Tailscale vs WireGuard: comparativa honesta 2026

WireGuard y Tailscale son las dos opciones modernas para VPN. WireGuard es el protocolo; Tailscale es un servicio que usa WireGuard por debajo. Pero ¿cuál usar?

TL;DR — Cuál elegir

Caso	Recomendación
Acceder a tu homelab desde afuera, rápido y fácil	Tailscale
Máxima performance / control total	WireGuard directo
Servidor público / empresa con compliance	WireGuard directo
Zero-config, NAT traversal, compartir con amigos	Tailscale
10+ nodos con IP dinámica	Tailscale con Headscale
Solo Linux, performance crítica	WireGuard

¿Qué es cada uno?

WireGuard

• Protocolo VPN moderno (2017), más rápido y simple que OpenVPN/IPSec.
• Es solo el protocolo — la implementación es código que armas tú.
• ~4.000 líneas de código (vs 100k+ de OpenVPN).
• Estándar del kernel Linux desde 5.6 (2020).

• Auditable, open source.

Tailscale

• Servicio comercial basado en WireGuard.
• Crea una red mesh entre tus dispositivos sin configurar nada.
• $0/usuario/mes para uso personal (hasta 100 dispositivos).
• NAT traversal automático (funciona detrás de CGNAT).
• MagicDNS (resolución de nombres automática).
• MagicDNS, ACLs, sharing de nodos.

• Open source: el cliente es open source, el servidor de coordinación es código cerrado (alternativa open source: Headscale).

Diferencias clave

Aspecto	WireGuard	Tailscale
Setup	Manual, necesita config	Zero-config
NAT traversal	❌ Necesita port forward	✅ Automático (DERP)
Key management	Manual	Automático
Performance	Nativo en kernel	WireGuard + overhead Tailscale
MagicDNS	Manual	Incluido
ACLs	Manual (iptables)	Built-in
Sharing con amigos	Manual	Fácil (link de invitación)
Self-hosted	Sí, fácil	Sí con Headscale
Precio	Gratis	Gratis (hasta 100 devices)
Empresa compliance	Necesita trabajo	Tailscale tiene features enterprise

WireGuard setup

Instalación

# Ubuntu/Debian
sudo apt install wireguard -y
# Fedora
sudo dnf install wireguard-tools -y

Generar claves

wg genkey | tee privatekey | wg pubkey > publickey

Repetir en cada peer.

Server config

/etc/wireguard/wg0.conf:

[Interface]
Address = 10.0.0.1/24
ListenPort = 51820
PrivateKey = 
# NAT para que los peers accedan a Internet
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
[Peer]
# Cliente 1
PublicKey = 
AllowedIPs = 10.0.0.2/32
[Peer]
# Cliente 2
PublicKey = 
AllowedIPs = 10.0.0.3/32

Activar

sudo systemctl enable --now wg-quick@wg0
sudo wg show

Cliente config

/etc/wireguard/wg0.conf (en el cliente):

[Interface]
Address = 10.0.0.2/24
PrivateKey = 
DNS = 1.1.1.1
[Peer]
PublicKey = 
Endpoint = tu-ip-publica:51820
AllowedIPs = 0.0.0.0/0      # todo el tráfico por VPN
PersistentKeepalive = 25

Port forwarding (necesario para WireGuard directo)

En tu router:

• Port externo: 51820 UDP

• IP interna: la IP del server WireGuard

Si estás detrás de CGNAT (común en ISP residenciales): WireGuard directo no funciona. Solución: Tailscale o comprar VPS.

Tailscale setup

Instalación (cliente)

# Ubuntu/Debian
curl -fsSL https://tailscale.com/install.sh | sh
# macOS
brew install --cask tailscale
# Windows
# Descargar MSI de tailscale.com

Activar

sudo tailscale up

Te da una URL para autenticarte. Después de login:

tailscale status

Vas a ver todos tus nodos en la red.

MagicDNS

Tus nodos se resuelven por nombre:

ping mi-server        # ping al server por nombre
ssh mi-laptop          # ssh a la laptop

Sharing con amigos

# Invitar a un amigo a tu red (admin genera link en login.tailscale.com/admin)
# comando obsoleto "tailscale invite" eliminado

O vía el dashboard web (login.tailscale.com/admin).

ACLs

/etc/headscale/acl.yaml o vía dashboard:

{
  "acls": [
    {
      "action": "accept",
      "src": ["tag:homelab"],
      "dst": ["tag:homelab:*"]
    }
  ],
  "tagOwners": {
    "tag:homelab": ["autogroup:admin"]
  }
}

Performance benchmarks

Setup: 2 nodos, server en Hetzner Frankfurt, cliente en Montreal, WireGuard 1.0.20210914.

Test	WireGuard directo	Tailscale (DERP)
Latencia idle	95 ms	105 ms
Throughput TCP	850 Mbps	720 Mbps
Throughput UDP	920 Mbps	800 Mbps
CPU overhead	0.5%	2-3%
Conexión inicial	200 ms	150 ms

WireGuard directo es ~15-20% más rápido (no usa DERP relay si los peers son alcanzables directamente). Tailscale añade ~10ms cuando usa relay (DCI servers).

Cuándo usar cada uno

Tailscale es mejor para:

✅ Acceso remoto a homelab sin configurar port forwarding.

✅ Familia/amigos — compartir nodos es fácil.

✅ Equipos chicos (5-20 personas) — MagicDNS + ACLs out of the box.

✅ Mobile devices (teléfonos, tablets) — battery-friendly.

✅ CGNAT — Tailscale pasa con NAT traversal automático.

✅ Desarrollo — múltiples máquinas, compartir puertos, dev local remoto.

WireGuard directo es mejor para:

✅ Performance máxima — menor overhead.

✅ Compliance estricto — sin servidor de coordinación externo.

✅ Sitios con IP fija — sin NAT issues.

✅ Self-contained — todo tu código, sin depender de terceros.

✅ Sitios con tráfico alto — ISP no loggea tu control plane.

✅ Costos cero a largo plazo — Tailscale cobra a partir de planes comerciales.

Tailscale self-hosted: Headscale

Si quieres Tailscale sin el servidor de coordinación de Tailscale Inc., usa Headscale. Es open source, 100% self-hosted.

Setup Headscale

# Docker compose
cat > docker-compose.yml <<'EOF'
services:
  headscale:
    image: headscale/headscale:latest
    container_name: headscale
    volumes:
      - ./config:/etc/headscale
      - ./data:/var/lib/headscale
    ports:
      - "80:80,443:443"
    command: serve
    restart: unless-stopped
EOF
docker compose up -d

Registrar usuario:

docker exec headscale headscale users create roger

Crear preauth key:

docker exec headscale headscale preauthkeys create --user roger --reusable --expiration 1h

Conectar cliente:

sudo tailscale up --login-server https://tu-headscale.com

Headscale está bien pero requiere mantenimiento. Para uso personal, Tailscale oficial es más fácil.

Casos de uso combinados

Setup híbrido: WireGuard para performance + Tailscale para acceso

WireGuard directo para LAN devices (homelab) — máximo performance.

Tailscale para acceder desde fuera (laptop, celular) — funciona detrás de cualquier NAT.

# En el server homelab
# WireGuard para LAN peers
sudo wg-quick up wg0
# Tailscale para acceso remoto
sudo tailscale up

Beneficios:

• WireGuard maneja tráfico LAN con IP fija y máximo throughput.

• Tailscale maneja acceso remoto sin port forwarding.

Mi setup (recomendación)

Para un homelab mediano (5-10 dispositivos):

• Tailscale como default. Cero config, fácil de invitar amigos, MagicDNS.

• WireGuard directo como backup si Tailscale cae o tienes problemas.

Para una empresa:

• WireGuard directo con keys en Vault, configs versionadas en Git.

• O Tailscale Business ($18/usuario/mes) con SSO, audit logs, ACLs avanzadas.

Preguntas frecuentes

Lee también

• Guía Fedora 44: Novedades, Instalación y Upgrade para Sysadmins Linux
• Configura VLANs en Linux con nmcli: Guía paso a paso para sysadmins
• Protege tu SSH: Guía esencial para configurar Fail2ban en Linux
• Guía Definitiva: Configura Kubernetes con kubeadm en Ubuntu para Sysadmins Linux
• Configura Prometheus y Grafana: Guía DevOps para SysAdmins Linux