Tailscale – una red mesh privada sin configuración, la VPN que realmente necesitaba

Mayo 2026

Todo empezó con una impresora 3D y un viejo ThinkPad. Quería hacer algo simple: conectar una cámara USB al portátil, apuntarla a la impresora y tener una vista en directo que pudiera abrir desde mi ordenador en otra habitación o desde el móvil. ¿El problema? La impresora está en una red, el ordenador en otra y el móvil va entre una tercera. Un escenario clásico.

Inicialmente planeé la solución tradicional: montar un túnel SSH hacia mi hosting, poner un proxy allí y redirigir el tráfico. Funcionaría, pero requeriría mantener un servidor intermediario, configurar puertos, certificados, vigilar que el túnel no se cayera. Demasiado trabajo solo para ver una impresora.

Y entonces, investigando, me topé con Tailscale. En lugar de una nota con unos cuantos comandos de SSH tunnel, nació este artículo.

¿Qué es Tailscale?

Tailscale es una herramienta que crea una red mesh privada entre tus dispositivos, sin importar en qué redes físicas se encuentren. Por debajo usa el protocolo WireGuard, una de las soluciones de tunelización más modernas y rápidas que existen. Pero en lugar de obligarte a configurar WireGuard manualmente (claves, endpoints, firewalls, NAT traversal), Tailscale se encarga de todo por ti.

En la práctica funciona así: instalas el cliente en cada dispositivo, inicias sesión con la misma cuenta y ya está. Los dispositivos se ven entre sí como si estuvieran en la misma red local. No importa si uno está en casa, otro en casa de tus padres y el tercero conectado por LTE en el tranvía.

Esta red de tus dispositivos se llama tailnet y es completamente privada: Tailscale solo gestiona los metadatos (quién está en la red, cuáles son sus claves públicas), pero nunca ve tu tráfico. El cifrado es de extremo a extremo y las claves privadas nunca salen del dispositivo.

Mesh, no hub-and-spoke

Una VPN tradicional funciona en un modelo hub-and-spoke: todos los dispositivos se conectan a un único servidor central y todo el tráfico pasa a través de él. Eso significa mayor latencia, cuello de botella en el servidor y un único punto de fallo.

Tailscale funciona de forma diferente. Los dispositivos se conectan directamente entre sí (peer-to-peer). Si mi portátil quiere conectarse con mi Raspberry Pi, los paquetes viajan por la ruta más corta, sin intermediarios. Tailscale utiliza una ingeniosa técnica de NAT traversal (conocida como "hole punching") para que funcione incluso detrás de routers domésticos y firewalls corporativos. Solo en casos realmente extremos (NAT muy restrictivo) el tráfico pasa por servidores relay (llamados DERP servers), y aun así permanece cifrado de extremo a extremo.

Mi setup – cómo lo tengo montado

Después de instalar Tailscale, mi problema original se resolvió solo. En lugar de túneles SSH y hosting intermediario, ahora tengo:

ThinkPad con cámara – un viejo portátil con una webcam USB y un servicio simple en Flask que transmite vídeo en streaming. No necesito exponerlo a internet: lo veo directamente desde cualquier dispositivo de mi red Tailscale.

Ordenador en mi habitación – abro el navegador, escribo la dirección del ThinkPad en el tailnet y tengo la vista de la impresora. Cero configuración del router, cero port forwarding.

Teléfono – también está en la red. Puedo ver la impresora desde el sofá, desde el trabajo, desde el autobús. Donde haya internet, tengo acceso.

Raspberry Pi – que funciona en un lugar completamente diferente, en otra ubicación, en otra red. Gracias a Tailscale me es directamente visible: puedo conectarme por SSH como si estuviera en la misma LAN. ¡Genial!

Y todo esto literalmente en unos minutos desde la instalación. Sin túneles, sin reverse proxies, sin necesidad de hosting.

Instalación – tres comandos y listo

Tailscale funciona en prácticamente todo: Linux, macOS, Windows, Android, iOS, e incluso ChromeOS y Apple TV. En Linux (incluyendo Raspberry Pi) la instalación se reduce a:

curl -fsSL https://tailscale.com/install.sh | sh

El script detecta automáticamente la distribución, añade los repositorios e instala el cliente. Después:

sudo tailscale up

Aparece un enlace para el navegador: haces clic, autorizas el dispositivo con una cuenta de Google, GitHub o Microsoft, y el dispositivo ya está en la red. Puedes comprobar tu dirección en el tailnet:

tailscale ip -4

O ver el estado de todos los dispositivos conectados:

tailscale status

En Android e iOS la instalación es simplemente descargar la app de la tienda e iniciar sesión. Sin terminal, sin configuración.

MagicDNS – olvídate de las direcciones IP

Una de mis funciones favoritas. Con MagicDNS activado, cada dispositivo en el tailnet recibe un nombre de host legible. En lugar de recordar 100.64.0.3 escribo:

ssh miusuario@thinkpad

o abro http://thinkpad:5000 en el navegador y tengo la imagen de la cámara. Los nombres funcionan automáticamente, no hay que configurar nada: Tailscale los toma de los nombres de los dispositivos y los sirve a través de un resolver DNS integrado.

¿Qué más puede hacer Tailscale?

Cuando empecé a profundizar, resultó que Tailscale no es solo "los dispositivos se ven entre sí". Es todo un ecosistema de herramientas de red.

Exit Node – VPN en el sentido tradicional

Cualquier dispositivo del tailnet puede funcionar como exit node (nodo de salida), es decir, como puerta de enlace a internet. Si configuro mi Raspberry Pi en casa como exit node, estando en una cafetería puedo dirigir todo mi tráfico de internet a través de mi red doméstica. Parece una VPN clásica: los sitios web ven mi IP de casa y el tráfico en el Wi-Fi público va cifrado.

La configuración es sencilla:

# En el dispositivo que será el exit node:
echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.conf
sudo sysctl -p
sudo tailscale up --advertise-exit-node

Después apruebo el exit node en el panel de administración de Tailscale y puedo seleccionarlo desde cualquier otro dispositivo.

Subnet Router – acceso a toda la red local

¿Y si tengo dispositivos donde no puedo instalar Tailscale? Una impresora de red antigua, una cámara IP, un NAS con firmware desactualizado... El subnet router resuelve ese problema. Un dispositivo con Tailscale en una red determinada puede "anunciar" toda la subred:

sudo tailscale up --advertise-routes=192.168.1.0/24

A partir de ese momento, cualquier dispositivo de mi tailnet puede acceder a cualquier dirección de la red 192.168.1.x, aunque físicamente esté en el otro lado del mundo.

Tailscale SSH – SSH sin claves

Tailscale SSH permite iniciar sesión en una máquina Linux remota sin gestionar claves SSH. La autenticación se basa en la identidad de Tailscale: si tienes permisos en el tailnet, puedes conectarte.

Taildrop – transferencia de archivos

Transferencia rápida y cifrada de archivos entre dispositivos del tailnet. Sin nube, sin pendrives, sin complicarse con scp. En Linux:

tailscale file cp foto.jpg thinkpad:

En el teléfono, compartes un archivo directamente a través de Tailscale desde el menú "Compartir". Los archivos viajan peer-to-peer, cifrados, sin intermediarios.

Tailscale Serve y Funnel

Serve permite compartir un servicio local (por ejemplo, un servidor de desarrollo en localhost:3000) con otros dispositivos del tailnet, de forma privada, solo para tus dispositivos.

Funnel va un paso más allá: expone un servicio local a internet público con HTTPS automático. ¿Quieres mostrar rápidamente algo en lo que estás trabajando, sin hacer deploy en un servidor? Funnel te da una URL pública en segundos.

Ideal para presentaciones, demos, pruebas de webhooks.

ACL – quién ve qué

Tailscale ofrece Access Control Lists definidas en el panel de administración (o como archivo JSON). Puedes especificar con precisión:

• Qué dispositivos pueden conectarse con cuáles.
• En qué puertos.
• Qué permisos tiene cada usuario.

En el plan gratuito con un solo usuario no es crítico, pero cuando añades familia o colaboradores se vuelve imprescindible.

Seguridad – zero trust por definición

Tailscale implementa un modelo zero trust: ningún dispositivo es de confianza automáticamente solo por estar "en la red". Cada conexión requiere:

1. Identidad – autenticación a través de un proveedor SSO (Google, GitHub, Microsoft, etc.),
2. Autorización – las ACL determinan qué puede hacer cada dispositivo/usuario,
3. Cifrado – WireGuard cifra de extremo a extremo, las claves privadas nunca salen del dispositivo.

Tailscale como empresa nunca tiene acceso a tu tráfico: solo gestiona el plano de control (control plane), es decir, la información sobre qué dispositivos existen y cómo pueden comunicarse entre sí. Los datos (data plane) viajan directamente entre dispositivos.

Precios – gratis para uso normal

El plan Personal es gratuito y permite hasta 100 dispositivos para un máximo de 3 usuarios. Eso es más de lo que necesita la mayoría de usuarios domésticos y aficionados.

El plan gratuito incluye prácticamente todas las funciones descritas en este artículo: MagicDNS, exit node, subnet router, Taildrop, Serve, Funnel, ACLs. No hay restricciones artificiales de funcionalidad: el límite es de escala.

Los planes de pago empiezan en torno a $5/usuario/mes y están dirigidos más bien a empresas y equipos que necesitan funciones administrativas adicionales.

¿Cuándo tiene sentido Tailscale?

Por mi experiencia, Tailscale es ideal cuando:

• Tienes dispositivos en diferentes redes y quieres que se vean entre sí sin complicarte con port forwarding, DNS dinámico o túneles SSH.
• Estás construyendo un homelab con Raspberry Pi, NAS, cámaras, y quieres tener acceso desde cualquier lugar.
• Quieres una VPN segura sin servidor – un exit node en una máquina doméstica te da una VPN sin pagar por un VPS.
• Trabajas en remoto y necesitas acceso a recursos de la oficina o de casa.
• Estás harto de gestionar claves SSH – Tailscale SSH es una simplificación enorme.
• Quieres compartir algo rápido – Funnel te da una URL pública en segundos.

¿Qué no hace Tailscale?

Conviene saber qué no esperar:

• No anonimiza – esto no es Tor. Tailscale conecta tus dispositivos, no te oculta en internet.
• Requiere internet – ambos dispositivos necesitan conexión a la red (aunque sea por LTE).
• El control está centralizado – el servidor coordinador (control plane) es gestionado por Tailscale. Si eso te molesta, existe una alternativa open source – Headscale, que permite montar tu propio servidor de control.

Resumen

Iba a montar un túnel SSH hacia mi hosting para vigilar una impresora 3D. Volví con una red mesh privada en la que mi portátil, mi ordenador, mi teléfono y mi Raspberry Pi – cada uno en una ubicación diferente – se ven entre sí como si estuvieran en el mismo escritorio.

Tailscale es una de esas herramientas que, después del primer uso, provocan la reacción: "¿por qué no sabía de esto antes?". La instalación lleva minutos, la configuración es mínima y el plan gratuito cubre las necesidades de la gran mayoría de usuarios domésticos.

Si tienes al menos dos dispositivos en redes diferentes y te gustaría que se vieran mutuamente, pruébalo. Volverás a dar las gracias.

Artículo escrito en mayo de 2026. Tailscale se desarrolla activamente: las funciones y los precios pueden cambiar.

Fuentes y lecturas adicionales

1. Tailscale – sitio oficial – descripción de la plataforma, documentación, quickstart
   tailscale.com

2. Tailscale – documentación – guías detalladas para cada función
   tailscale.com/kb

3. WireGuard – protocolo base – especificación y documentación del protocolo sobre el que se basa Tailscale
   wireguard.com

4. Headscale – implementación open source del servidor de control de Tailscale, para quienes quieran self-hosted
   github.com/jupp0r/headscale

5. Tailscale – precios – planes actuales y límites
   tailscale.com/pricing