PiVPN vs Tailscale (2026): a questão é se consegue abrir uma porta

Pesquise esta comparação e encontrará longas tabelas de funcionalidades. A maioria enterra o único facto que decide o resultado para a maior parte das pessoas, e não tem nada a ver com funcionalidades: consegue abrir uma porta de entrada na sua ligação à internet?

Se sim, as duas ferramentas funcionam e a escolha depende do que pretende. Se não, a comparação acaba antes de começar.

Uma exceção: atrás de CGNAT pode manter o PiVPN se o puser a correr num pequeno VPS com o seu próprio IPv4 público, como um Contabo Cloud VPS 4 (link de afiliado) a partir de 5,50 € por mês num contrato de 24 meses, com o Pi em casa a juntar-se como cliente (detalhes abaixo). Se preferir um fornecedor norte-americano com garantia de reembolso de 30 dias, o Ultahost VPS Basic custa 5,52 $ por mês num contrato de 24 meses (1 GB de RAM, IPv4 dedicado, consultado a 21 de outubro de 2026), o suficiente para um servidor WireGuard para alguns dispositivos.

A restrição que decide tudo

O PiVPN constrói um servidor. Os clientes ligam-se a partir de fora, o que exige uma porta acessível a partir da internet, o que exige um endereço público próprio.

O Tailscale nunca aceita uma ligação de entrada. As duas pontas fazem ligações de saída e um servidor de coordenação apresenta-as. Nada no seu router tem de mudar.

Por isso, a primeira pergunta não é "qual é melhor", mas o que lhe dá o seu operador? Se o endereço WAN do seu router estiver entre 100.64.0.0 e 100.127.255.255, está atrás de NAT de operador (CGNAT): não há porta para reencaminhar, e o PiVPN não pode ser alcançado a partir de fora, seja qual for a configuração.

Duas formas diferentes de rede

Para lá da acessibilidade, as duas constroem coisas realmente diferentes.

O PiVPN é em estrela. Tudo passa pelo Pi. É exatamente o que quer quando o objetivo é estar em casa a partir de outro lugar: navegar com o seu IP de casa, chegar à impressora, usar um serviço que só confia no seu endereço doméstico.

O Tailscale é uma malha (mesh). O seu portátil fala diretamente com o seu telemóvel, esteja o Pi ligado ou não. Nada passa por uma única caixa, por isso nada falha quando essa caixa reinicia, e nada passa pela sua ligação doméstica a menos que o peça.

Nenhuma das formas é melhor. Respondem a frases diferentes: "Quero estar na minha rede de casa" versus "Quero que as minhas máquinas se alcancem umas às outras."

O que cada uma lhe custa

A terceira opção quando a porta não pode ser aberta

Atrás de CGNAT, a tabela acima parece indicar que o Tailscale é a única escolha. Há uma terceira que mantém a forma do PiVPN: tirar o servidor WireGuard do Pi e pô-lo num pequeno VPS com o seu próprio IPv4 público. O VPS tem uma porta acessível a partir de qualquer lado, o seu telemóvel e portátil ligam-se a ele exatamente como se ligariam ao PiVPN, e o Pi em casa liga-se a ele como mais um cliente com PersistentKeepalive = 25, para que a sua rede local de casa continue acessível através dele. Mantém um hub clássico que controla totalmente, nenhum servidor de coordenação guarda a sua lista de dispositivos, e o CGNAT deixa de importar porque nada tem de chegar à sua ligação doméstica a partir de fora.

Antes de decidir, verifique se está realmente atrás de CGNAT. O nosso verificador de portas WireGuard gratuito compara o endereço WAN do seu router com o seu IP público e responde em poucos segundos; se os dois forem diferentes, ou se o endereço WAN estiver em 100.64.0.0/10, nenhuma definição do PiVPN vai ajudar. A configuração com relé está descrita passo a passo em WireGuard atrás de CGNAT, e as configurações para o VPS, o Pi e cada telemóvel saem do gerador de configuração WireGuard num minuto, com as chaves geradas no seu navegador. O gerador é gratuito até 10 dispositivos; acima disso, o WireGuard Pro (o nosso próprio produto, 9 EUR uma única vez, sem subscrição) sobe o limite para 250 e junta um ZIP com o .conf de cada cliente e o respetivo código QR em PNG, prático para configurar um escritório ou uma família inteira de uma só vez.

O que custa: alguns euros por mês e mais um servidor para manter atualizado. O que muda em relação ao PiVPN em casa: o tráfego de internet sai pelo endereço do VPS e não pelo seu IP de casa, a menos que o encaminhe através do Pi, o que exige mais configuração. Se o objetivo era parecer estar em casa, continua a precisar de uma ligação doméstica acessível, e isso leva-o de volta ao Tailscale.

A recomendação honesta

Comece pelo Tailscale se estiver indeciso. Funciona em todo o lado, incluindo nos casos em que o PiVPN simplesmente não consegue, e adicionar um dispositivo demora segundos. Para a maioria das pessoas que querem chegar às suas próprias máquinas a partir de fora, é todo o trabalho.

Escolha o PiVPN quando o objetivo é a própria ligação de casa, parecer estar em casa, ou recusar qualquer dependência externa. Ambas são razões legítimas, e a segunda não é paranoia: é a diferença entre uma rede que opera e uma rede que subscreve.

E se quer a malha sem a empresa, o meio-termo existe: aloje o plano de controlo por conta própria com o Headscale, comparado aqui com o Tailscale. Mantém os clientes oficiais e a travessia de NAT, e a parte que conhece os seus dispositivos fica numa máquina que é sua.