Cos'è Tailscale? VPN mesh gratis fino a 6 utenti (guida 2026)

Tailscale è una VPN mesh, gratuita fino a 6 utenti, che collega laptop, telefoni e server in un'unica rete privata cifrata basata su WireGuard, senza porte da aprire né file di configurazione da scrivere. È pensata per raggiungere le tue macchine da qualsiasi luogo (NAS, server di casa, SSH), non per navigare in modo anonimo: per nascondere il tuo IP le serve un exit node.

Questa guida risponde, nell'ordine, alle domande che si scrivono su Google: cosa fa Tailscale, come funziona, cosa è gratis e cosa è a pagamento, e come usarlo come una VPN normale.

Quanto ti costerà? Tailscale è gratis per 6 utenti ma solo per uso non commerciale, Twingate e NetBird si fermano a 5 utenti, ZeroTier a 10 dispositivi. Il nostro calcolatore dei prezzi Tailscale, gratuito, prende il tuo numero di utenti e dispositivi e mostra il piano più economico adatto per ogni servizio su 12-36 mesi, accanto a un server Headscale o NetBird self-hosted (prezzi verificati il 18 ott. 2026).

Cos'è Tailscale, in una frase?

Tailscale è una VPN mesh, basata su WireGuard, che collega tutti i tuoi dispositivi in un'unica rete privata quasi senza configurazione. Installi l'app su ogni dispositivo, accedi con un account che hai già e tutti possono raggiungersi in modo sicuro, ovunque si trovino nel mondo. Prende il protocollo WireGuard, veloce e moderno, ed elimina il lavoro manuale che di solito lo accompagna.

Cosa fa davvero Tailscale?

La definizione qui sopra dice cosa Tailscale è. Di solito però si vuole sapere cosa fa, e la risposta è più breve: dà a ogni tuo dispositivo un indirizzo privato fisso che continua a funzionare qualunque sia la rete a cui il dispositivo è collegato.

Tutto il resto discende da questo comportamento. In pratica fa tre cose:

• Rende i tuoi dispositivi raggiungibili tra loro. Il tuo laptop può aprire il NAS di casa, il desktop o un server in affitto, da un bar o da un altro paese, senza aprire una sola porta sul router.
• Continua a funzionare quando la rete cambia. L'indirizzo non cambia quando passi dal Wi-Fi di casa ai dati mobili. Le connessioni sopravvivono al cambio invece di interrompersi.
• Può instradare anche il tuo traffico internet, se lo chiedi. Designando un dispositivo come exit node puoi far passare la navigazione da lì: è la parte che somiglia a una VPN tradizionale, ed è disattivata per impostazione predefinita.

Quello che non fa è offrirti un elenco di server in altri paesi. È la fonte di confusione più comune e se ne parla più avanti.

(Il nome si scrive tutto attaccato. Se hai cercato "tail scale" in due parole, sei nel posto giusto: il prodotto si chiama Tailscale.)

Come funziona Tailscale?

Tailscale funziona in quattro passaggi: ogni dispositivo crea la propria coppia di chiavi WireGuard, le chiavi pubbliche vengono scambiate tramite il server di coordinamento di Tailscale, i dispositivi trovano un percorso l'uno verso l'altro attraverso il NAT (direttamente o tramite un relay cifrato) e poi il traffico passa da dispositivo a dispositivo su WireGuard. Ecco cosa succede, nell'ordine, la prima volta che esegui tailscale up:

1. Accedi con un'identità che hai già. Google, Microsoft, GitHub, Apple o qualsiasi provider OIDC. Tailscale non conserva password proprie; è il provider di identità a dire chi sei, ed è quell'identità a decidere a quale tailnet si unisce il dispositivo.
2. Il dispositivo genera in locale una coppia di chiavi WireGuard. La chiave privata non lascia mai la macchina. Al server di coordinamento (il piano di controllo su login.tailscale.com) vengono inviati solo la chiave pubblica e gli indirizzi a cui il dispositivo è raggiungibile.
3. Il server di coordinamento distribuisce la mappa. Ogni dispositivo riceve le chiavi pubbliche e gli indirizzi raggiungibili dei suoi peer, le regole di accesso (ACL) che hai scritto, un indirizzo privato fisso nell'intervallo 100.64.0.0/10 e un nome MagicDNS come nas.your-tailnet.ts.net.
4. I dispositivi trovano un percorso l'uno verso l'altro. Ognuno scopre il proprio indirizzo pubblico con STUN e prova ad aprire una connessione UDP diretta forando il NAT. Quando entrambi i lati sono dietro un NAT rigido o un CGNAT, il traffico passa invece da un relay DERP, sempre cifrato end-to-end (il relay trasporta dati cifrati che non può leggere), e Tailscale continua a provare in background a passare a un percorso diretto.
5. Il traffico passa su WireGuard, da dispositivo a dispositivo. Il server di coordinamento non vede mai un solo pacchetto dei tuoi dati; gestisce solo chiavi, identità ed elenco dei peer.

L'unica cosa da tenere a mente: il server di coordinamento è il pezzo di cui ti fidi. Non trasporta mai i tuoi dati, ma decide quali chiavi pubbliche appartengono alla tua tailnet. Se la cosa ti disturba, il server open source Headscale lo sostituisce su una macchina tua, e i client ufficiali di Tailscale continuano a funzionare senza modifiche.

A cosa serve Tailscale?

Dà il meglio ogni volta che ti serve un accesso privato alle tue macchine:

• Raggiungere un server di casa o un NAS da qualsiasi luogo, come se fossi a casa.
• Collegare i dispositivi di un piccolo team senza una VPN aziendale tradizionale.
• Accedere in SSH ai server senza esporli su internet.
• Unire macchine cloud e di casa in un'unica rete privata piatta.

È una cosa diversa da una VPN commerciale. Se vuoi confrontarlo con l'alternativa fai-da-te, leggi il nostro confronto Tailscale vs WireGuard puro.

Qual è la differenza tra Tailscale e una VPN normale?

È un punto su cui molti inciampano, quindi conviene essere chiari. Una VPN commerciale fa passare il tuo traffico dai server di un provider per nascondere il tuo IP e sbloccare lo streaming. Tailscale collega tra loro, in modo privato, i tuoi dispositivi. Non è fatto per navigare in modo anonimo o per guardare il Netflix di un altro paese. È fatto per un accesso sicuro e privato alle macchine e ai servizi che possiedi.

Mesh contro hub-and-spoke: la forma della rete

La tabella qui sopra confronta a cosa servono i due. La differenza più profonda è la topologia, ed è lei a decidere come si muove davvero il tuo traffico.

Una VPN tradizionale è hub-and-spoke (a stella). Ogni dispositivo si collega allo stesso concentratore, e tutto ciò che invii lo attraversa, anche un file diretto al laptop sulla tua scrivania. Quell'hub è un unico punto da configurare, un unico punto di guasto e una deviazione che si misura in millisecondi reali quando le due macchine sono nella stessa stanza e l'hub è in un altro paese.

Una VPN mesh è peer-to-peer. Ogni dispositivo ha una chiave per ciascuno degli altri e comunica con loro direttamente quando la rete lo consente, usando il NAT traversal per aprirsi un varco attraverso i router intermedi. Un server di coordinamento c'è comunque, ma distribuisce chiavi e indirizzi; non trasporta i tuoi pacchetti. Quando il traversal fallisce, e su alcune reti restrittive succede, il traffico ripiega su un relay e ritrovi il comportamento hub-and-spoke, più lento ma funzionante.

Tre conseguenze derivano dalla forma, non dal marchio:

• La latenza segue il percorso reale tra due dispositivi, non quello verso un concentratore.
• Una mesh non ha un unico collo di bottiglia da dimensionare o da perdere, ma ha un servizio di coordinamento la cui disponibilità continua a contare.
• Aggiungere un dispositivo è uno scambio di chiavi, non una modifica a una configurazione centrale.

Quali sono i limiti di Tailscale?

Tailscale è ottimo, ma ha i suoi compromessi. Per il livello di controllo dipendi dai suoi server di coordinamento e dal suo sistema di accesso, quindi non è del tutto autonomo: se per te conta, il server open source Headscale o WireGuard puro eliminano questa dipendenza, con più configurazione. Il prezzo è per utente, quindi cresce con la dimensione del team. E poiché serve all'accesso privato ai dispositivi, non sostituirà una VPN commerciale per sbloccare contenuti. Sceglilo per quello che è: il modo più semplice per collegare in sicurezza i tuoi dispositivi.

Tailscale è gratuito?

Risposta breve: sì per uso personale, fino a 6 utenti. La nostra pagina dedicata Tailscale è gratis? I limiti del piano gratuito esamina cinque casi tipici (famiglia, homelab, freelance, piccolo team) e quanto costa ogni via oltre il piano gratuito.

Esiste un piano gratuito ed è insolitamente generoso per l'uso personale: il piano Personal copre fino a 6 utenti con dispositivi utente illimitati, purché l'uso resti non commerciale. Una tailnet creata con un dominio aziendale parte con una prova e poi richiede un piano a pagamento, fatturato per utente e non per dispositivo. Dati da tailscale.com/pricing, letti il 18 ottobre 2026; ricontrollali prima di sottoscrivere, la griglia cambia spesso.

Le risorse con tag (server, exit node, subnet router) sono incluse fino a 50 nei piani a pagamento, poi costano 1 $ al mese ciascuna. Tre modi per non pagare nulla quando superi il Personal: conta le persone che accedono e non i dispositivi (una famiglia di 4 persone con 20 macchine resta gratis); ospita tu il piano di controllo con Headscale, dove i client ufficiali di Tailscale funzionano, non c'è un limite di utenti e il costo è solo il server, un VPS Contabo a circa 5,50 € al mese (verificato il 17 ott. 2026), con il nostro generatore di configurazione Headscale, gratuito, che scrive la configurazione; oppure confronta la concorrenza con il nostro calcolatore dei prezzi Tailscale, che dà il costo reale di Tailscale, Twingate, NetBird e ZeroTier su 12-36 mesi in base ai tuoi numeri.

La distinzione che conta più del prezzo: Tailscale è gratis nel senso che ti viene fornito un servizio di coordinamento, non nel senso che gestisci tutto tu. Il tuo traffico resta peer-to-peer, ma il servizio che presenta i tuoi dispositivi l'uno all'altro è il loro. Se vuoi anche quella parte sulla tua infrastruttura, è esattamente lo scopo di Headscale, una reimplementazione open source del piano di controllo che ospiti tu.

Perché Tailscale è gratuito, allora? Lo spiega Tailscale stessa nell'articolo How our free plan stays free del CEO Avery Pennarun (letto il 24 ottobre 2026). I tuoi dati viaggiano peer-to-peer tra i tuoi dispositivi, non attraverso i server di Tailscale, quindi un utente gratuito costa pochissimo; e chi lo usa a casa lo porta al lavoro, dove le aziende pagano per utente. La posizione dichiarata di Tailscale: i tuoi dati non sono il prodotto. Il piano gratuito si regge su questo modello di business, uno dei motivi per cui alcuni homelab tengono un Headscale self-hosted come riserva.

Il dettaglio caso per caso (famiglia, homelab, freelance, 7° utente) è nella nostra guida Tailscale è gratis? I limiti del piano gratuito, con il costo di ogni modo per superarli.

Tailscale vede il mio traffico?

No, nel caso normale, e il motivo è strutturale, non una promessa. Tailscale crea tunnel WireGuard direttamente tra i tuoi dispositivi, e le chiavi di cifratura non li lasciano mai: i server di coordinamento scambiano chiavi pubbliche e informazioni di connessione, non il contenuto. Quello che Tailscale può vedere sono i metadati: quali dispositivi esistono, quando si connettono, quali indirizzi annunciano.

C'è una sfumatura che conviene conoscere prima di scoprirla da soli. Quando due dispositivi si trovano dietro configurazioni di rete che rifiutano una connessione diretta, il traffico ripiega su un relay DERP gestito da Tailscale. Quel relay trasporta il tunnel cifrato; non può leggerne il contenuto, perché le chiavi restano solo sui tuoi dispositivi. Quindi la formulazione onesta è: i relay possono vedere che stai comunicando e quanto, mai cosa stai dicendo.

Tailscale contro un'app VPN, in una distinzione

La confusione dietro la maggior parte delle domande del tipo "quale dovrei usare" nasce dal fatto che la parola VPN copre due lavori che non c'entrano nulla l'uno con l'altro.

Un'app VPN commerciale ti dà l'indirizzo IP di qualcun altro. È ciò che fa funzionare lo sblocco geografico e il mascheramento del tuo indirizzo verso un sito, ed è tutto il prodotto. Tailscale ti dà i tuoi dispositivi, raggiungibili da ovunque, come se condividessero una rete privata. Non ti nasconde ai siti: esci comunque dalla rete a cui sei collegato, a meno che tu non scelga di passare da un exit node che controlli tu.

Quindi la domanda non è quale sia migliore, ma quale lavoro devi fare. Raggiungere il tuo NAS da un hotel è Tailscale. Guardare un servizio non disponibile dove ti trovi è una VPN commerciale. Volere entrambe le cose significa usarle entrambe, ed è una configurazione normale, non un compromesso.

Cosa sorprende per primo di Tailscale?

Tre cose spiegano la maggior parte degli attriti iniziali, e nessuna è un difetto:

• Ogni dispositivo ha bisogno del client. Non esiste un interruttore lato server che metta una macchina nella tua rete. Tutto ciò che vuoi raggiungere deve eseguire Tailscale, ed è per questo che una stampante o un vecchio NAS finiscono spesso dietro un subnet router.
• Gli indirizzi IP sembrano strani. I dispositivi ricevono un indirizzo nell'intervallo 100.x, non in quello della tua LAN di casa. È voluto, evita conflitti con qualunque rete locale tu stia usando, ma significa che i segnalibri verso indirizzi 192.168.x non funzioneranno da fuori.
• L'accesso è aperto per impostazione predefinita. Una rete appena creata permette a ogni dispositivo di raggiungere tutti gli altri. Va bene per l'uso personale ed è sbagliato per qualsiasi cosa condivisa; le ACL esistono proprio per questo, e vale la pena scriverle prima di invitare qualcuno.

Tailscale può nascondere il tuo IP come una VPN normale?

Sì, a una condizione: devi dargli un'uscita. Tailscale non ha server di navigazione propri. Per far uscire il tuo traffico internet da un posto diverso dalla rete in cui ti trovi, designi un dispositivo della tua tailnet come exit node, e gli altri dispositivi navigano con l'IP di quel nodo. Ci sono tre modi per farlo, e non svolgono lo stesso lavoro:

Il VPS è la scelta più comune quando vuoi un'uscita che non dipenda né dal router né dalla corrente di casa. La configurazione richiede una decina di minuti: installa Tailscale sul server, attiva l'inoltro IP (net.ipv4.ip_forward = 1), esegui sudo tailscale set --advertise-exit-node, poi approva il nodo nella console di amministrazione. Tutti i comandi e la verifica del funzionamento sono nella nostra guida completa all'exit node Tailscale. Lo stesso server può in seguito ospitare Headscale se vuoi anche smettere di dipendere dai server di coordinamento.

In conclusione

Tailscale è la via più semplice per avere una rete privata dei tuoi dispositivi. Prende la velocità e la sicurezza di WireGuard e ne nasconde la complessità, così collegare un laptop, un telefono e un server richiede pochi minuti invece di una serata. Non è uno strumento di anonimato, è uno strumento di accesso privato, e per questo lavoro è difficile fare di meglio.

Una VPN cambia il tuo IP. Non cambia il tuo browser.

Un tunnel sostituisce l'indirizzo che un servizio vede. Non cambia nulla di ciò che il tuo browser comunica da solo (font, schermo, fuso orario, stack grafico), e questa combinazione è spesso abbastanza stabile da riconoscerti da una sessione all'altra, con o senza tunnel.

Misura l'impronta del tuo browser: passiva, nessuna domanda, nessun account, nessuna email.

Per avere i comandi sempre a portata di mano: la nostra Tailscale & Headscale Cheat Sheet gratuita (PDF di 4 pagine in inglese, download diretto, senza registrazione) raccoglie status e ping, exit node, subnet router, Serve e Funnel, la configurazione di Headscale, utenti, chiavi e ACL, e le cause di guasto più comuni. Scarica la scheda.

Guide correlate

• Tailscale Funnel: la differenza di una parola che mette la tua app su internet
• Exit node Tailscale: la guida completa su un VPS
• Tailscale vs Headscale: SaaS gestito o server di controllo self-hosted
• Subnet router Tailscale: raggiungere la stampante o il NAS senza client

Se preferisci gestire tu il punto di uscita invece di dipendere da un servizio di coordinamento, il nostro confronto dei VPS più economici copre i piani base che bastano.