Estes dois são comparados constantemente, e a comparação está ligeiramente mal enquadrada. O Headscale e o OpenVPN não resolvem o mesmo tipo de problema. Um coordena uma mesh em que os seus dispositivos comunicam diretamente entre si; o outro é um concentrador pelo qual passa todo o tráfego. Escolher entre eles é sobretudo decidir qual destas duas topologias quer realmente, e a resposta é muitas vezes óbvia quando a pergunta é colocada assim.
Está a comparar o Headscale com o próprio serviço alojado? A nossa comparação Tailscale vs Headscale enumera as funcionalidades em falta, o custo a 3 anos e um veredicto por dimensão de equipa.
A diferença estrutural, num parágrafo
Com o OpenVPN, os clientes ligam-se a um servidor. Esse servidor vê cada pacote, e é ao mesmo tempo o ponto de controlo e o caminho do tráfego. Quando dois dos seus portáteis comunicam entre si, o tráfego sobe até ao servidor e volta a descer.
Com o Headscale, o servidor distribui chaves e mapas de rede e depois sai do caminho. Dois dispositivos que foram apresentados comunicam diretamente, cifrados de ponta a ponta com WireGuard. O plano de controlo pode estar offline e os túneis existentes continuam a funcionar.
Essa única diferença determina quase tudo o que se segue.
Onde a mesh ganha
O tráfego não dá voltas. Duas máquinas no mesmo escritório chegam uma à outra através do escritório, não via um VPS em Frankfurt. Em trabalho sensível à latência, isto não é um ganho marginal.
Nenhum estrangulamento único de tráfego. A largura de banda de um servidor OpenVPN é um teto partilhado por todos; uma mesh não tem um canal central equivalente.
Identidade por dispositivo. Cada nó tem a sua própria chave e o seu próprio lugar numa ACL, em vez de um certificado que dá acesso "à rede".
Velocidade, normalmente. O WireGuard corre habitualmente no kernel Linux, enquanto o OpenVPN corre em espaço de utilizador, o que tende a favorecer o WireGuard num anfitrião Linux. Trate isto como uma tendência, não como um número: numa ligação saturada, ou quando ambos os pares estão perto do servidor OpenVPN de qualquer forma, a diferença pode perder-se no ruído.
Onde o OpenVPN ainda ganha, e não é nostalgia
Atravessar redes hostis. O OpenVPN pode funcionar sobre a porta TCP 443, indistinguível de HTTPS comum para um filtro baseado em portas. O WireGuard é apenas UDP, por isso uma rede que bloqueia UDP bloqueia a mesh por completo: nenhuma definição do cliente a salva. Em Wi-Fi de hotel, campus universitário e empresa, isto é decisivo, e é a razão pela qual muitas pessoas mantêm um endpoint OpenVPN ativo apenas como saída de emergência. Quando até o TCP/443 é inspecionado em vez de simplesmente filtrado, a resposta deixa de ser uma definição de transporte e passa a ser ofuscação: o wstunnel, que transporta o túnel dentro de um WebSocket, é o passo seguinte habitual.
Dispositivos que nunca vão correr WireGuard. Routers antigos, equipamento industrial embebido, firmware de NAS mais antigo, equipamentos abandonados pelo fabricante. Uma mesh à qual metade do seu parque não consegue aderir não é uma mesh.
Um único ponto de entrada controlado. Por vezes, centralizar o tráfego é o requisito, não o defeito: quando tudo tem de passar por um único ponto de inspeção, ou sair por um endereço auditável. Uma mesh é, por conceção, a ferramenta errada para isso.
Maturidade do ecossistema. Décadas de documentação, e nenhuma dependência do cliente de uma única empresa.
Uma tabela de decisão sem rodeios
| A sua situação | Escolha |
|---|---|
| Ligar as suas próprias máquinas entre si | Headscale |
| Precisa de um único ponto de entrada controlado e auditável | OpenVPN |
| Parte da frota é hardware antigo ou equipamentos fechados | OpenVPN |
| A latência entre pares é importante | Headscale |
| Trabalha regularmente a partir de redes que filtram UDP | OpenVPN (TCP/443) |
| Quer identidade por dispositivo e ACL centralizadas | Headscale |
| Não quer qualquer dependência do cliente de um fabricante | OpenVPN |
O veredicto honesto
Se está a construir conectividade privada entre máquinas que são suas, o Headscale é a melhor opção por defeito em 2026: a topologia encaixa no problema, e o desempenho resulta desse encaixe e não de engenharia engenhosa.
Vai optar pelo Headscale? O lado do servidor é um pequeno VPS com IP público e um domínio. O nosso gerador de configuração Headscale gratuito escreve o config.yaml, o ficheiro Docker Compose, a configuração TLS e os primeiros comandos, e um Contabo Cloud VPS 4 é apresentado a partir de 5,50 €/mês em contabo.com (verificado a 17 out. 2026). Se preferir um alojamento nos EUA com garantia de reembolso de 30 dias, o Ultahost VPS Basic custa 5,52 $ por mês num plano de 24 meses (1 GB de RAM, IPv4 dedicado, consultado a 21 de outubro de 2026), o suficiente para um servidor Headscale para uma pequena equipa. A mesma máquina pode manter um listener OpenVPN em TCP/443 para as redes hostis referidas acima.
Mantenha o OpenVPN onde é genuinamente insubstituível: redes hostis que só deixam sair TCP/443, e hardware que não consegue aderir a uma mesh moderna. Esses dois casos são mais restritos do que eram há cinco anos, e não vão desaparecer.
Usar os dois é um resultado legítimo, não uma incapacidade de decidir. O custo são dois caminhos de acesso para auditar em vez de um, real, mas normalmente menor do que forçar todos os casos através de uma única ferramenta que só serve para alguns deles.
★ Datacenter GDPR em Nuremberg · ✓ IPv4 dedicado incluído · porta de 200 Mbit/s
Aloje a sua VPN no seu próprio VPS → ContaboAcesso root completo · IPv4 público · escolha a sua região→
