Risposta breve: Tailscale e costruito su WireGuard, quindi crittografia e velocita in connessione diretta sono le stesse. Tailscale aggiunge un piano di controllo gestito (chiavi, attraversamento NAT, DNS, ACL): gratis fino a 6 utenti, poi 8 $ per utente al mese. WireGuard puro e gratuito, ma configuri tutto da solo.
Tailscale vs WireGuard non e un confronto tra protocolli. Tailscale e WireGuard, sotto il cofano. Il confronto e tra gestire WireGuard da solo e lasciare che il piano di controllo di Tailscale lo gestisca per te. Questa distinzione determina tutto: tempo di configurazione, manutenzione continua, cosa controlli e cosa affidi a una terza parte.
WireGuard puro? Il server ha bisogno di un IPv4 pubblico, che una linea di casa dietro CGNAT non offre: un Contabo Cloud VPS 4 (link di affiliazione) basta a 5,50 EUR al mese con vincolo di 24 mesi, lo stesso prezzo delle tabelle qui sotto.
La decisione in una tabella
| Aspetto | WireGuard puro | Tailscale |
|---|---|---|
| Crittografia del piano dati | Curve25519 + ChaCha20-Poly1305 | Identica (stesso tunnel WireGuard) |
| Gestione chiavi | Manuale | Automatica |
| Attraversamento NAT | Manuale / port forwarding | Automatico (STUN + DERP) |
| Esposizione metadati | Nessuna oltre i tuoi server | Il server di coordinamento vede la topologia |
| Costo | Solo il VPS, ad es. Contabo Cloud VPS 4 a 5,50 EUR/mese o Ultahost VPS Basic a 5,52 $/mese (1 CPU, 1 GB, durata 24 mesi) | Piano gratuito o 8+ $/utente/mese |
| Tempo di configurazione (5 dispositivi) | 30 a 60 minuti | Meno di 10 minuti |
| Manutenzione continua | Gestisci tutto tu | Tailscale gestisce il coordinamento |
| Codice sorgente | Completamente aperto | Piano dati aperto, piano di controllo chiuso |
La crittografia e la stessa. La domanda e se vuoi gestire il piano di controllo o pagare qualcun altro per farlo.
Due scorciatoie: il generatore di configurazione WireGuard scrive i file server e client per la via pura, e il calcolatore prezzi Tailscale da la bolletta mensile per la dimensione del tuo team rispetto al self-hosting. Il generatore è gratuito e senza account, fino a 250 dispositivi, e la sua esportazione ZIP raccoglie ogni .conf client e il suo codice QR in PNG, comodo per configurare un intero ufficio o una famiglia in una volta.
Genera qui le tue configurazioni WireGuard
Inserisci l'indirizzo del server, scegli il numero di dispositivi, poi scansiona ogni codice QR dall'app.
Tutte le chiavi vengono generate nel tuo browser (Curve25519 / X25519). Niente viene inviato ai nostri server - la tua configurazione resta privata al 100%.
IPv4 pubblico o dominio della macchina che eseguirà WireGuard. Nessun server per ora? Lascia vuoto e aggiungilo dopo.
Gratis, senza account: fino a 250 client, ogni .conf con il suo codice QR, e uno ZIP con tutti i file.
Tutto ciò che il dispositivo invia a internet passa dal tuo server.
Impostazioni avanzateSubnet del tunnel, DNS, reti site-to-site. I valori predefiniti vanno bene nella maggior parte dei casi.
Facoltativo. Indica la subnet LAN dietro il server e/o dietro un client che fa da gateway di sede (un router, un Raspberry Pi, un NAS). Il generatore aggiunge ogni LAN agli AllowedIPs del server, dà a ogni peer le rotte verso le altre LAN e scrive le regole di inoltro sui gateway. Lascia vuoto un campo per un client normale.
Cosa scarichi
wg0.conf
per il server
client1.conf
uno per dispositivo
QR (esempio)
per l'app mobile
Anteprima illustrativa: righe e QR fittizi, nessuna chiave reale. I tuoi file veri vengono generati nel tuo browser al clic.
Cosa e realmente WireGuard
WireGuard e un protocollo VPN. Vive nel kernel Linux (dalla versione 5.6) e ha implementazioni per Windows, macOS, iOS e Android. La sua filosofia di design e il minimalismo: circa 4.000 righe di codice, una suite crittografica fissa (Curve25519 per lo scambio di chiavi, ChaCha20-Poly1305 per la crittografia simmetrica, BLAKE2s per l'hashing) e nessuna negoziazione di suite di cifratura.
Generi una coppia di chiavi su ogni dispositivo, scambi le chiavi pubbliche manualmente, configuri i range IP consentiti e attivi l'interfaccia. WireGuard gestisce il tunnel. Tutto il resto, inclusa la distribuzione delle chiavi, il DNS, l'attraversamento NAT, il controllo accessi e la revoca, e responsabilita tua.
Non e una critica. E una decisione di design deliberata. WireGuard fa una cosa e lascia il resto a te, che e esattamente cio che alcuni amministratori vogliono.
Cosa aggiunge Tailscale
Tailscale avvolge un piano di controllo attorno al piano dati di WireGuard. Il traffico tra i tuoi dispositivi viaggia ancora attraverso un tunnel WireGuard con la stessa crittografia. Cio che cambia e tutto cio che circonda quel tunnel:
Gestione automatica delle chiavi. Quando aggiungi un dispositivo alla tua rete Tailscale (chiamata tailnet), il piano di controllo distribuisce le chiavi pubbliche a ogni altro dispositivo che dovrebbe poterlo raggiungere. Non copi mai una chiave manualmente.
Attraversamento NAT. WireGuard richiede che almeno un endpoint abbia un indirizzo IP pubblicamente raggiungibile, oppure devi configurare il port forwarding. Tailscale usa una combinazione di STUN, hole punching e i propri server di relay (chiamati DERP) per stabilire connessioni dirette peer-to-peer attraverso NAT e firewall. Nella maggior parte delle configurazioni, non serve port forwarding.
MagicDNS. Ogni dispositivo ottiene un hostname stabile sulla tua tailnet (es. laptop.tailnet-name.ts.net). Indirizzi le macchine per nome invece che per IP.
Liste di controllo accessi. Tailscale fornisce un sistema ACL dichiarativo dove definisci quali dispositivi e utenti possono raggiungere quali servizi. Con WireGuard puro, implementeresti questo tramite regole firewall su ogni macchina.
Un pannello web e un'API. Puoi vedere tutti i dispositivi connessi, il loro ultimo orario di connessione, il loro SO e la loro versione Tailscale da un browser. WireGuard puro non ha interfaccia di gestione.
Cosa toglie Tailscale
Ogni comodita che Tailscale fornisce viene dal suo piano di controllo, e quel piano di controllo e un servizio SaaS proprietario gestito da Tailscale Inc. negli Stati Uniti. Ecco cosa significa nella pratica:
Il tuo server di coordinamento non e tuo. Il piano di controllo sa quali dispositivi sono nella tua rete, le loro chiavi pubbliche, i loro indirizzi IP e i loro metadati di connessione. Tailscale dichiara di non vedere il contenuto del tuo traffico (perche il tunnel WireGuard e crittografato end-to-end), ma vede la topologia della rete.
Dipendi dalla disponibilita di Tailscale. Se il server di coordinamento va giu, le connessioni esistenti continuano a funzionare (perche i tunnel WireGuard sono gia stabiliti), ma nuovi dispositivi non possono unirsi e le rotazioni delle chiavi si bloccano. E una preoccupazione pratica per l'infrastruttura di produzione.
Il piano gratuito ha limiti. Il piano gratuito Personal di Tailscale copre fino a 6 utenti con dispositivi utente illimitati, secondo tailscale.com, letto il 7 ottobre 2026. Oltre, il prezzo parte da 8 $ per utente al mese nel piano Standard.
Non puoi ispezionare o modificare il piano di controllo. E closed source. Se vuoi capire esattamente cosa fa il server di coordinamento con i tuoi metadati, ti affidi alla documentazione e alla privacy policy di Tailscale piuttosto che leggere il codice.
WireGuard puro: cosa ottieni facendolo da solo
Eseguire WireGuard senza piano di controllo significa che gestisci ogni compito operativo, ma controlli anche ogni decisione operativa:
Piena proprieta di tutti i componenti. Le tue chiavi, i tuoi server, il tuo DNS, le tue regole firewall. Nulla lascia la tua infrastruttura tranne il traffico tunnel crittografato.
Nessuna dipendenza esterna. La tua VPN funziona finche i tuoi server sono attivi. Nessun servizio di terze parti puo influenzarla.
Nessun prezzo per utente. WireGuard e gratuito e open source. Il tuo costo e il VPS o server su cui lo esegui, tipicamente da 3 a 6 $ al mese per un'istanza base.
Nessuna esposizione di metadati a terze parti. Nessun server di coordinamento vede la tua topologia.
Il costo e il tempo. Configurare WireGuard per due dispositivi richiede dieci minuti. Configurarlo per venti dispositivi in tre sedi, con rotazione delle chiavi, DNS e regole firewall, richiede molto piu tempo e manutenzione continua.
★ Datacenter GDPR di Norimberga · ✓ IPv4 dedicato incluso · porta da 200 Mbit/s
Vedi i VPS Contabo →Il modo piu economico per far girare WireGuard puro o Headscale: Cloud VPS 4 a 5,50 EUR/mese, datacenter tedeschi sotto GDPR, sufficiente per 1-10 utenti.→Quanto costa in 3 anni
Il prezzo per utente pesa solo quando lasci il piano gratuito. Ecco il costo in denaro su 36 mesi ai prezzi indicati sopra (Tailscale Standard a 8 $ per utente al mese, un Contabo Cloud VPS 4 a 5,50 EUR al mese come hub WireGuard):
| Dimensione del team | Tailscale, 36 mesi | WireGuard puro su un VPS, 36 mesi |
|---|---|---|
| Da 1 a 6 utenti, uso personale | 0 $ (piano gratuito Personal) | circa 198 EUR (Contabo Cloud VPS 4) |
| 10 utenti | 2.880 $ | circa 198 EUR |
| 25 utenti | 7.200 $ | circa 198 EUR (stesso VPS, WireGuard e leggero) |
La riga del VPS non cresce con gli utenti, quella di Tailscale cresce in modo lineare. Cio che la tabella non conta e il tuo tempo: a 10 utenti la differenza e di circa 74 $ al mese, quindi il self-hosting conviene finche configurazione e manutenzione ti costano meno di questa cifra ogni mese. Per un utente singolo dentro il piano gratuito, Tailscale e semplicemente piu economico; per un team di 10 o piu persone a suo agio con Linux, un singolo VPS vince nettamente sul costo.
Passare da Tailscale a WireGuard puro
Se superi il piano gratuito e decidi di fare self-hosting, trattalo come un piccolo progetto, non come un pomeriggio:
- Elenca ogni nodo con il suo IP Tailnet (
100.x.x.x) e le ACL su cui fai davvero affidamento. - Attiva un VPS con un IPv4 pubblico come hub, poi installa WireGuard e apri la porta UDP 51820 nel firewall.
- Scegli un intervallo privato (ad esempio
10.66.0.0/24) e associa ogni vecchio IP Tailnet a un nuovo indirizzo. - Genera una configurazione per ogni client e inviala tramite un canale sicuro (un password manager o Signal, mai un'email in chiaro).
- Passa un client alla volta, verifica la connettivita, regola
AllowedIPssull'hub. - Lascia Tailscale attivo in parallelo per una o due settimane cosi puoi tornare indietro se un dispositivo da problemi.
Se preferisci mantenere i client Tailscale e il loro attraversamento NAT, esegui invece Headscale sullo stesso VPS (vedi la via di mezzo qui sotto).
Quando scegliere WireGuard puro
Hai un piccolo set statico di dispositivi. Un server VPN personale con da uno a cinque client e il punto forte di WireGuard. La gestione delle chiavi e banale a quella scala, e la semplicita della configurazione e un pregio.
Hai bisogno di pieno controllo sulla tua infrastruttura. Se il tuo modello di minaccia include non fidarsi di nessun servizio di coordinamento di terze parti con la tua topologia di rete, WireGuard puro e l'unica opzione che tiene tutto nelle tue mani.
Stai integrando WireGuard in un altro sistema. Se stai incorporando funzionalita VPN in un prodotto o in uno stack di rete personalizzato, vuoi il protocollo, non il servizio gestito.
Quando scegliere Tailscale
Hai un set di dispositivi in crescita o dinamico. Una volta superato un pugno di macchine, la distribuzione delle chiavi e l'attraversamento NAT diventano veri oneri operativi. Tailscale li elimina entrambi.
Il tuo team ha bisogno di accesso condiviso. La gestione utenti e le ACL di Tailscale rendono semplice dare ai colleghi accesso a risorse specifiche senza configurare regole firewall su ogni macchina.
Sei dietro NAT restrittivi. Firewall aziendali, NAT di carrier e configurazioni NAT simmetriche possono rendere le connessioni WireGuard pure difficili o impossibili senza un relay. L'infrastruttura DERP di Tailscale gestisce questo automaticamente.
Per avere i comandi sempre a portata di mano: la nostra Tailscale & Headscale Cheat Sheet gratuita (PDF di 4 pagine in inglese, download diretto, senza registrazione) raccoglie status e ping, exit node, subnet router, Serve e Funnel, la configurazione di Headscale, utenti, chiavi e ACL, e le cause di guasto più comuni. Scarica la scheda.
La via di mezzo: Headscale
Se vuoi la comodita di Tailscale senza il suo piano di controllo proprietario, Headscale e una reimplementazione open source del server di coordinamento Tailscale, scritta in Go. Funziona con i client ufficiali Tailscale e ti da la stessa gestione automatica delle chiavi, attraversamento NAT e MagicDNS, ma gira interamente sulla tua infrastruttura.
Il compromesso e la complessita di configurazione. Headscale richiede che tu fornisca e mantenga il server di coordinamento da solo, e non ha parita di funzionalita con l'offerta commerciale di Tailscale (l'interfaccia web e mantenuta dalla comunita, e alcune funzionalita enterprise sono assenti).
Altri confronti con Tailscale: Twingate vs Tailscale, NetBird vs Tailscale, ZeroTier vs Tailscale.
Link di affiliazione
★ Datacenter GDPR di Norimberga · ✓ IPv4 dedicato incluso · porta da 200 Mbit/s
Ospita la tua VPN sul tuo VPS → ContaboCloud VPS 4 · 5,50 €/mese · Carta o PayPal · ordini accettati anche fuori dall'UE→Prezzo verificato il 17/10/2026, durata 24 mesi
