¿Tailscale es una VPN y qué oculta?

¿Es Tailscale una VPN? Respuesta breve

¿Es Tailscale una VPN? Técnicamente, sí. Tailscale crea túneles de WireGuard entre los dispositivos que administra, y cada paquete que atraviesa uno de esos túneles se cifra de extremo a extremo. En el sentido que suele tener esta pregunta, no. De forma predeterminada, Tailscale no oculta su dirección IP pública a los sitios web ni enruta su navegación a través del servidor de otra persona. La red wifi del hotel sigue viendo qué sitios visita. Tailscale sólo transporta tráfico entre sus propias máquinas. Para obtener el comportamiento de una VPN comercial de privacidad, debe añadir un nodo de salida. Esto cambia qué información queda oculta y frente a quién.

El resto de esta guía separa los dos significados de «VPN» y explica, para cada configuración, quién puede ver qué información. Si su pregunta real es «¿esto me ocultará?», la respuesta depende de quién quiera ocultarse. Por eso, cada configuración indica frente a qué partes le protege y frente a cuáles no.

Los dos significados de «VPN»

El término tiene dos significados, y la respuesta al título depende del que se tenga en mente.

El significado original es red privada virtual: una red privada construida sobre una red pública. La oficina de una empresa y el portátil de un trabajador remoto funcionan como si compartieran un mismo cable, aunque los paquetes atraviesen Internet. El objetivo es proporcionar conectividad y cifrado entre los miembros. En este modelo, nadie intenta ocultarse de los sitios web que visita.

El significado orientado al consumidor es un producto de privacidad. Se instala una aplicación y se elige un país. Todo el tráfico de Internet sale entonces desde el servidor del proveedor. Los sitios web ven la dirección del proveedor, y el ISP (proveedor de servicios de Internet) sólo ve un flujo cifrado hacia ese servidor. El objetivo es ocultar la IP de los sitios web y los destinos a las partes que se encuentran en la ruta local. El ISP sigue conociendo la dirección propia, porque es quien la asignó.

Tailscale es del primer tipo. Es una VPN de malla: cada dispositivo de tu tailnet (la red privada que Tailscale crea para ti) obtiene una dirección privada estable dentro del rango 100.64.0.0/10 y se comunica con los demás dispositivos mediante un túnel WireGuard, directamente cuando la red lo permite y a través de un relay cifrado cuando no. Qué es Tailscale y cómo encajan el servidor de coordinación y los relays explica esa arquitectura, por lo que esta guía no la repite. Aquí importa un hecho: de forma predeterminada, el tráfico hacia Internet público nunca entra en el túnel. Sólo entra el tráfico dirigido a otro dispositivo de tu tailnet.

Qué oculta Tailscale y de quién

La respuesta correcta es una lista de partes, no un simple sí o no. Cada entrada indica primero el comportamiento predeterminado y después qué cambia al usar un nodo de salida.

Tráfico entre sus propios dispositivos

Oculto para todos los que intervienen en el trayecto. Cuando su portátil se conecta a su VPS mediante la dirección de su tailnet, los paquetes se cifran con WireGuard de un dispositivo al otro. La wifi del hotel y su ISP ven un flujo UDP entre dos direcciones, pero nada más. Los servidores de Tailscale no tienen las claves que cifran este tráfico. Cada clave privada se genera en el dispositivo y nunca sale de él. Por eso una revisión de seguridad de Tailscale trata el servidor de coordinación como un directorio y no como un intermediario. Esta protección está activa desde el momento en que instala Tailscale. No hay nada más que configurar.

Su IP pública, tal como la ven los sitios web

No está oculta de forma predeterminada. Abra un navegador y visite cualquier sitio. La petición sale de su portátil por su interfaz de red normal, por lo que el sitio ve la IP pública de la red que esté utilizando. Tailscale no interviene en ese trayecto porque el destino no es una dirección de la tailnet. Con un nodo de salida habilitado, el sitio ve la IP pública del nodo de salida. Su propio ISP sigue conociendo su dirección en ambos casos, porque se la asignó. Lo que un nodo de salida oculta al ISP es adónde va su tráfico, no quién es usted.

Sus destinos, tal como los ven su ISP o la wifi local

No están ocultos de forma predeterminada. Su ISP, o el operador de la red de la cafetería, ve la dirección IP de cada sitio al que se conecta y, normalmente, también el nombre de host, porque el handshake de TLS (seguridad de la capa de transporte) lo envía sin cifrar. Tailscale no hace nada con este tráfico porque nunca entra en el túnel. Con un nodo de salida, la red local ve un único flujo UDP cifrado hacia el nodo de salida y nada más. La capacidad de ver sus destinos pasa de la red local a quien aloje el nodo de salida.

Desbloqueo geográfico

No de forma predeterminada y sólo parcialmente con un nodo de salida. Los servicios de streaming comprueban el país de su IP pública. Un nodo de salida en un VPS le proporciona el país del VPS, lo que puede ayudar, pero también le proporciona una IP de centro de datos. Los servicios de streaming compran listas de rangos de direcciones de centros de datos y suelen bloquearlos directamente, ya que casi nadie ve televisión desde un centro de datos. Un nodo de salida en su propia vivienda, mediante una conexión residencial, es la configuración que suele superar esas comprobaciones. Además, se ajusta al modelo de accesibilidad para el que se diseñó Tailscale.

Qué puede ver Tailscale

Metadatos, pero nunca el tráfico. El servidor de coordinación sabe qué dispositivos hay en su tailnet, sus claves públicas, sus endpoints actuales y cuándo estuvieron conectados por última vez. No ve el contenido del túnel ni los sitios web que visita. Cuando dos dispositivos no pueden conectarse directamente, un relay cifrado transporta los bytes, pero el relay no puede descifrarlos. Este es el aspecto del diseño que hace posible el plan gratuito, como se explica de nuevo más adelante.

Cómo funciona la ruta del exit node

Un exit node es un dispositivo de tu tailnet que acepta reenviar tráfico a Internet pública en nombre de los demás. Cuando lo seleccionas en tu portátil, Tailscale instala una ruta predeterminada a través del túnel. Por tanto, cada paquete que no esté dirigido a tu LAN (red de área local) pasa primero por el exit node, que lo envía a Internet usando su propia dirección. En ese momento, Tailscale se comporta como una VPN comercial, con una diferencia: el servidor del otro extremo es tuyo.

Configurar uno en un VPS Linux requiere dos pasos. En el VPS, activa el reenvío IP y anuncia el nodo. La documentación de Tailscale sobre exit nodes indica que debes ejecutar tailscale up después de pasar --advertise-exit-node a tailscale set:

echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf
sudo tailscale set --advertise-exit-node
sudo tailscale up

Después, aprueba el exit node en la consola de administración de Tailscale, porque una ruta anunciada no se utiliza hasta que un administrador la acepta. En el portátil, muestra los exit nodes que ofrece tu tailnet y selecciona uno. A continuación, comprueba qué nodo está activo:

tailscale exit-node list
sudo tailscale set --exit-node=my-vps
tailscale status

Para confirmar que la ruta está configurada, visita en el navegador un sitio que compruebe la dirección IP y compara la dirección que muestra con la IP pública del VPS. Para dejar de usar el exit node, pasa un valor vacío: sudo tailscale set --exit-node=. Si mientras el exit node está activo necesitas acceder a una impresora o a un NAS de la red local, añade --exit-node-allow-lan-access=true, porque de lo contrario la ruta predeterminada también enviará esos paquetes al exit node.

Ese es todo el mecanismo. La guía sobre cómo ejecutar un exit node de Tailscale en un VPS cubre el firewall, la cuota de ancho de banda del proveedor, el comportamiento de DNS y las causas de una posible reducción del rendimiento. Consúltala como punto de partida cuando vayas a configurarlo realmente.

Por qué Tailscale es gratuito y qué indica esto

El plan personal de Tailscale es gratuito, y sus límites son reales, no los de una prueba: el plan gratuito cubre varios usuarios y muchos más dispositivos de los que necesita un hogar. Puede ser gratuito por la misma razón por la que no es un servicio de privacidad. Una VPN comercial de privacidad paga los servidores que transportan todo su tráfico, por lo que cada usuario genera costes diarios de ancho de banda para el proveedor. Tailscale transporta muy poco de su tráfico. Las conexiones directas van de dispositivo a dispositivo, y los relays sólo transportan paquetes cifrados cuando falla la ruta directa. El coste de Tailscale por usuario personal es casi nulo, y sus ingresos proceden de equipos que pagan por funciones de control de acceso y auditoría.

Esto tiene una consecuencia para usted. No hay una multitud de usuarios que compartan con usted una dirección de salida ni una empresa que prometa no registrar su navegación, porque Tailscale nunca ve su navegación. Si quiere que el tráfico de salida proceda de un lugar distinto de sus propios equipos, Tailscale ofrece acceso a los servidores de Mullvad como complemento de pago (a fecha de octubre de 2026), lo que convierte el producto en una solución híbrida: Tailscale para la malla y Mullvad para la salida. Esta es la única configuración en la que Tailscale se parece a una VPN para consumidores sin que usted tenga que ejecutar la salida por su cuenta.

Modelos de amenazas: contra qué protege cada configuración

Un modelo de amenazas es una descripción clara de quién debe quedar fuera de tu actividad y qué puede ver. Cada configuración siguiente protege contra algunas partes, pero no contra otras. Elige la que corresponda a tu preocupación real, no la que parezca más privada.

Tailnet simple, sin exit node

Protege contra: cualquiera que esté en el trayecto de red entre tus dispositivos y que intente leer o modificar el tráfico entre ellos. En la wifi de un hotel, conectarte por SSH a tu VPS mediante su dirección de tailnet es seguro frente a la persona de la mesa de al lado, aunque la wifi esté abierta. Además, puedes cerrar por completo el puerto 22 en el firewall público del VPS.

No protege contra: nada relacionado con tu navegación normal. Los sitios web ven tu IP real, y tanto el hotel como tu ISP ven tus destinos. Esta configuración no ofrece ninguna garantía de privacidad en Internet público, y no debes tratarla como si la ofreciera.

Exit node en tu propio VPS

Protege contra: que la red local y tu ISP conozcan tus destinos. Solo ven un flujo de WireGuard hacia una única dirección del VPS. Los sitios web ven la IP del VPS en lugar de la del hotel.

No protege contra: el proveedor del VPS. El tráfico sale del exit node con la misma forma con la que entró, por lo que el proveedor puede ver todas las direcciones y nombres de host de destino, y leer todo lo que se envíe sin TLS. Además, el VPS está vinculado contigo mediante un registro de pago, por lo que no ofrece anonimato: una IP de salida utilizada por una sola persona identifica a esa persona. Una dirección de centro de datos es fácil de clasificar, por lo que los servicios de streaming y algunos bancos la tratan con sospecha. El rendimiento está limitado por el ancho de banda incluido en el VPS y por si el túnel utiliza una conexión directa o un relay, como explica la diferencia entre una conexión directa y una conexión Tailscale mediante relay.

Exit node en casa

Protege contra: la misma exposición ante la red local y el ISP que en el caso del VPS, pero con una IP residencial que supera las comprobaciones que suelen hacer fallar a los rangos de centros de datos. Es útil cuando viajas y quieres que tu tráfico salga desde casa.

No protege contra: tu ISP doméstico, que ahora también ve todo el tráfico que generas mientras viajas. La velocidad de subida de tu conexión doméstica suele ser el cuello de botella, porque cada byte que descargas en el extranjero primero debe ser enviado por tu conexión de casa.

Salida mediante Mullvad o una VPN comercial

Protege contra: la misma exposición ante la red local y el ISP que en el caso del VPS, además de la relación entre la IP de salida y tu nombre, porque miles de clientes comparten esa dirección de salida. Este es el modelo de amenazas para el que se diseña una VPN comercial de privacidad.

No protege contra: el proveedor de VPN, que está en la misma posición que ocupaba el proveedor de tu VPS. Confías en su política de registros en lugar de confiar en tu propio servidor. Tampoco protege contra el propio sitio web, que aún puede identificarte mediante cookies y tu inicio de sesión.

Cuando ninguna de estas opciones es suficiente

Si la parte de la que intentas ocultarte es el propio sitio web, o una parte que puede obligar al operador de salida a entregar sus registros, ninguna configuración de VPN sirve. Ese es el modelo de amenazas para el que se diseñó Tor: ningún relay individual conoce a la vez quién eres y adónde te diriges. La comparación entre Tor y una VPN delimita esa diferencia y es la lectura siguiente adecuada si «ocultar mi IP» en realidad significaba «mantener el anonimato».

¿Cuándo es Tailscale la herramienta adecuada?

Use Tailscale cuando el problema sea acceder a sus propias máquinas: un NAS detrás de un router doméstico, un VPS que preferiría no exponer a Internet, una Raspberry Pi en casa de un familiar o un equipo de desarrollo al que se conecta por SSH desde cualquier lugar. Para ese caso, supera a un servidor VPN clásico porque no es necesario abrir ningún puerto ni ejecutar un servidor central, y las diferencias frente a WireGuard sin intermediarios se reducen principalmente a si quiere administrar las claves manualmente. Añada un nodo de salida en un VPS si también necesita una IP de salida fija o debe atravesar una red local hostil. Compre una VPN comercial de privacidad o use Tor si le preocupa que puedan identificarle, porque Tailscale no se diseñó para resolver ese problema.

FAQ

¿Tailscale oculta mi dirección IP?

No de forma predeterminada. Tailscale sólo transporta tráfico entre dispositivos de tu propia tailnet. Un sitio web que visitas en el navegador ve la IP pública de la red que usas, exactamente igual que sin Tailscale. Para cambiarlo, habilita un nodo de salida. Los sitios web verán entonces la IP pública del nodo de salida, que será la dirección de tu VPS o de tu conexión doméstica, según dónde se ejecute el nodo de salida. Tu ISP sigue conociendo tu IP porque te la asignó; el nodo de salida sólo oculta al ISP qué sitios visitas.

¿Puedo usar Tailscale en lugar de una VPN en la wifi de un hotel?

Para acceder a tus propios equipos, sí. El túnel entre tu portátil y tu VPS o servidor doméstico está cifrado de extremo a extremo, por lo que la red del hotel no puede leerlo. Para la navegación general, sólo si habilitas un nodo de salida. Sin uno, la red del hotel ve todos los sitios que visitas, igual que si Tailscale no estuviera instalado.

¿Funciona Tailscale para ver Netflix desde otro país?

Por lo general, no con un nodo de salida en un VPS. El nodo de salida te proporciona la ubicación del país del VPS, pero la dirección pertenece a un rango de un centro de datos, y los servicios de streaming bloquean esos rangos deliberadamente. Un nodo de salida en una conexión doméstica del país de destino tiene una IP residencial y normalmente funciona. Tailscale no opera servidores de salida propios para este fin; la única lista de países del cliente corresponde al conjunto de nodos de salida de Mullvad incluido con el complemento de pago.

¿Tailscale ve mi tráfico?

No. Las claves que cifran tu tráfico se generan en cada dispositivo y nunca salen de él. El servidor de coordinación de Tailscale distribuye claves públicas y endpoints, y sus relés reenvían paquetes cifrados cuando falla una conexión directa, pero ninguno puede descifrar lo que circula por ellos. Tailscale sí conserva metadatos: qué dispositivos están en tu tailnet y cuándo estuvieron conectados.

¿Tailscale sustituye a NordVPN o Mullvad?

No. Una VPN comercial de privacidad enruta todo tu tráfico a través de servidores compartidos con miles de clientes, por lo que tu IP de salida no está vinculada contigo. Tailscale enruta el tráfico entre tus propios dispositivos y, incluso con un nodo de salida, la salida es una máquina que pagas y que está vinculada contigo. Los dos productos resuelven problemas distintos. Tailscale vende nodos de salida de Mullvad como complemento para quienes quieren ambas funciones desde un solo cliente.