Headscale vs Nebula (2026): due idee molto diverse di mesh self-hosted

Entrambi i progetti rispondono alla stessa domanda (come gestire una rete mesh privata senza pagare un'azienda per custodire la mappa) e lo fanno in modi quasi opposti. Scegliere tra i due non è davvero una decisione di prestazioni. È una decisione su quale software client sei disposto a dipendere e su quale guasto preferiresti spiegare ai colleghi.

In ogni caso ti serve una macchina pubblica: il server di controllo Headscale o il lighthouse Nebula deve stare su un host con un IPv4 pubblico raggiungibile, cosa che un piccolo VPS come un Contabo Cloud VPS 4 (link affiliato) copre per 5,50 € al mese con un impegno di 24 mesi.

Stai valutando Headscale rispetto al servizio hosted vero e proprio? Il nostro confronto Tailscale vs Headscale elenca le funzionalità mancanti, il costo su 3 anni e un verdetto in base alla dimensione del team.

La versione in una frase

Headscale sostituisce il server di coordinamento di Tailscale con uno gestito da te, mantenendo i client ufficiali e il piano dati WireGuard. Nebula sostituisce tutto, con il proprio protocollo, il proprio binario e un'autorità di certificazione che gestisci tu stesso, ed è per questo che confrontare Nebula con WireGuard stesso significa confrontare un'intera rete con un protocollo di tunneling.

Entrambi sono progetti consolidati e non sperimentali, ed entrambi hanno licenze permissive, il che conta se ci punti la tua infrastruttura: Nebula è stato reso open source da Slack nel novembre 2019 con licenza MIT, Headscale è nato nel giugno 2020 ed è BSD-3-Clause.

Entrambi, nota bene, sono mesh. Se la domanda dietro la tua è se usare una mesh o piuttosto un singolo server a cui tutto si collega, è un confronto diverso: Headscale vs OpenVPN lo inquadra come una questione di topologia più che di funzionalità.

Dove risiede davvero la fiducia

Questa è la differenza che sopravvive a ogni confronto di funzionalità.

In una rete Headscale, una macchina entra autenticandosi sul tuo server di controllo. Il server è tuo, quindi la decisione è tua, ma il client è un software mantenuto da Tailscale Inc., puntato verso il tuo server sovrascrivendo l'URL di login. Questo accordo regge da anni, e non è contrattuale.

In una rete Nebula, una macchina entra perché possiede un certificato firmato dalla tua autorità di certificazione. Generi tu quella CA, e non deve mai lasciare la macchina su cui l'hai generata. Nulla si registra senza la tua firma. Il prezzo è che il ciclo di vita dei certificati (emissione, distribuzione, scadenza, revoca) diventa compito tuo dal primo giorno, invece di qualcosa a cui arrivi col tempo. Quel prezzo ha una data: nebula-cert ca ha per impostazione predefinita una validità di 8760 ore, un anno, quindi una rete lasciata a sé stessa smette di registrare nuovi nodi esattamente dodici mesi dopo la configurazione, a meno che qualcuno non abbia rinnovato la CA.

Nessuno dei due modelli è più sicuro in astratto. Uno ti chiede di fidarti della tolleranza continuata di un fornitore di client; l'altro ti chiede di saper gestire una CA.

Un fitto patch panel in fibra visto con un'angolazione accentuata, con file di connettori duplex turchesi a destra e cavi in fibra azzurro pallido e gialli che si allontanano verso sinistra — Un patch panel in fibra con file di connettori duplex turchesi, i cavi che si allontanano verso sinistra. Entrambi i progetti sono modi di decidere, via software, quale di questi percorsi può prendere un pacchetto.

Come ciascuno trova i propri peer

Nebula usa i lighthouse: nodi con un indirizzo stabile e raggiungibile il cui compito è sapere dove si trova ciascuno e presentare i peer tra loro. Sono normali nodi Nebula con un flag attivato (am_lighthouse: true), trasportano pochissimo traffico e di solito se ne gestiscono due su istanze VPS economiche. Nebula ascolta di default sulla porta UDP 4242, e la configurazione di esempio indica che un lighthouse dovrebbe avere la porta fissa, mentre per i nodi in roaming è meglio la porta 0, che chiede al sistema operativo una porta dinamica.

Headscale svolge direttamente il ruolo di coordinamento, distribuendo le chiavi e la mappa di rete, con relay DERP per il traffico che non riesce a stabilire un percorso diretto. Puoi gestire un tuo DERP invece di usare quelli pubblici.

Le architetture si somigliano. Ciò che cambia è la forma operativa: il lighthouse di Nebula è un nodo della mesh, il piano di controllo di Headscale è un servizio con un database alle spalle.

Regole firewall, e dove vengono applicate

Nebula mette un firewall host nella configurazione del nodo stesso. Ogni host dichiara quali connessioni in ingresso accetta, espresse in termini di gruppi di certificati invece che di indirizzi IP. L'applicazione è locale, il che significa che un piano di controllo compromesso non può aprire silenziosamente un host.

Headscale esprime il controllo degli accessi tramite ACL compatibili con Tailscale, definite centralmente e distribuite. Un solo file descrive l'intera rete, il che è molto più facile da verificare e da capire, e fa anche pesare di più la correttezza di quel file.

Una policy centralizzata è più leggibile; una policy distribuita è più difficile da aggirare da un unico punto.

Un modo pratico per scegliere

Se questo vale per il tuo parco macchine	Orientati verso
Laptop e telefoni usati da persone che non dovrebbero gestire certificati	Headscale
Server, container e appliance che configuri già in modo dichiarativo	Nebula
Vuoi MagicDNS, exit node e un flusso di login familiare	Headscale
Vuoi zero dipendenza dalla roadmap dei client di qualsiasi fornitore	Nebula
Il tuo istinto dice che un piano di controllo compromesso non deve poter aprire gli host	Nebula
Il tuo istinto dice che un solo file di policy verificabile è meglio di tanti	Headscale

Entrambi finiscono sullo stesso tipo di server: Headscale richiede un piccolo VPS sempre acceso con un IP pubblico e un dominio, e Nebula ne richiede uno per il suo lighthouse. Se la tabella indica Headscale, il nostro generatore di configurazione Headscale gratuito scrive il config.yaml, il file Docker Compose e il blocco del reverse proxy per quel VPS, e un Contabo Cloud VPS 4 è indicato a partire da 5,50 €/mese su contabo.com (verificato il 17 ottobre 2026). Se preferisci un host statunitense con garanzia di rimborso di 30 giorni, Ultahost VPS Basic costa 5,52 $ al mese con un impegno di 24 mesi (1 GB di RAM, IPv4 dedicato, rilevato il 21 ottobre 2026), sufficiente per un server Headscale per un piccolo team.

Cosa non affermeremmo

I confronti di throughput tra i due circolano ampiamente e per lo più misurano la macchina su cui sono stati eseguiti. WireGuard gira comunemente nel kernel Linux mentre il trasporto di Nebula gira in userspace, il che tende a favorire WireGuard su un server Linux, ma su collegamenti saturi, su altri sistemi operativi o su CPU modeste quel vantaggio spesso si perde nel rumore. Se il throughput è davvero il tuo fattore decisivo, l'unico numero che vale la pena avere è quello che misuri sul tuo percorso, con il tuo hardware, sulla rotta che il tuo traffico prende davvero.

★ Datacenter GDPR di Norimberga · ✓ IPv4 dedicato incluso · porta da 200 Mbit/s

Ospita la tua VPN sul tuo VPS → ContaboAccesso root completo · IPv4 pubblico · scegli la tua regione→

Domande frequenti

Qual è la differenza fondamentale tra Headscale e Nebula?

Headscale è una reimplementazione open source del server di controllo di Tailscale: coordina una mesh il cui piano dati è WireGuard, e le macchine usano i client ufficiali Tailscale puntati verso il tuo server. Nebula è una rete overlay completa e autonoma, creata da Slack, con il proprio protocollo, il proprio binario client e la propria autorità di certificazione che generi e custodisci tu. Headscale sostituisce il server di un'azienda; Nebula sostituisce l'intero stack.

Quale dei due è più facile da configurare?

Headscale, per la maggior parte delle persone, perché i client sono le curate app ufficiali Tailscale e registrare una macchina richiede un comando di login. Nebula ti chiede di gestire un'autorità di certificazione fin dal primo minuto: generi una chiave CA, firmi un certificato per ogni host e distribuisci i file di configurazione. È più lavoro all'inizio, ma è anche esplicito: nulla entra nella tua rete senza un certificato firmato da te.

Come gestisce ciascuno i nodi dietro NAT?

Entrambi aprono varchi nel NAT (hole punching) ed entrambi hanno bisogno di un aiuto nei casi in cui non funziona. Nebula chiama i suoi aiutanti lighthouse: nodi sempre raggiungibili che conoscono la mappa di chi si trova dove e facilitano le presentazioni. Headscale svolge il ruolo del server di coordinamento di Tailscale e ripiega sui relay DERP per il traffico che non può passare in diretta (puoi ospitarne di tuoi). Il concetto è lo stesso; cambiano i nomi e l'onere operativo.

Nebula è più veloce di Headscale basato su WireGuard?

Non esiste una risposta onesta unica, e chi cita un solo numero sta descrivendo il proprio hardware. Nebula implementa un proprio trasporto cifrato in userspace basato sul framework Noise, mentre WireGuard su Linux gira di solito nel kernel, il che tende a favorire WireGuard su un server Linux. Su altre piattaforme, e sui collegamenti in cui il collo di bottiglia è la rete e non la CPU, la differenza spesso scompare. Misura il tuo percorso prima di considerare il throughput il fattore decisivo.

Cosa succede a ciascuna rete se il server di controllo va giù?

È la domanda giusta da porsi, ed entrambe si degradano invece di crollare. I tunnel Nebula esistenti continuano a funzionare senza lighthouse; ciò che si interrompe è la scoperta dei peer con cui non hai comunicato di recente. Con Headscale fermo, anche i tunnel WireGuard già stabiliti restano attivi, ma la rotazione delle chiavi, le nuove registrazioni e gli aggiornamenti delle ACL si fermano. In entrambi i casi la mesh continua a trasportare traffico ma perde la capacità di cambiare: pianifica quindi i backup dello stato del piano di controllo, non l'alta disponibilità del suo uptime.

Quale scegliere per un piccolo team?

Se le macchine sono laptop e telefoni di persone che non dovrebbero preoccuparsi dei certificati, Headscale vince sull'esperienza client: app ufficiali, MagicDNS e un flusso di login che le persone conoscono già. Se il parco macchine è fatto di server, container o appliance che configuri comunque, il modello a certificati di Nebula è più adatto ed elimina ogni dipendenza dalla roadmap dei client di un singolo fornitore.