Divulgação de afiliados - Este post contém links de afiliados da Contabo. Se adquirir um VPS através deles, ganhamos uma comissão sem custo adicional para si. Cada afirmação de arquitetura abaixo é documentada a partir de fontes oficiais e públicas, escrita para ser reproduzível no seu próprio VPS.
A VPN mesh tornou-se mainstream em 2026. Se está a pesquisar "zerotier vs tailscale", quase de certeza está a comparar duas das formas mais populares de ligar uma frota de máquinas - portáteis, servidores, telemóveis, NAS - numa única rede privada cifrada sem abrir portas nem configurar túneis um a um. Ambos escondem a parte técnica por trás de um control plane gerido bem polido. Mas assentam em fundações fundamentalmente diferentes, e essa diferença decide qual é o certo para si. Esta comparação escolhe com base na arquitetura e acrescenta uma terceira via que nenhum dos dois fornecedores irá empurrar: fazer self-host do control plane para soberania total, com um VPS Contabo em Frankfurt como host de referência.
A versão curta: o ZeroTier emula uma LAN de camada 2 com o seu próprio protocolo; o Tailscale constrói um mesh de camada 3 sobre WireGuard. O resto do artigo explica o que isso significa para velocidade, LAN gaming, compliance e lock-in.
A única distinção que decide tudo: L2 vs L3
Antes do preço ou da UX, perceba a camada em que cada um trabalha, porque orienta todos os outros compromissos.
- O ZeroTier é um mesh de camada 2 (Ethernet). Cria um switch de rede virtual por software. Cada nó comporta-se como se estivesse fisicamente ligado à mesma LAN - o mesmo domínio de broadcast. É por isso que o ZeroTier é o sucessor espiritual do Hamachi para LAN gaming: jogos e serviços que dependem de broadcast Ethernet ou de descoberta de LAN automática funcionam, porque para eles todos estão no mesmo switch.
- O Tailscale é um mesh de camada 3 (IP). Não emula uma LAN plana. Constrói túneis cifrados ponto-a-ponto entre hosts e encaminha pacotes IP entre eles. Sem broadcast L2 por predefinição; obtém uma rede privada encaminhada limpa onde cada dispositivo tem um IP privado estável.
Nenhuma camada é "melhor" no abstrato. Se precisa de uma LAN virtual plana (broadcast, descoberta antiga, alguns jogos multijogador), o ZeroTier faz algo que o WireGuard sozinho não consegue. Se precisa de uma rede privada encaminhada rápida entre servidores e portáteis, o modelo L3-sobre-WireGuard do Tailscale é mais limpo e mais leve.
ZeroTier: arquitetura
O ZeroTier é um control plane SaaS gerido sobre um protocolo de transporte proprietário. Quando instala o cliente e adere a um network ID:
- O nó autentica-se contra os root servers do ZeroTier (o control plane SaaS).
- Recebe a pertença à rede e a configuração dessa rede Ethernet virtual.
- Tenta ligações diretas ponto-a-ponto, com NAT traversal automático. Se não for possível uma rota direta, o tráfego recai sobre a infraestrutura de relay do ZeroTier.
O protocolo proprietário
O ponto arquitetural chave: o ZeroTier não usa WireGuard. Usa o seu próprio protocolo de transporte cifrado, concebido para transportar frames Ethernet virtuais através da internet. É o que torna possível a experiência L2 - mas significa também que o protocolo não recebeu a mesma amplitude de auditoria independente e benchmarking público que o WireGuard. O núcleo do ZeroTier é open source, o que ajuda, mas o root/control plane SaaS é operado pela empresa ZeroTier.
Auto-hospedar o ZeroTier
Para a soberania, o ZeroTier torna open source o seu network controller. Ferramentas da comunidade como o ztncui dão-lhe um controller auto-hospedado com interface web, de modo que a orquestração que normalmente vive nos servidores do ZeroTier passa para o seu próprio VPS. Mantém a experiência mesh L2 enquanto a metadata do control plane permanece na sua jurisdição.
Tailscale: arquitetura
O Tailscale é um control plane SaaS gerido sobre WireGuard. Quando instala o cliente:
- Autentica-se contra o coordinator do Tailscale (login.tailscale.com).
- Obtém a lista de pares autorizados e as suas chaves públicas WireGuard.
- Tenta uma ligação direta ponto-a-ponto via WireGuard, com NAT traversal automático. Se o NAT bloquear um túnel direto, o tráfego recai sobre um relay DERP operado pelo Tailscale.
Construído sobre WireGuard
O data plane é WireGuard - um protocolo moderno, leve, em espaço de kernel, escrito por Jason A. Donenfeld, auditado publicamente e amplamente medido como rápido e com baixo overhead (whitepaper do WireGuard). O coordinator nunca vê as suas chaves privadas WireGuard; são geradas localmente e permanecem locais. O Tailscale acrescenta MagicDNS, ACLs JSON declarativas e SSO nos planos pagos. Para o básico, veja a nossa explicação o que é o Tailscale em 2026.
Auto-hospedar o Tailscale
Para a soberania, o Tailscale pode ser combinado com o Headscale, uma reimplementação open source da API do coordinator do Tailscale. Os clientes oficiais Tailscale apontam para o seu servidor Headscale em vez do SaaS, e o control plane corre sobre infraestrutura que possui. A nossa análise completa está em Tailscale vs Headscale self-host 2026.
Comparação frente a frente
| Critério | ZeroTier | Tailscale |
|---|---|---|
| Camada de rede | Camada 2 (LAN Ethernet virtual) | Camada 3 (mesh IP encaminhado) |
| Protocolo data plane | Transporte proprietário ZeroTier | WireGuard |
| LAN gaming / broadcast | Nativo (emula uma LAN plana) | Requer config (sem broadcast L2 por predefinição) |
| Auditoria independente do protocolo | Núcleo open source, menos amplamente auditado | WireGuard auditado e medido publicamente |
| NAT traversal | Automático | Automático |
| UX de cliente gerida | Polida, adesão por network ID | Polida, baseada em login |
| Localização do control plane SaaS | Proprietário, operado em US por predefinição | Proprietário, operado em US por predefinição |
| Self-host do control plane | Sim (controller open source, ex. ztncui) | Sim (Headscale) |
| Soberania de dados out of the box | Não (SaaS) | Não (SaaS) |
| Vendor lock-in (modo SaaS) | Moderado | Moderado |
| Alternativa soberana | Controller auto-hospedado, ou WireGuard puro | Headscale, ou WireGuard puro |
Três observações que raramente se leem noutros sítios:
- A escolha L2 vs L3 não é um detalhe - é toda a decisão. Não escolha pelo preço ou pelo logótipo. Escolha consoante precise de uma LAN virtual plana (ZeroTier) ou de uma rede encaminhada (Tailscale).
- "Ambos têm um control plane SaaS proprietário" é a manchete honesta. No modo gerido por predefinição, nenhum mantém a sua metadata de control plane na UE. A soberania é uma decisão de self-host, não um nível de plano.
- O WireGuard é um diferenciador genuíno para o Tailscale. Poder dizer "o data plane é WireGuard aberto e auditado" é um argumento real de confiança e desempenho que o transporte proprietário do ZeroTier não consegue fazer nos mesmos termos.
Desempenho: o que esperar (meça a sua própria ligação)
Não vamos citar aqui números de benchmark inventados, porque o débito bruto depende da sua CPU, do seu MTU, da sua rota e da sua situação de NAT. O que podemos dizer por arquitetura:
- Num túnel direto ponto-a-ponto, o Tailscale executa WireGuard, um protocolo leve em espaço de kernel com baixo overhead - tipicamente excelente débito em hardware moderno.
- O ZeroTier executa o seu próprio transporte em espaço de utilizador para transportar frames Ethernet. Essa flexibilidade (L2 completo) carrega em geral mais overhead do que um túnel WireGuard no kernel puro.
- Para o relay fallback (quando o NAT bloqueia uma rota direta), ambos enviam tráfego cifrado através da infraestrutura de relay do fornecedor por predefinição, e ambos beneficiam enormemente de auto-hospedar um relay ou controller perto dos seus utilizadores.
Para comparar você mesmo, execute iperf3 entre dois dos seus próprios nós em cada rede e leia os seus próprios números. A via self-host (abaixo) permite-lhe colocar o relay onde o seu tráfego está de facto.
A terceira via: self-host para soberania total
Nenhum dos dois fornecedores começará por aqui, mas é a resposta para quem tem necessidades reais de compliance ou data residency: opere o control plane você mesmo. Três opções concretas, todas confortáveis num VPS económico como o Contabo Cloud VPS 10 em Frankfurt (veja a nossa análise Contabo VPS 2026):
- Controller ZeroTier auto-hospedado (controller open source + interface web ztncui) - mantenha o mesh L2, mova a orquestração para o seu servidor.
- Headscale - mantenha a UX de cliente do Tailscale e o data plane WireGuard, mova o coordinator para o seu servidor. Guia completo: Tailscale vs Headscale self-host 2026.
- WireGuard puro num VPS - nenhum control plane proprietário, transparência máxima. Comece por self-host VPN na Contabo com WireGuard 2026.
O fio condutor: um VPS Contabo em Frankfurt mantém a metadata do control plane na UE, exatamente o que um SaaS gerido não pode prometer. O Contabo Cloud VPS 10 é encomendado através do nosso link de VPS Contabo e é confortável para um mesh de tamanho pequeno a médio.
Casos de uso: quem deve escolher o quê
Escolher ZeroTier
- LAN gaming e LANs planas ao estilo Hamachi - precisa que o broadcast Ethernet e a descoberta de LAN funcionem diretamente.
- Fazer ponte de protocolos antigos ou broadcast entre locais onde um segmento L2 virtual é realmente necessário.
- Equipas que querem especificamente uma única LAN virtual plana em vez de uma rede encaminhada.
Escolher Tailscale
- Ligar servidores, portáteis e telemóveis numa rede privada encaminhada rápida.
- Equipas que valorizam um data plane WireGuard pelo seu historial de auditoria e perfil de desempenho.
- Utilizadores que querem a UX gerida mais polida com MagicDNS, ACLs e SSO, sem necessidade de L2.
Escolher self-host (soberania)
- Compliance UE, RGPD, data residency, setor público - o control plane tem de viver na sua jurisdição.
- Quem quer zero vendor lock-in e o controlo total da metadata.
- Homelabbers e sysadmins que querem compreender e possuir toda a stack. Veja o nosso resumo melhor VPN self-host 2026 e o guia NetBird self-host para outra opção de mesh open source.
Veredicto segmentado
| Perfil | Recomendação |
|---|---|
| LAN gaming, LAN virtual plana, protocolos broadcast | ZeroTier (a camada 2 é toda a sua razão de ser) |
| Mesh encaminhado rápido para servidores e portáteis | Tailscale (data plane WireGuard) |
| UX gerida mais polida, sem requisito L2 | Tailscale |
| Soberania UE / RGPD / data residency | Self-host (controller ZeroTier, Headscale ou WireGuard puro) |
| Zero vendor lock-in, controlo total da metadata | WireGuard puro no seu próprio VPS |
| Aprendizagem homelab, possuir toda a stack | Self-host num VPS Contabo |
A conclusão honesta: o ZeroTier e o Tailscale não são realmente concorrentes no mesmo eixo. O ZeroTier ganha quando precisa de uma LAN virtual de camada 2; o Tailscale ganha quando precisa de um mesh de camada 3 rápido sobre WireGuard. E qualquer que seja a sua escolha, no momento em que a soberania entra na conversa, a resposta real é fazer self-host do control plane - porque ambos os control planes SaaS geridos são proprietários e alojados fora da UE por predefinição.
Leitura adicional
- Tailscale vs Headscale self-host 2026
- O que é o Tailscale em 2026
- Melhor VPN self-host 2026
- Tailscale vs WireGuard self-host 2026
- NetBird self-host 2026
- Self-host VPN na Contabo com WireGuard 2026
- Análise Contabo VPS 2026
Fontes:
- ZeroTier - documentação e código
- Tailscale - how it works
- Headscale - código-fonte juanfont/headscale
- WireGuard whitepaper - Jason A. Donenfeld
Artigo publicado em 2026-07-21. As notas de arquitetura baseiam-se em como o ZeroTier (camada 2, transporte proprietário) e o Tailscale (camada 3 sobre WireGuard) estão publicamente documentados para funcionar; meça a sua própria ligação para um débito exato. Ambos os control planes SaaS geridos são proprietários - o self-host é a via para a soberania do control plane.
Nota: WireGuard, ZeroTier e Tailscale são totalmente legais na UE, nos EUA, no Canadá e na maioria dos países democráticos. A VPNSmith publica este conteúdo para fins educativos.
★ Datacenter GDPR em Nuremberg · ✓ IPv4 dedicado incluído · 200+ Mbps garantidos
Aloje a sua VPN no seu próprio VPS → ContaboAcesso root completo · IPv4 público · escolha a sua região→
