los dispositivos encuentran un camino entre ellos. Cada uno descubre su dirección pública con STUN e intenta abrir una conexión UDP directa atravesando el NAT. Cuando ambos lados están detrás de un NAT estricto o de un CGNAT, el tráfico pasa por un relé DERP, siempre cifrado de extremo a extremo (el relé transporta datos cifrados que no puede leer), y Tailscale sigue intentando pasar a una ruta directa en segundo plano.
5. El tráfico circula por WireGuard, de dispositivo a dispositivo. El servidor de coordinación nunca ve un solo paquete de tus datos: solo gestiona claves, identidad y la lista de pares.

Lo único que hay que tener presente: el servidor de coordinación es la pieza en la que confías. Nunca transporta tus datos, pero decide qué claves públicas pertenecen a tu tailnet. Si eso te incomoda, el servidor de código abierto Headscale lo sustituye en una máquina tuya, y los clientes oficiales de Tailscale siguen funcionando sin cambios.

¿Para qué sirve Tailscale?

Brilla siempre que necesitas acceso privado a tus propias máquinas:

• Llegar a un servidor doméstico o a un NAS desde cualquier lugar, como si estuvieras en casa.
• Conectar los dispositivos de un equipo pequeño sin una VPN corporativa tradicional.
• Entrar por SSH en servidores sin exponerlos a internet.
• Unir máquinas en la nube y en casa en una sola red privada y plana.

Esto es distinto de una VPN comercial. Si quieres comparar con la alternativa más manual, consulta nuestro análisis Tailscale frente a WireGuard a secas.

¿Qué diferencia hay entre Tailscale y una VPN normal?

Esto confunde a mucha gente, así que conviene dejarlo claro. Una VPN comercial enruta tu tráfico por los servidores de un proveedor para ocultar tu IP y desbloquear plataformas de streaming. Tailscale conecta tus propios dispositivos entre sí de forma privada. No está pensada para navegar de forma anónima ni para ver el Netflix de otro país. Está pensada para un acceso seguro y privado a las máquinas y servicios que son tuyos.

Malla frente a estrella: la forma de la red

La tabla anterior compara para qué sirve cada una. La diferencia de fondo es la topología, y es lo que decide cómo se mueve realmente tu tráfico.

Una VPN tradicional tiene forma de estrella (hub and spoke). Todos los dispositivos se conectan al mismo concentrador, y todo lo que envías pasa por él, incluso un archivo que va al portátil de tu propia mesa. Ese concentrador es un único punto que configurar, un único punto de fallo y un rodeo que se mide en milisegundos reales cuando las dos máquinas están en la misma habitación y el concentrador está en otro país.

Una VPN en malla es de par a par. Cada dispositivo tiene una clave para cada uno de los demás y habla con ellos directamente cuando la red lo permite, usando técnicas de NAT traversal para abrirse camino a través de los routers intermedios. Sigue existiendo un servidor de coordinación, pero distribuye claves y direcciones; no transporta tus paquetes. Cuando el NAT traversal falla, y en algunas redes restrictivas falla, el tráfico pasa a un relé y vuelves a tener el comportamiento en estrella: más lento, pero funciona.

Tres consecuencias se derivan de la forma de la red, no de la marca:

• La latencia sigue el camino real entre dos dispositivos, no el camino hasta un concentrador.
• Una malla no tiene un único cuello de botella que dimensionar o perder, pero sí tiene un servicio de coordinación cuya disponibilidad sigue importando.
• Añadir un dispositivo es un intercambio de claves, no un cambio en una configuración central.

¿Cuáles son los límites de Tailscale?

Tailscale es excelente, pero tiene contrapartidas. Dependes de sus servidores de coordinación y de su inicio de sesión para la capa de control, así que no es del todo autónomo; si eso te importa, el servidor de código abierto Headscale o WireGuard a secas eliminan esa dependencia, con más configuración. El precio es por usuario, así que crece con el tamaño del equipo. Y como está pensado para el acceso privado a dispositivos, no sustituirá a una VPN comercial para desbloquear contenido. Elígelo por lo que es: la forma más sencilla de conectar tus propios dispositivos entre sí de forma segura.

¿Tailscale es gratis?

Respuesta corta: sí para uso personal, hasta 6 usuarios. Nuestra página dedicada ¿Tailscale es gratis? Los límites del plan gratuito repasa cinco casos habituales (familia, homelab, autónomo, equipo pequeño) y lo que cuesta cada salida del plan gratuito.

Hay un plan gratuito, y es inusualmente generoso para uso personal: el plan Personal cubre hasta 6 usuarios con dispositivos de usuario ilimitados, siempre que el uso sea no comercial. Una tailnet creada con un dominio de empresa empieza con una prueba y después necesita un plan de pago, facturado por usuario y no por dispositivo. Cifras de tailscale.com/pricing, consultadas el 18 oct. 2026; vuelve a comprobarlas antes de contratar, porque la tabla cambia con frecuencia.

Los recursos etiquetados (servidores, exit nodes, subnet routers) están incluidos hasta 50 en los planes de pago, y después cuestan 1 $ al mes cada uno. Tres formas de no pagar nada cuando el plan Personal se te queda pequeño: cuenta las personas que inician sesión y no los dispositivos (un hogar de 4 personas con 20 máquinas sigue siendo gratis); autoaloja el plano de control con Headscale, con el que funcionan los clientes oficiales de Tailscale, sin límite de usuarios y con el servidor como único coste, un VPS de Contabo por unos 5,50 € al mes (consultado el 17 oct. 2026), mientras nuestro generador de configuración de Headscale gratuito escribe la configuración; o compara con la competencia en nuestra calculadora de precio de Tailscale, que da el coste real de Tailscale, Twingate, NetBird y ZeroTier a 12, 24 o 36 meses con tus cifras.

La distinción que importa más que el precio: Tailscale es gratis en el sentido de que te prestan un servicio de coordinación, no en el sentido de que lo gestiones todo tú. Tu tráfico sigue siendo de par a par, pero el servicio que presenta tus dispositivos entre sí es suyo. Si quieres que esa parte también esté en tu propia infraestructura, para eso precisamente existe Headscale, una reimplementación de código abierto del plano de control que alojas tú mismo.

¿Por qué es gratis Tailscale, entonces? Tailscale lo explica en su propio artículo How our free plan stays free, de su CEO Avery Pennarun (leído el 24 de octubre de 2026). Tus datos viajan de igual a igual entre tus dispositivos, no por los servidores de Tailscale, así que un usuario gratuito le cuesta muy poco; y quien lo usa en casa lo lleva al trabajo, donde las empresas pagan por usuario. La postura declarada de Tailscale: tus datos no son el producto. El plan gratuito depende de ese modelo de negocio, y es una de las razones por las que algunos homelabs mantienen un Headscale autoalojado como plan B.

El detalle caso por caso (familia, homelab, autónomo, 7.º usuario) está en nuestra guía ¿Tailscale es gratis? Los límites del plan gratuito, con lo que cuesta cada forma de superarlos.

¿Tailscale ve mi tráfico?

No, en el caso normal, y el motivo es estructural, no una promesa. Tailscale crea túneles WireGuard directamente entre tus dispositivos, y las claves de cifrado nunca salen de ellos: los servidores de coordinación intercambian claves públicas e información de conexión, no el contenido. Lo que Tailscale sí puede ver son metadatos: qué dispositivos existen, cuándo se conectan y qué direcciones anuncian.

Hay un matiz que conviene conocer antes de descubrirlo por sorpresa. Cuando dos dispositivos están detrás de configuraciones de red que impiden una conexión directa, el tráfico pasa a un relé DERP gestionado por Tailscale. Ese relé transporta el túnel cifrado; no puede leer lo que va dentro, porque las claves siguen estando solo en tus dispositivos. Así que lo honesto es decir que los relés pueden ver que te estás comunicando y cuánto, nunca qué estás diciendo.

Tailscale frente a una app de VPN, en una sola distinción

La confusión detrás de la mayoría de las preguntas de tipo "cuál debería usar" es que la palabra VPN abarca dos tareas que no tienen nada que ver.

Una app de VPN comercial te da la dirección IP de otro. Eso es lo que hace funcionar el desbloqueo geográfico y la ocultación de tu dirección ante un sitio web, y es todo el producto. Tailscale te da tus propios dispositivos, accesibles desde cualquier lugar, como si compartieran una red privada. No te oculta ante los sitios web: sigues saliendo por la red en la que estés, salvo que enrutes a propósito a través de un exit node que controles.

Así que la pregunta no es cuál es mejor, sino qué tarea tienes. Llegar a tu NAS desde un hotel es Tailscale. Ver un servicio que no está disponible donde estás es una VPN comercial. Querer ambas cosas significa usar las dos, y es una configuración normal, no un parche.

¿Qué sorprende primero de Tailscale?

Tres cosas explican la mayor parte de los tropiezos iniciales, y ninguna es un defecto:

• Cada dispositivo necesita el cliente. No hay ningún interruptor en el servidor que meta una máquina en tu red. Todo lo que quieras hacer accesible tiene que ejecutar Tailscale, por eso una impresora o un NAS antiguo suelen acabar detrás de un subnet router.
• Las direcciones IP resultan extrañas. Los dispositivos reciben una dirección del rango 100.x, no del rango de tu red local. Es deliberado, porque evita choques con la red local en la que estés en cada momento, pero significa que los marcadores a direcciones 192.168.x no funcionarán desde fuera.
• El acceso está abierto por defecto. Una red recién creada deja que cada dispositivo llegue a todos los demás. Para uso personal está bien, para cualquier cosa compartida no; las ACL existen exactamente para eso, y merece la pena escribirlas antes de invitar a nadie.

¿Puede Tailscale ocultar tu IP como una VPN normal?

Sí, con una condición: que le des una salida. Tailscale no tiene servidores de navegación propios. Para que tu tráfico de internet salga por otro sitio distinto de la red en la que estás, designas un dispositivo de tu tailnet como exit node, y tus otros dispositivos navegan con la IP de ese nodo. Hay tres formas de hacerlo, y no cumplen la misma función:

El VPS es la opción habitual cuando quieres una salida que no dependa ni de tu router ni de la luz de casa. La configuración lleva unos diez minutos: instalar Tailscale en el servidor, activar el reenvío IP (net.ipv4.ip_forward = 1), ejecutar sudo tailscale set --advertise-exit-node y aprobar el nodo en la consola de administración. Todos los comandos y la comprobación de que funciona están en nuestra guía completa del exit node de Tailscale. El mismo servidor puede ejecutar después Headscale si también quieres dejar de depender de los servidores de coordinación.

En resumen

Tailscale es el camino más sencillo hacia una red privada con tus propios dispositivos. Aprovecha la velocidad y la seguridad de WireGuard y oculta la complejidad, de modo que conectar un portátil, un móvil y un servidor lleva minutos en lugar de una tarde entera. No es una herramienta de anonimato, sino de acceso privado, y para esa tarea es difícil de superar.

Una VPN cambia tu IP. No cambia tu navegador.

Un túnel sustituye la dirección que ve un servicio. No cambia nada de lo que tu navegador anuncia por sí solo (fuentes, pantalla, zona horaria, pila gráfica), y esa combinación suele ser lo bastante estable para reconocerte de una sesión a otra, con túnel o sin él.

Mide la huella de tu propio navegador: pasivo, sin preguntas, sin cuenta y sin correo electrónico.

Para tener los comandos a mano: nuestra Tailscale & Headscale Cheat Sheet gratuita (PDF de 4 páginas en inglés, descarga directa, sin registro) reúne status y ping, exit node, subnet router, Serve y Funnel, la configuración de Headscale, usuarios, claves y ACL, y las causas de fallo habituales. Descargar la ficha.

Guías relacionadas

• Tailscale Funnel: la diferencia de una palabra que pone tu app en internet
• Exit node de Tailscale: la guía completa en un VPS
• Tailscale frente a Headscale: SaaS gestionado o servidor de control autoalojado
• Subnet router de Tailscale: llegar a la impresora o al NAS sin cliente

Si prefieres gestionar tú mismo el punto de salida en lugar de depender de un servicio de coordinación, nuestra comparativa de los VPS más baratos repasa los planes de entrada que bastan.