Headscale vs Tailscale 2026: self-host gratis o 8 $ por usuario

Divulgación de afiliados - Este artículo contiene enlaces de afiliado de Contabo. Si contratas un VPS a través de ellos, recibimos una comisión sin coste extra para ti. Documentamos cada comando y config a partir de fuentes oficiales, escritos para ser reproducibles en tu propio VPS.

El mesh VPN explotó en 2026. WireGuard se convirtió en el estándar de facto, Tailscale se convirtió en el mesh gestionado de referencia, y la comunidad self-host llevó Headscale a un nivel de madurez que no deja ninguna excusa para seguir atado a un SaaS cuando la soberanía importa. Si buscas "tailscale vs headscale", probablemente estás dudando entre la comodidad gestionada y el control total - esta comparativa lo resuelve, basándose en el funcionamiento diseñado de cada una, con Headscale desplegado en un Contabo VPS Frankfurt como referencia self-host.

El data plane es idéntico en ambos casos: WireGuard. Toda la diferencia está en el control plane - quién orquesta las claves, las ACLs, el NAT traversal, y quién posee los metadatos de tu mesh. Esa distinción lo cambia todo: coste, latencia, vendor lock-in y postura de cumplimiento normativo.

¿Cuánto te va a costar? Tailscale es gratis para 6 usuarios pero solo para uso no comercial, Twingate y NetBird se detienen en 5 usuarios, ZeroTier en 10 dispositivos. Nuestra calculadora de precio de Tailscale gratuita toma tu número de usuarios y dispositivos y muestra el plan más barato que encaja en cada servicio a 12-36 meses, frente a un servidor Headscale o NetBird autoalojado (precios revisados el 18/10/2026).

Tailscale: arquitectura gestionada

Tailscale es un control plane SaaS sobre WireGuard. Cuando instalas el cliente, hace tres cosas:

1. Se autentica contra el coordinator Tailscale (login.tailscale.com).
2. Recupera la lista de pares autorizados + sus claves públicas WireGuard.
3. Intenta una conexión directa peer-to-peer vía WireGuard. Si el NAT la bloquea, hace fallback a un relay DERP (TCP/443) gestionado por Tailscale Inc.

El coordinator SaaS

El coordinator es el orquestador. Nunca ve tus claves privadas WireGuard - se generan localmente y permanecen locales. Solo distribuye claves públicas y mappings de IP. Superficie de ataque real: si el coordinator se compromete, un atacante puede inyectar un par fantasma en tu mesh. Tailscale publica un threat model detallado y se somete a auditorías periódicas.

DERP - Designated Encrypted Relay for Packets

Cuando dos pares detrás de NAT simétricos no pueden establecer un túnel directo, Tailscale relaya el tráfico cifrado a través de una red de servidores DERP distribuida mundialmente (lista DERP oficial). Sigue siendo WireGuard cifrado de extremo a extremo; Tailscale Inc. no puede descifrarlo. Pero los metadatos de red (quién habla con quién, cuándo, cuánto) transitan por su infraestructura.

MagicDNS, ACLs, MFA SSO

• MagicDNS: resolución maquina.tu-tailnet.ts.net en todo el mesh, sin configuración DNS manual.
• ACLs JSON declarativas: quién puede hablar con quién, en qué puertos. Compiladas en reglas iptables.
• MFA + SSO SAML/OIDC en los planes Premium y Enterprise (Google Workspace, Okta, Azure AD).
• Audit logs completos en Premium.

La UX es excelente. El precio no tanto en cuanto se sale del plan gratuito: en la pagina de precios de Tailscale, leida el 20 de agosto de 2026, ese plan cubre hasta 6 usuarios con dispositivos ilimitados, y Standard figura a 8 $ por usuario y mes por encima.

¿Qué es Headscale y cómo funciona con los clientes de Tailscale?

Headscale es una reimplementación open source (BSD-3, Go) de la API del coordinator de Tailscale. Lo alojas tú mismo en tu propio servidor - un VPS Contabo a 5,50 €/mes es suficiente para el control plane de un equipo pequeño. Los clientes oficiales de Tailscale (iOS, macOS, Android, Linux, Windows) se conectan directamente usando --login-server=https://tu-dominio-headscale.com. Sin fork de cliente, soberanía total, break-even frente a Tailscale Premium a partir de ~7 usuarios.

Headscale: arquitectura self-host

Headscale (BSD-3, Go, mantenido por Juan Font + comunidad activa) es una reimplementación open source de la API del coordinator Tailscale. No es un fork - es un servidor independiente que habla el mismo protocolo, lo que lo hace compatible con los clientes oficiales de Tailscale.

Componentes

• Daemon Headscale: binario Go único, ~30 MB, escucha en HTTPS sobre un puerto configurable.
• Backend de persistencia: SQLite (por defecto, válido para despliegues pequeños) o PostgreSQL (recomendado en producción multi-org).
• Reverse proxy TLS: Caddy o Traefik delante de Headscale. Let's Encrypt automático.
• Proveedor OIDC opcional: Authentik, Keycloak, Authelia para la autenticación de usuarios. Sin OIDC, las pre-auth keys (CLI) siguen disponibles.

Lo que Headscale hace

• Descubrimiento de pares + distribución de claves públicas.
• ACLs JSON de Tailscale (formato 100% compatible).
• DERP: usar la red DERP pública de Tailscale (por defecto) o alojar tu propio DERP en el mismo VPS.
• Exit nodes, subnet routers, Taildrop, MagicDNS (desde v0.23).

Lo que Headscale no hace

• No tiene consola web oficial (alternativas comunitarias: headscale-ui, en proceso de estabilización).
• No tiene Tailscale SSH con grabación de sesión (funcionalidad SaaS Premium).
• No tiene soporte comercial - es open source comunitario, los issues de GitHub son el único canal.

Comparativa de 12 criterios

Tres observaciones que raramente se leen en otros sitios:

1. El DERP custom de Headscale marca la diferencia en la UE. Alojas DERP en el mismo VPS Contabo Frankfurt y sustituyes una infraestructura DERP en EE.UU. por una en la UE - gran ventaja RGPD para empresas con requisitos de cumplimiento EU/EEA.
2. La ausencia de consola oficial de Headscale es menos problemática de lo que parece una vez hecha la configuración inicial. Las operaciones diarias se hacen por CLI (headscale nodes list, headscale acl tests) y caben en 3 comandos.
3. El coste oculto de Tailscale Premium: la facturación es por usuario, no por dispositivo. Si tienes 5 usuarios y 100 nodos, pagas 5 × 18 $/mes - no 100 × 1,80 $. Headscale ignora esta distinción (un nodo = un nodo).

En la práctica: setup Headscale en Contabo Frankfurt

Setup de referencia para un Contabo Cloud VPS 4 Frankfurt (4 vCPU, 8 GB RAM, 100 GB SSD, tráfico ilimitado (fair-use), 5,50 €/mes - ver nuestra reseña Contabo 2026). Stack: Debian 12, Docker, Headscale 0.29 (SQLite), Caddy 2, Authentik 2026.4.

Paso 1 - Aprovisionamiento Contabo (5 min)

Contrata un Contabo Cloud VPS 4 Frankfurt a través de nuestro enlace VPS Contabo. Parte de una imagen Debian 12 mínima: solo clave SSH, login root desactivado de inmediato, ufw + fail2ban configurados con el tutorial Contabo paso a paso.

Paso 2 - Stack Docker (10 min)

# /opt/headscale/docker-compose.yaml (Headscale 0.29.5, SQLite as recommended upstream)
services:
  headscale:
    image: docker.io/headscale/headscale:0.29.5
    container_name: headscale
    restart: unless-stopped
    read_only: true
    tmpfs:
      - /var/run/headscale
    ports:
      - "127.0.0.1:8080:8080"
      - "127.0.0.1:9090:9090"
    volumes:
      - /opt/headscale/config:/etc/headscale:ro
      - /opt/headscale/lib:/var/lib/headscale
    command: serve
    healthcheck:
      test: ["CMD", "headscale", "health"]

  caddy:
    image: docker.io/library/caddy:2
    container_name: caddy
    restart: unless-stopped
    ports:
      - "80:80"
      - "443:443"
      - "443:443/udp"
    volumes:
      - /opt/headscale/Caddyfile:/etc/caddy/Caddyfile:ro
      - caddy_data:/data
      - caddy_config:/config
    depends_on:
      - headscale

volumes:
  caddy_data:
  caddy_config:

Caddyfile mínimo:

headscale.tudominio.com {
  reverse_proxy headscale:8080
}

docker compose up -d y Let's Encrypt gestiona el certificado TLS en unos 30 segundos. Caddy llega a Headscale por su nombre de servicio (headscale:8080): dentro del contenedor de Caddy, 127.0.0.1 apuntaría al propio Caddy. En config.yaml, pon server_url: https://headscale.tudominio.com, listen_addr: 0.0.0.0:8080 (el contenedor debe escuchar en todas sus interfaces) y un dns.base_domain distinto de ese dominio. Nuestro generador de config Headscale escribe el archivo completo para esta pila exacta. Total: 15 minutos de setup activo.

Paso 3 - Conectar 5 clientes

# En el servidor Headscale
headscale users create eric
headscale users list   # numeric ID of eric, e.g. 1
headscale preauthkeys create --user 1 --reusable --expiration 24h
# → tskey-auth-xxxxx

# En cada cliente (MacBook, 2 Linux Debian, iOS, Android)
sudo tailscale up \
  --login-server=https://headscale.tudominio.com \
  --authkey=tskey-auth-xxxxx

iOS y Android requieren editar Settings → Tailscale → Custom Coordinator URL en la app oficial (opción visible desde la versión 1.40). Conectar un puñado de clientes lleva solo unos minutos.

Paso 4 - Qué esperar en rendimiento

Para comparar tú mismo, lanza iperf3 entre un cliente y el VPS Contabo Frankfurt. La tabla de abajo muestra lo que cabe esperar de forma direccional - mide tu propia ruta para cifras exactas:

En túnel directo (el caso nominal), no hay diferencia - es WireGuard en ambos lados. La diferencia solo aparece en el relay DERP: alojar tu propio DERP en Contabo Frankfurt evita un largo rodeo y entrega menor RTT y mayor throughput frente a un DERP público lejano que puede saturarse en horas pico.

Casos de uso - quién debería elegir qué

Elegir Tailscale (gestionado)

• Solo / proyectos personales, hasta 6 usuarios → Tailscale Free. 0 €, dispositivos ilimitados segun lo indicado el 20 de agosto de 2026, y la UX es imbatible.
• Startup early-stage <5 usuarios → Tailscale Free también. Concentra tu tiempo en el producto.
• Scaleup 20-100 usuarios, cumplimiento B2B SaaS US-friendly → Tailscale Premium. Audit logs, SAML, soporte pro - es su punto fuerte.
• Sin sysadmin interno → Tailscale, sin debate.

Elegir Headscale (self-host)

• Cumplimiento UE / RGPD / soberanía sector público → Headscale. El control plane vive en tu jurisdicción.
• Equipo con un sysadmin competente y tiempo disponible → Headscale es rentable rápidamente (break-even <6 meses con 7+ usuarios).
• Producción con requisitos estrictos de residencia de datos (sanidad, fintech UE, defensa) → Headscale es prácticamente obligatorio.
• Deseo de entender y controlar tu stack VPN → Headscale te enseña cosas; Tailscale las oculta.

Elegir WireGuard puro (recordatorio)

Si todavía evalúas un tercer escenario (WireGuard hub-and-spoke sin control plane), nuestra comparativa Tailscale vs WireGuard self-host resuelve esa rama. Headscale solo arbitra frente a Tailscale.

Limitaciones de Headscale que debes conocer

Honestidad ante todo - Headscale es sólido, pero estos son los puntos ciegos reales en producción:

1. Retraso de funcionalidades vs Tailscale. Las nuevas funcionalidades de Tailscale (Tailscale Funnel, Tailscale Serve, grabación de sesiones SSH) llegan a Headscale con retraso, y algunas no llegarán nunca (funcionalidades Premium intrínsecamente SaaS).
2. Flexibilidad ACL. El formato JSON ACL de Tailscale es compatible, pero el linting de Headscale es menos verboso: un error tipográfico en un tag puede fallar silenciosamente. Flujo de trabajo recomendado: headscale acl tests en CI antes de hacer push.
3. Sin MagicDNS automático para PoCs rápidos. En el SaaS Tailscale, MagicDNS funciona en dos clics. En Headscale, hay que configurar la zona DNS en el servidor - ya sea dnsmasq o una zona CoreDNS dedicada. No es insuperable, pero no es mágico.
4. Sin bug bounty oficial. Si encuentras una CVE, es a través de los issues de GitHub, no mediante un programa de responsible disclosure remunerado.
5. headscale-ui de terceros. La consola web comunitaria funciona pero no está al nivel del dashboard de Tailscale en UX. Para la mayoría de las operaciones habituales, el CLI es suficiente.

TCO comparativo a 3 años

Escenario mediano: 10 usuarios activos, 30 nodos, crecimiento moderado. Hipótesis: sysadmin a 50 €/h (nivel junior-mid UE), Tailscale Premium 18 $/usuario/mes (tarifas junio 2026), Contabo Cloud VPS 4 Frankfurt 5,50 €/mes + un reset de hardware (~30 €).

Con 10 usuarios / 30 nodos, Headscale es ~12 % más barato en TCO a 36 meses. Con 5 usuarios, Tailscale Premium vuelve a ganar (~3.240 $ vs ~5.000 € de Headscale - el coste fijo del sysadmin aplasta el ahorro SaaS). Con 20+ usuarios, Headscale gana por KO: Tailscale Premium llega a 12.960 $/36m, mientras Headscale se mantiene en ~5.280 €.

El punto óptimo económico de Headscale: 8-15 usuarios. Por debajo, Tailscale Free o Premium gana. Por encima, Headscale gana por KO.

Veredicto segmentado

La peor elección: Headscale sin sysadmin dedicado. Acabarás con un control plane sin parchear un martes por la noche.

Para profundizar

• Qué es Tailscale y qué sustituye de verdad
• Subnet router de Tailscale: llega a toda tu LAN sin instalar Tailscale en cada equipo
• ZeroTier o Tailscale: qué malla elegir
• VPN en un NAS Synology o QNAP: la guía completa
• WireGuard en un router OpenWrt: cliente y servidor
• Headscale self-host: guía de instalación completa 2026
• Headscale frente a WireGuard: el túnel y el servidor que reparte las claves - lo que WireGuard a secas te deja a ti, y lo que la documentación de Headscale dice que no es
• Tailscale vs WireGuard self-host 2026
• Self-host VPN en Contabo WireGuard 2026
• Configuración VPS Contabo paso a paso
• WireGuard vs OpenVPN - benchmarks VPS 2026
• Reseña Contabo 2026: feedback honesto de producción
• Calculadora de coste VPN autoalojado - modela el TCO de Tailscale vs Headscale vs WireGuard con tu tamaño de equipo y tarifa por hora
• Comparador VPS interactivo - elige el host Headscale correcto entre Contabo, Hetzner y OVH de un vistazo
• Tailscale Funnel: la palabra que pone tu aplicación en internet público

Fuentes:

• Headscale - código fuente juanfont/headscale
• Cliente CLI Tailscale - código fuente
• Tailscale Security Bulletin & Threat Model
• DERP - Designated Encrypted Relay for Packets
• WireGuard whitepaper - Jason A. Donenfeld

Artículo publicado el 2026-06-07. Las notas de rendimiento se basan en el funcionamiento diseñado de Tailscale y Headscale (ambos usan WireGuard como data plane); mide tu propia ruta para cifras exactas. Tarifas Tailscale consultadas en tailscale.com/pricing en junio de 2026 - verificar antes de tomar una decisión. Los ahorros reales dependen del tamaño del equipo, el coste horario del sysadmin y los requisitos de cumplimiento.

Nota: WireGuard, Tailscale y Headscale son completamente legales en la UE, EE.UU., Canadá. VPNSmith publica este contenido con fines educativos.