Tailscale por dentro: una VPN potente, segura y sin abrir puertos

Montar una VPN en casa solía significar abrir puertos en el router, pelearse con certificados y rezar para que el operador no te hubiera metido detrás de un CGNAT. Tailscale cambia esa experiencia por completo: instalas un cliente, inicias sesión y tus equipos se ven entre sí estén donde estén. Precisamente por eso despierta desconfianza. ¿Cómo puede algo tan fácil ser seguro? ¿Mi tráfico pasa por sus servidores? ¿Es lento? ¿Qué pasa el día que deje de ser gratis?

En este artículo vamos a abrir la caja y ver qué hay dentro. La conclusión adelantada: la sencillez de Tailscale no se paga con seguridad, porque está construida sobre piezas sólidas y con un diseño en el que su propia empresa no puede leer tu tráfico.

Qué es una VPN y por qué la seguimos necesitando

Una VPN (red privada virtual) es un túnel cifrado entre dos equipos que viaja por internet. Quien observe la red ve que pasan paquetes, pero no puede saber qué contienen ni a qué servicio interno van dirigidos.

Durante años fue una herramienta de empresa: el empleado se conectaba desde casa a la red de la oficina. Hoy tiene usos muy domésticos:

• Entrar al NAS, a la cámara o al Home Assistant de casa sin exponerlos a internet.
• Navegar con seguridad desde la wifi de un hotel, un aeropuerto o una cafetería.
• Administrar servidores en la nube sin dejar el puerto SSH abierto al mundo.

WireGuard: el motor

Las VPN clásicas (IPsec con IKE, OpenVPN) funcionan, pero son pesadas de configurar y de mantener. WireGuard es la alternativa moderna: un protocolo pequeño, con criptografía actual (Curve25519 para el intercambio de claves y ChaCha20-Poly1305 para cifrar) y un código tan reducido que se puede auditar entero. Desde 2020 forma parte del núcleo de Linux.

Su modelo es sencillo: cada equipo tiene un par de claves, pública y privada. Para que dos equipos hablen, cada uno debe conocer la clave pública del otro y saber en qué IP y puerto encontrarlo. Con dos equipos es trivial; con diez, cada uno con su configuración, se convierte en un trabajo manual propenso a errores. Además, lo habitual es montar una topología en estrella (hub and spoke): todos los clientes contra un servidor central que necesita una IP pública y un puerto abierto.

Ese es exactamente el problema que resuelve Tailscale.

Tailscale: WireGuard con piloto automático

Tailscale no inventa un protocolo de cifrado nuevo: cada conexión es un túnel WireGuard. Lo que añade es todo lo que WireGuard deja en manos del administrador:

• Reparto de claves. Cada equipo genera su par de claves y solo publica la pública.
• Descubrimiento. Cada equipo sabe en qué direcciones puede encontrar a los demás, aunque cambien de red.
• Red en malla. En lugar de una estrella, cada equipo conecta directamente con cada uno de los demás. No hay un servidor central por el que pase el tráfico.
• Identidad. No das de alta equipos con claves sueltas, sino con tu cuenta (Google, Microsoft, GitHub…), con su doble factor incluido.

Al conjunto de tus equipos conectados se le llama tailnet. Cada uno recibe una IP fija del rango 100.64.0.0/10 que le acompaña aunque cambie de red, y con MagicDNS puedes llamarlo por su nombre (nas, portatil, servidor-web) en vez de recordar direcciones.

El servidor de coordinación

La pieza que hace posible la magia es el servidor de coordinación de Tailscale. Hace de tablón de anuncios: recibe la clave pública de cada equipo, sus direcciones y las reglas de acceso, y reparte esa información al resto.

Lo importante es lo que no hace: no transporta tu tráfico. Los datos viajan de equipo a equipo por túneles WireGuard que el servidor de coordinación nunca toca.

Seguridad: por qué Tailscale no puede leer tus datos

Este es el punto que más dudas genera, y la respuesta está en dónde vive cada clave.

La clave privada nunca sale de tu equipo

Cada nodo genera su par de claves en local. La clave pública se envía al servidor de coordinación para que la conozcan los demás; la privada se queda en el dispositivo. Como el cifrado de WireGuard depende de esa clave privada, ni Tailscale ni nadie que comprometiera su servidor podría descifrar el tráfico que ya circula entre tus equipos.

Confianza cero y reglas de acceso

Estar dentro de la tailnet no da acceso a todo. Las políticas de acceso (ACL) definen quién puede hablar con quién y por qué puertos: por ejemplo, que el móvil llegue al NAS por SMB pero no al servidor por SSH. Cada conexión se autentica y se cifra de extremo a extremo; no hay una "red de confianza" interna que un intruso pueda recorrer libremente.

A eso se suma la caducidad de claves: por defecto, cada equipo tiene que volver a autenticarse periódicamente, lo que limita el daño si un dispositivo se pierde.

¿Y si el servidor de coordinación mintiera?

Es la pregunta honesta que queda: el servidor no puede leer tu tráfico, pero en teoría sí podría anunciar un equipo falso dentro de tu red. Para cerrar esa puerta existe Tailnet Lock: con él, solo se aceptan equipos nuevos firmados por dispositivos de tu confianza, de modo que el servidor de coordinación deja de tener la última palabra sobre quién entra.

Código abierto y plan B

Los clientes de Tailscale son de código abierto y están publicados en GitHub, así que cualquiera puede revisar qué hacen con tus claves. El servidor de coordinación es el único componente propietario, y para quien no quiera depender de él existe Headscale, una implementación libre y autoalojada compatible con los clientes oficiales.

Conexiones directas sin abrir puertos

La característica más llamativa de Tailscale es que dos equipos detrás de routers domésticos, sin un solo puerto abierto, consiguen hablar directamente. Lo logra con dos técnicas.

NAT traversal

Cuando un equipo envía un paquete UDP hacia fuera, su router abre temporalmente un hueco para recibir la respuesta. Tailscale aprovecha ese comportamiento: cada nodo averigua cuál es su dirección pública vista desde internet, la comparte a través del servidor de coordinación y ambos extremos se envían paquetes a la vez. Los dos routers ven "respuestas" a algo que sus equipos enviaron y dejan pasar el tráfico. Es la técnica conocida como hole punching, y funciona en la gran mayoría de redes domésticas y móviles.

Servidores DERP cuando no hay otra salida

Hay redes donde la conexión directa es imposible: cortafuegos corporativos muy estrictos o ciertos NAT especialmente restrictivos. Para esos casos Tailscale tiene los servidores DERP (Designated Encrypted Relay for Packets), repartidos por todo el mundo, que reenvían el tráfico sobre HTTPS.

El detalle clave es que DERP retransmite paquetes WireGuard ya cifrados. El relé ve que pasan datos entre dos equipos, igual que los ve tu operador, pero no puede descifrarlos porque no tiene las claves privadas. Además, Tailscale sigue intentando la conexión directa en segundo plano y abandona el relé en cuanto lo consigue.

¿Y con CGNAT?

Muchos operadores, sobre todo en fibra económica y en redes móviles, comparten una misma IP pública entre muchos clientes (CGNAT). Con una VPN clásica eso es un callejón sin salida, porque no puedes abrir puertos en un router que no es tuyo. Con Tailscale normalmente da igual: el hole punching suele funcionar también a través de CGNAT y, si no lo hace, DERP garantiza que la conexión exista igualmente.

Desmontando mitos

Con el funcionamiento claro, las dudas habituales se responden solas.

"Si es gratis, el producto soy yo." El negocio de Tailscale son los planes para empresas. El plan personal gratuito es generoso (en el momento de escribir esto, hasta 3 usuarios y 100 dispositivos; conviene revisar la página de precios porque las condiciones pueden cambiar) y, como hemos visto, el diseño impide que la empresa lea tu tráfico, así que no hay datos de navegación que vender.

"¿Y si un día deja de ser gratis?" Nadie puede garantizar el futuro de un servicio, pero aquí la salida está preparada: los clientes son libres y Headscale permite montar tu propio servidor de coordinación sin cambiar de aplicación.

"Mi tráfico pasa por los servidores de otro." Solo en el caso de DERP, y cifrado de extremo a extremo. En la mayoría de conexiones el tráfico va directamente de un equipo a otro.

"Será lenta." Con conexión directa, el rendimiento es el de WireGuard, uno de los protocolos de VPN más rápidos que existen. Solo cuando el tráfico pasa por DERP se nota más latencia, y ese es el último recurso, no lo normal.

Primeros pasos

Ponerlo en marcha lleva minutos. En Windows, macOS, Android o iOS basta con instalar la aplicación oficial e iniciar sesión. En Linux:

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up

Cada equipo aparece en la consola de administración, donde puedes autorizarlo, renombrarlo y definir las reglas de acceso. Tres comandos útiles para entender qué está pasando:

tailscale status              # equipos de la tailnet y su estado
tailscale ping nas            # dice si la conexión es directa o va por DERP
tailscale netcheck            # analiza tu red: tipo de NAT y relés más cercanos

Y dos funciones que multiplican su utilidad:

• Subnet router. Un equipo de casa publica toda la red local en la tailnet, para llegar a impresoras o cámaras que no pueden instalar Tailscale: sudo tailscale up --advertise-routes=192.168.1.0/24.
• Exit node. Un equipo de confianza hace de salida a internet para los demás. Desde la wifi de un hotel, todo tu tráfico viaja cifrado hasta casa y sale desde allí: sudo tailscale up --advertise-exit-node.

En ambos casos hay que aprobar la ruta o el nodo de salida en la consola, y en Linux activar el reenvío de IP.

Conclusión

Tailscale es un buen ejemplo de que la seguridad y la comodidad no tienen por qué estar reñidas. Debajo hay WireGuard, un protocolo moderno y auditado; encima, una capa de coordinación que reparte claves públicas sin tocar jamás las privadas ni el tráfico. Las conexiones son directas siempre que se puede, los relés solo ven datos cifrados y, para quien quiera control total, Tailnet Lock y Headscale cierran las últimas dudas.

Si necesitas llegar a tus equipos desde fuera sin abrir un solo puerto, es difícil encontrar una opción más potente con tan poco esfuerzo.