Questi due vengono confrontati di continuo, e il confronto è impostato un po' male. Headscale e OpenVPN non risolvono lo stesso tipo di problema. Uno coordina una mesh in cui i tuoi dispositivi comunicano direttamente tra loro; l'altro è un concentratore attraverso cui passa tutto il traffico. Scegliere tra i due significa soprattutto decidere quale di queste due topologie vuoi davvero, e la risposta è spesso ovvia una volta posta così la domanda.
Stai valutando Headscale rispetto al servizio hosted vero e proprio? Il nostro confronto Tailscale vs Headscale elenca le funzioni mancanti, il costo su 3 anni e un verdetto in base alla dimensione del team.
La differenza strutturale, in un paragrafo
Con OpenVPN, i client si connettono a un server. Quel server vede ogni pacchetto, ed è sia il punto di controllo sia il percorso del traffico. Quando due dei tuoi portatili comunicano tra loro, il loro traffico sale fino al server e poi ridiscende.
Con Headscale, il server distribuisce chiavi e mappe di rete, poi si fa da parte. Due dispositivi che sono stati presentati comunicano direttamente, cifrati end-to-end con WireGuard. Il piano di controllo può essere offline e i tunnel esistenti continuano a funzionare.
Questa sola differenza determina quasi tutto ciò che segue.
Dove vince la mesh
Il traffico non fa deviazioni. Due macchine nello stesso ufficio si raggiungono attraverso l'ufficio, non tramite un VPS a Francoforte. Nel lavoro sensibile alla latenza non è un guadagno marginale.
Nessun collo di bottiglia centrale per il traffico. La banda di un server OpenVPN è un tetto condiviso da tutti; una mesh non ha un tubo centrale equivalente.
Identità per dispositivo. Ogni nodo ha la propria chiave e il proprio posto in una ACL, invece di un certificato che dà accesso a "la rete".
Velocità, di solito. WireGuard gira comunemente nel kernel Linux mentre OpenVPN gira in userspace, il che tende a favorire WireGuard su un host Linux. Consideralo una tendenza, non un numero: su un collegamento saturo, o quando entrambi i peer sono comunque vicini al server OpenVPN, la differenza può sparire nel rumore.
Dove OpenVPN vince ancora, e non è nostalgia
Attraversare reti ostili. OpenVPN può funzionare su TCP porta 443, indistinguibile dal normale HTTPS per un filtro basato sulle porte. WireGuard è solo UDP, quindi una rete che blocca UDP blocca completamente la mesh: nessuna impostazione del client la salva. Sul Wi-Fi di hotel, università e aziende questo è decisivo, ed è il motivo per cui molti tengono in vita un endpoint OpenVPN solo come via di fuga. Quando anche TCP/443 viene ispezionato e non solo filtrato, la risposta smette di essere un'impostazione di trasporto e diventa offuscamento: wstunnel, che trasporta il tunnel dentro un WebSocket, è il passo successivo abituale.
Dispositivi che non eseguiranno mai WireGuard. Router datati, apparecchiature industriali embedded, firmware NAS vecchi, apparati abbandonati dal produttore. Una mesh a cui metà della tua infrastruttura non può unirsi non è una mesh.
Un unico punto di ingresso controllato. A volte centralizzare il traffico è il requisito, non il difetto, quando tutto deve passare da un unico punto di ispezione, o uscire da un unico indirizzo verificabile. Una mesh è lo strumento sbagliato per questo, per progettazione.
Maturità dell'ecosistema. Decenni di documentazione, e nessuna dipendenza dal client di un'unica azienda.
Una tabella decisionale senza mezze misure
| La tua situazione | Scelta |
|---|---|
| Collegare tra loro le tue macchine | Headscale |
| Ti serve un unico punto di ingresso controllato e verificabile | OpenVPN |
| Parte del parco è hardware vecchio o apparati | OpenVPN |
| La latenza tra i peer conta | Headscale |
| Lavori spesso da reti che filtrano UDP | OpenVPN (TCP/443) |
| Vuoi identità per dispositivo e ACL centralizzate | Headscale |
| Vuoi zero dipendenza dal client di un fornitore | OpenVPN |
Il verdetto onesto
Se stai costruendo una connettività privata tra macchine che possiedi, Headscale è la scelta predefinita migliore nel 2026: la topologia si adatta al problema, e le prestazioni derivano da questo adattamento più che da un'ingegneria brillante.
Scegli Headscale? Il lato server è un piccolo VPS con un IP pubblico e un dominio. Il nostro generatore di configurazione Headscale gratuito scrive il config.yaml, il file Docker Compose, la configurazione TLS e i primi comandi, e un Contabo Cloud VPS 4 è indicato a partire da 5,50 €/mese su contabo.com (verificato il 17 ott 2026). Se preferisci un host statunitense con garanzia di rimborso di 30 giorni, Ultahost VPS Basic costa 5,52 $ al mese con un impegno di 24 mesi (1 GB di RAM, IPv4 dedicato, rilevato il 21 ottobre 2026), sufficiente per un server Headscale per un piccolo team. La stessa macchina può mantenere un listener OpenVPN su TCP/443 per le reti ostili descritte sopra.
Tieni OpenVPN dove è davvero insostituibile: reti ostili che lasciano uscire solo TCP/443, e hardware che non può unirsi a una mesh moderna. Questi due casi sono più ristretti di cinque anni fa, e non scompariranno.
Usarli entrambi è un risultato legittimo, non un'incapacità di decidere. Il costo è avere due percorsi di accesso da verificare invece di uno: reale, ma di solito inferiore a forzare ogni caso attraverso un unico strumento che si adatta solo ad alcuni.
★ Datacenter GDPR di Norimberga · ✓ IPv4 dedicato incluso · porta da 200 Mbit/s
Ospita la tua VPN sul tuo VPS → ContaboAccesso root completo · IPv4 pubblico · scegli la tua regione→
