NetBird vs Headscale (2026): il tuo stack o il client di qualcun altro

Entrambi i progetti rispondono alla stessa domanda, come faccio a gestire una mesh WireGuard senza che un'azienda tenga la mappa?, ed entrambi rispondono onestamente. La differenza non sta nelle funzionalità, né nelle prestazioni. Sta in quale dipendenza sei disposto a portarti dietro.

Vuoi confrontare NetBird con il servizio hosted di Tailscale invece che con Headscale? Il nostro confronto NetBird vs Tailscale copre i piani gratuiti, il prezzo per utente e l'unica differenza che decide.

La versione in una frase

Headscale sostituisce il server di coordinamento di Tailscale con uno gestito da te, e mantiene i client ufficiali di Tailscale. NetBird sostituisce l'intero prodotto: agente proprio, server di gestione proprio, dashboard propria, livello di identità proprio, WireGuard sotto, nulla preso in prestito sopra.

Questa singola differenza strutturale determina quasi tutto il resto.

Dove si trova la dipendenza

È il punto da chiarire per primo, perché nessun confronto di funzionalità gli sopravvive.

Con Headscale, il server è tuo, ma il client è un software mantenuto da Tailscale Inc., puntato sul tuo server tramite un URL di login sostituibile. Questo assetto regge da anni e non è contrattuale. Se vuoi il compromesso nella direzione opposta, il servizio gestito di Tailscale contro Headscale è il confronto che lo inquadra come SaaS contro self-hosting.

Con NetBird, il client è l'agente del progetto stesso. Nessuno a monte può cambiarti il protocollo sotto i piedi e, in cambio, copertura delle piattaforme, cadenza dei rilasci e sopravvivenza a lungo termine del progetto dipendono tutte da NetBird. Gestire NetBird in self-hosting spiega cosa comporta concretamente.

Nessuno dei due è più sicuro in astratto. Uno ti chiede di fidarti della tolleranza continuata di un fornitore di client; l'altro ti chiede di scommettere su un progetto più piccolo che possiede tutto il proprio stack.

Le parti in movimento, contate onestamente

Headscale è un binario Go e un database. Questo è il deployment. Aggiungere una macchina è un comando di login su un client che la maggior parte delle persone ha già.

L'installazione predefinita di NetBird avvia diversi servizi insieme: un server di gestione, un server di signal, un relay TURN per le connessioni che rifiutano di andare in diretta, una dashboard e un provider di identità. Il docker-compose pubblicato riduce tutto a un solo comando, ma un comando non è un servizio. È più superficie da aggiornare, monitorare e salvare.

L'inquadramento onesto: NetBird ti dà di più già pronto, Headscale ti dà meno da mantenere. Quale dei due sia l'affare dipende da se volevi un'interfaccia di amministrazione in primo luogo.

L'identità, e perché li separa

NetBird considera l'identità parte del prodotto. SSO, mappatura dei gruppi e approvazione dei dispositivi sono il percorso previsto, non un'estensione. Se la tua risposta a "chi può stare su questa rete" deve arrivare da Google Workspace, Okta, Entra o Authentik, si tratta di una configurazione documentata, non di un progetto.

Headscale supporta OIDC, quindi può puntare sul tuo provider, ma la superficie di gestione attorno è volutamente più scarna. Il compito di Headscale è parlare correttamente il protocollo Tailscale, non essere un prodotto di gestione dei dispositivi. Il controllo degli accessi vive in file ACL compatibili con Tailscale, il che è ottimo se vuoi un file revisionabile sotto controllo di versione, e scarno se volevi un'interfaccia.

Una tabella che non si tira indietro

Cosa non affermeremmo

Non ti diremmo che uno è più veloce. Entrambi trasportano il traffico su WireGuard, entrambi attraversano il NAT ed entrambi ripiegano su un relay quando non ci riescono, un server TURN per NetBird, DERP per Headscale. Su un dato collegamento il fattore decisivo è il tuo percorso e il tuo hardware, non il marchio sul piano di controllo. Se il throughput è davvero il tuo vincolo, misura il tuo percorso prima di lasciare che una tabella comparativa scelga per te.

Non ti diremmo nemmeno che gestire da solo il piano di controllo renda la mesh ad alta disponibilità. In entrambi i progetti, un piano di controllo irraggiungibile lascia i tunnel esistenti attivi, mentre nuove registrazioni, rotazione delle chiavi e modifiche alle policy si fermano. È un buon modo di fallire, e significa che ciò che ti serve è un backup dello stato del piano di controllo: non un cluster.

Il verdetto onesto

Scegli Headscale se vuoi la cosa più piccola che funziona e ti va bene che il client venga da qualcun altro. Scegli NetBird se vuoi che identità, policy e interfaccia facciano parte dello stesso prodotto, e preferisci possedere l'intero stack piuttosto che prendere in prestito la parte meglio mantenuta.

In ogni caso il server di coordinamento ha bisogno di una casa: un piccolo VPS sempre acceso con un IP pubblico e un dominio. Per Headscale, il nostro generatore di configurazione Headscale gratuito scrive il config.yaml, il file Docker Compose e il blocco del reverse proxy; per entrambi, un Contabo Cloud VPS 4 (4 vCPU, 8 GB di RAM) è indicato a partire da 5,50 €/mese su contabo.com (verificato il 17 ottobre 2026), il che lascia spazio ai diversi servizi di NetBird. Se preferisci un host statunitense con garanzia di rimborso di 30 giorni, Ultahost VPS Basic costa 5,52 $ al mese con un impegno di 24 mesi (1 GB di RAM, IPv4 dedicato, letto il 21 ottobre 2026), sufficiente per un server Headscale per un piccolo team; per lo stack più pesante di NetBird, scegli la macchina Contabo.

Se nessuna delle due dipendenze ti convince e preferisci gestire una mesh con la propria autorità di certificazione, si tratta di una terza forma del tutto diversa: Headscale a confronto con Nebula prende quella strada.