Qué es Tailscale y cómo usarlo: la VPN que conecta tus cacharros sin abrir un solo puerto

Voy a contarte cómo era mi vida antes de Tailscale, y luego cómo es ahora. Antes: abrir puertos en el router, pelearme con el NAT del operador, montar un DDNS porque la IP cambia sola, configurar WireGuard a mano, y descubrir a las tres de la mañana que mi operador me había metido detrás de un CGNAT y que nada de lo anterior servía para nada. Después: instalar una cosa, hacer login, y ya está.

No suelo entusiasmarme con nada (mi optimismo se agotó en un deploy de un viernes de 2018), pero esto es de lo poco que ha hecho mi vida objetivamente mejor. Vamos al lío.

Qué es Tailscale, explicado sin jerga

Imagina que todos tus dispositivos —el portátil, el móvil, el servidor casero, la Raspberry, el PC del trabajo— pudieran verse entre sí como si estuvieran conectados al mismo router de casa, aunque uno esté en Madrid, otro en un hotel de Berlín y otro en el sofá. Eso es Tailscale: una red privada virtual (VPN) de tipo malla que une tus máquinas directamente entre ellas, sin importar dónde estén ni qué router haya de por medio.

La diferencia con las VPN comerciales que anuncian los youtubers es fundamental, y conviene aclararla porque la gente las confunde: aquellas sirven para salir a internet camuflado (cambiar tu país, ocultar tu IP). Tailscale sirve para lo contrario: para entrar en tus propias cosas desde fuera. No es un producto para ver Netflix de otro país; es un producto para llegar a tu servidor de casa desde el bar.

Por debajo usa WireGuard, el protocolo de VPN moderno, rápido y bien auditado. La gracia es que Tailscale te quita de encima toda la parte insufrible de WireGuard: el intercambio manual de claves, la configuración de cada peer, el mantenimiento. Tailscale hace de "coordinador" (te autentica y le dice a tus máquinas cómo encontrarse), pero el tráfico va cifrado de punta a punta y directo entre tus dispositivos, sin pasar por sus servidores siempre que sea posible.

Por qué esto es magia negra (el asunto de los puertos)

Aquí está el verdadero superpoder, y es lo que hace que a un sysadmin cansado se le humedezcan los ojos: no tienes que abrir ni un solo puerto en tu router.

Cualquiera que haya intentado montar acceso remoto a su casa conoce el vía crucis: entrar al router, redirigir puertos, exponer un servicio a internet entero (y por tanto a todos los bots del planeta escaneándolo), lidiar con IP dinámica y rezar. Tailscale se salta todo eso mediante técnicas de "NAT traversal": tus dispositivos negocian una conexión directa desde dentro hacia fuera, así que el router no tiene que hacer nada. Y como no abres puertos, no expones nada a internet. Tu servidor no existe para el mundo; solo existe para tus máquinas autenticadas.

Menos superficie de ataque y menos noches en vela. Vendido.

Cómo montarlo (diez minutos, de verdad)

El proceso es aburridamente simple, que es el mayor elogio que puedo hacerle a una herramienta:

1. Crea la cuenta en la web de Tailscale. Se entra con una identidad que ya tengas (Google, Microsoft, GitHub...). No hay que inventarse otra contraseña, gracias a los dioses.
2. Instala el cliente en el primer dispositivo. Hay para Windows, macOS, Linux, Android, iOS y hasta para tu NAS o tu Raspberry.
3. Haz login. Ya está. El aparato aparece en tu red privada (que ellos llaman tailnet) con su propia dirección IP fija.
4. Repite en los demás cacharros. Cada uno que añadas se ve automáticamente con los otros.
5. Comprueba: desde el móvil con datos móviles, escribe la IP de Tailscale de tu servidor de casa. Deberías llegar. Si no llegas, respira: revisa que ambos estén conectados a Tailscale y que el servicio de destino esté escuchando.

Un consejo que agradecerás: activa MagicDNS en el panel. Sirve para llamar a tus máquinas por su nombre (servidor, raspberry) en vez de memorizar IPs. Porque memorizar IPs es cosa de masocas.

Para qué sirve de verdad: casos de uso reales

Aquí es donde la cosa se pone interesante, porque Tailscale es un tubo por donde caben muchas cosas:

Acceder a tu servidor casero desde cualquier sitio. Si has montado un servidor casero con un PC viejo, esto lo cambia todo: llegas a él desde el trabajo, desde el móvil o desde otro país, como si estuvieras en el salón.

Ver tu Jellyfin fuera de casa sin exponerlo. Tienes Jellyfin montado y quieres ver tus películas en el hotel. Con Tailscale, entras a tu Jellyfin sin publicarlo en internet. Tu servidor de películas sigue siendo invisible para el resto del mundo.

Llevarte tu Pi-hole de viaje. Este es de mis favoritos. Si tienes Pi-hole bloqueando publicidad en casa, puedes usar Tailscale para que tu móvil use el Pi-hole de casa estés donde estés, con lo que navegas sin publicidad también fuera (lo explico paso a paso en cómo usar Pi-hole con Tailscale fuera de casa). Tu red de casa, en el bolsillo.

Controlar tu domótica en remoto sin la nube. Si usas Home Assistant, Tailscale te da acceso remoto sin depender de suscripciones de terceros ni exponer el panel a internet.

Acceder a tu NAS y a tus archivos. Tu NAS accesible desde fuera sin abrir el puerto que todos los bots del mundo intentan. Tu nube privada, de verdad privada.

Administrar máquinas por SSH o escritorio remoto. Si te dedicas a esto, conectarte por SSH a tus servidores sin exponer el puerto 22 a la intemperie es un alivio existencial. Complementa (o sustituye, según el caso) a herramientas como DWService.

Compartir un cacharro con otra persona sin darle las llaves de casa. Puedes compartir un dispositivo concreto con un amigo o familiar sin meterlo en toda tu red.

Qué es gratis y qué no (con los datos de 2026, que casi nadie tiene bien)

Presta atención a esto, porque medio internet sigue publicando los límites viejos. Tailscale reformó sus planes en abril de 2026, y el plan gratuito mejoró bastante:

El plan Personal es gratis para siempre e incluye hasta 6 usuarios (antes eran 3) y dispositivos de usuario ilimitados (antes había un tope de 100). Además, hasta 50 "recursos etiquetados" (así llaman a servidores y routers de subred) y 1.000 minutos de recursos efímeros al mes. También retiraron el plan Personal Plus de pago y migraron a esa gente al gratuito mejorado.

Si ves por ahí un artículo diciendo "3 usuarios, 100 dispositivos", está desfasado. Ya no es así.

Los planes de pago (Standard a 8 USD por usuario y mes, Premium a 18 USD) están pensados para empresas, con cosas como SSO, SCIM y controles avanzados. Para uso doméstico y self-hosting, el plan gratis te va a sobrar con holgura.

La letra pequeña (porque nadie te la cuenta)

No voy a venderte la moto, que para eso ya está el marketing:

• No es software 100% libre. El cliente es de código abierto, pero el servidor de coordinación de Tailscale es propietario y está en sus manos. Si eso te chirría filosóficamente, existe Headscale, una implementación libre y autoalojada del coordinador. Es más trabajo de montar, pero no dependes de nadie.
• Dependes de un tercero para la autenticación. Si Tailscale tiene una caída, los túneles ya establecidos suelen aguantar, pero autenticar nuevos dispositivos puede darte problemas. Es un punto de dependencia real, aunque en la práctica sea muy fiable.
• Entras con una cuenta externa (Google, GitHub...). Cómodo, pero es otra pieza que no controlas.
• No sustituye a una VPN comercial si lo que quieres es cambiar tu ubicación aparente para ver contenido de otro país. Aunque tiene una función de "nodo de salida" que puede hacer algo parecido, no es su propósito.

Nada de esto me quita el sueño (y mira que duermo poco), pero prefiero que lo sepas antes de instalarlo que después.

¿Ya usas Tailscale o sigues peleándote con los puertos del router como en 2010? ¿Y qué caso de uso le has encontrado que no esté aquí? Cuéntamelo en los comentarios, que igual me sirve para el próximo parche.