NetBird o Tailscale: que VPN de malla elegir

NetBird frente a Tailscale: respuesta breve

NetBird frente a Tailscale es una elección relacionada con el plano de control, porque ambas VPN de malla transportan los paquetes mediante WireGuard. Tailscale ejecuta su servidor de coordinación por usted, y ese servidor es de código cerrado. NetBird ofrece el mismo tipo de servicio alojado. También publica su servidor de gestión con una licencia abierta, por lo que puede ejecutar todo el sistema en un único VPS. Elija Tailscale si nadie de su equipo debe administrar un servidor. Elija NetBird si el propio plano de control debe ejecutarse en hardware que usted controle.

Si todavía compara más de dos herramientas, empiece por la lista más amplia de alternativas a Tailscale. Las secciones siguientes comparan directamente estas dos herramientas en los cuatro aspectos en los que realmente difieren.

Qué tienen en común: WireGuard por debajo

Una VPN de malla (red privada virtual) conecta cada dispositivo directamente con todos los demás. El tráfico no pasa por una puerta de enlace central. Ambas herramientas asignan a cada dispositivo un par de claves de WireGuard. La clave privada se crea en el dispositivo y nunca sale de él. Después, ambas intentan crear un túnel directo entre dos pares. Sólo usan un relay cuando falla la ruta directa.

Esto significa que el cifrado en la red usa el mismo protocolo en ambos productos. Un relay de cualquiera de los dos sistemas reenvía paquetes de WireGuard que no puede descifrar, porque nunca contiene una clave privada. Para conocer la configuración de referencia sin ningún plano de control, consulte qué añade Tailscale sobre WireGuard sin configuración adicional.

Hay una diferencia en la ruta de datos. Tailscale ejecuta WireGuard en el espacio de usuario mediante wireguard-go. El README de NetBird indica que usa WireGuard del kernel en Linux. No elija una opción basándose sólo en esto. Ejecute iperf3 a través del túnel en su propio VPS. El límite suele deberse primero a la CPU, al límite de ancho de banda o a la ruta de red entre los pares.

¿Quién ejecuta el plano de control?

El plano de control es el servidor que conoce la clave pública y la dirección del túnel de cada dispositivo. Indica a cada dispositivo qué pares existen y a cuáles puede acceder. No transporta el tráfico.

Tailscale. El servidor de coordinación es de código cerrado. Sólo se ejecuta como servicio alojado de Tailscale. Los clientes son de código abierto: el daemon principal de cada plataforma, además de los clientes completos para Linux y Android. Las aplicaciones gráficas para Windows y macOS son de código cerrado. El código de DERP, el servidor de retransmisión de Tailscale, es abierto. Si necesita un plano de control compatible con Tailscale en su propio servidor, la opción es Headscale. Tailscale lo describe como un proyecto independiente mantenido por la comunidad y que no dirige. La configuración se explica en ejecutar Headscale como servidor de control de Tailscale autohospedado.

NetBird. Hay una nube alojada en app.netbird.io, y el mismo código está disponible en GitHub para que lo ejecute. En octubre de 2026, el archivo README del repositorio indica claramente las licencias. El cliente y la mayor parte del repositorio usan BSD-3-Clause. Los directorios management/, signal/ y relay/ usan AGPLv3 (GNU Affero General Public License, versión 3). La AGPL añade una condición. Si modifica esos servidores y permite que otras personas los utilicen a través de una red, debe ofrecerles el código fuente modificado.

El lado del servidor de NetBird tiene tres partes. El servicio de management almacena el estado de la red: claves de los pares, asignación de direcciones IP, control de acceso y configuración de DNS. El servicio de signal ayuda a dos pares a intercambiar candidatos de conexión. Esos mensajes están cifrados entre los pares, por lo que signal no puede leerlos. El servicio de relay transporta el tráfico cuando no existe una ruta directa.

¿Cómo se escriben las reglas de acceso en cada uno?

Ambos productos inician una red nueva con una regla que permite todo el tráfico. Todos los dispositivos pueden comunicarse con los demás hasta que cambie esta configuración. Sustituya esa regla antes de añadir un servidor que almacene información importante.

Tailscale: un archivo de políticas

Tailscale mantiene todas las reglas de acceso en el archivo de políticas de tailnet. Usa HuJSON (JSON para personas), un formato JSON que también permite comentarios y comas finales. Puede editarlo en la consola de administración o enviarlo mediante la API. Las reglas actuales se escriben como grants. Este archivo permite que un grupo acceda a servidores de producción etiquetados únicamente mediante SSH y HTTPS. También incluye una prueba:

{
  "groups": {
    "group:engineering": ["alice@example.com", "bob@example.com"]
  },
  "tagOwners": {
    "tag:production": ["group:engineering"]
  },
  "grants": [
    {
      "src": ["group:engineering"],
      "dst": ["tag:production"],
      "ip": ["tcp:22", "tcp:443"]
    }
  ],
  "tests": [
    {
      "src": "alice@example.com",
      "accept": ["tag:production:22"]
    }
  ]
}

La sección tests es importante. Sus aserciones se ejecutan como comprobaciones cada vez que cambia el archivo de políticas, por lo que un cambio incorrecto se detecta antes de aplicarlo. La política predeterminada de un tailnet nuevo es una única entrada acls con "src": ["*"] y "dst": ["*:*"]. Omitir por completo el campo acls también significa permitir todo. Elimine esa entrada cuando haya definido sus permisos. En octubre de 2026, el plan Personal gratuito permite 3 grupos de ACL.

NetBird: grupos y políticas en el panel

NetBird crea el control de acceso mediante grupos y políticas. Un grupo es un conjunto de peers. Puede añadir peers a un grupo manualmente, mediante los grupos asociados a una setup key o desde los grupos de usuarios de su proveedor de identidad. Una política especifica un grupo de origen y un grupo de destino. Puede ser unidireccional o bidireccional. También puede limitar el protocolo y los puertos, con rangos escritos como 8000-9000. Una política también puede incluir comprobaciones de postura. Una comprobación de postura es una condición que un peer debe cumplir antes de permitir la conexión.

Todo esto se configura en el panel. Una cuenta nueva incluye una política llamada Default que permite que todos los peers se comuniquen entre sí. Añada primero sus propias políticas y después desactive Default. Si quiere definir las reglas como texto, NetBird tiene una API REST pública. También ofrece un proveedor oficial de Terraform (netbirdio/netbird) compatible con NetBird Cloud y con un servidor de gestión autohospedado. La documentación de control de acceso de NetBird no describe aserciones de prueba integradas equivalentes a la sección tests de Tailscale. Con Terraform, revise en su lugar la salida del plan.

¿Cómo se retransmite el tráfico cuando no existe una ruta directa?

Ambas herramientas intentan establecer primero una conexión directa. Usan STUN (utilidades de recorrido de sesiones para NAT) para conocer la dirección pública de cada par. Después intentan abrir una ruta a través del NAT (traducción de direcciones de red) en ambos extremos. Los firewalls estrictos y algunas redes móviles bloquean este proceso, por lo que ambas herramientas necesitan una alternativa.

Tailscale recurre a servidores DERP (retransmisión cifrada designada para paquetes). Tailscale los ejecuta en muchas regiones y transportan el tráfico mediante HTTPS. No tienen ningún coste adicional. Tailscale también admite retransmisiones entre pares. Una retransmisión entre pares utiliza uno de sus propios dispositivos como relay, y Tailscale lo intenta antes que DERP. La documentación de Tailscale presenta las retransmisiones entre pares como la opción adecuada cuando necesita menos latencia y mayor rendimiento que el que ofrece DERP. Las retransmisiones entre pares estuvieron disponibles de forma general el 18 de febrero de 2026, en todos los planes, incluido el gratuito. Puede activar una mediante un puerto UDP de su elección y permitirla con una concesión en el archivo de políticas:

sudo tailscale set --relay-server-port=40000

Para ver qué ruta usa una conexión, ejecute tailscale ping contra un par. Una respuesta que indique via DERP(fra) significa que la conexión usa una retransmisión. Una respuesta que muestre una dirección IP y un puerto indica una conexión directa. Si una conexión sigue usando una retransmisión, por qué un enlace Tailscale retransmitido es lento y cómo obtener una conexión directa explica las causas.

NetBird retransmitía el tráfico mediante el servidor TURN coturn en versiones anteriores. La versión 0.29.0 introdujo NetBird Relay, que desde entonces sustituyó a coturn para las conexiones retransmitidas. El relay acepta conexiones WebSocket en la ruta /relay o QUIC en el puerto UDP 33080. La documentación actual también traslada STUN al servicio de relay. En NetBird Cloud, NetBird ejecuta los relays. En un servidor autohospedado, usted ejecuta el relay. Cada byte retransmitido cuenta para el ancho de banda de su VPS, y cada ruta retransmitida pasa por la ubicación de ese VPS. Compruebe la ruta de cada par con:

netbird status -d

Cada par muestra un tipo de conexión P2P (directa) o Relayed.

¿Qué implica alojar NetBird en un único VPS?

La guía oficial de inicio rápido configura todo el lado del servidor con un solo script. En octubre de 2026 requiere una máquina Linux con al menos 1 CPU y 2 GB de memoria. También necesita un nombre de dominio público que resuelva a la VPS, además de Docker con el complemento compose, jq y curl. Abra TCP 80, TCP 443 y UDP 3478 en el firewall de la VPS. Ábralos también en el firewall de red del proveedor, que es un control independiente en la mayoría de los paneles.

export NETBIRD_DOMAIN=netbird.example.com; curl -fsSL https://github.com/netbirdio/netbird/releases/latest/download/getting-started.sh | bash

El script implementa cuatro tipos de servicio:

• Traefik como reverse proxy, con certificados TLS (seguridad de la capa de transporte) de Let's Encrypt.
• Un servidor Dex integrado como proveedor de identidad, para crear usuarios en el panel sin un sistema de inicio de sesión externo.
• Los servicios de gestión, señalización y relay descritos arriba.
• Extras opcionales: el servicio NetBird Proxy y el filtrado de reputación de IP de CrowdSec.

Ahora usted debe administrar cada componente. El proveedor de identidad decide quién puede iniciar sesión y añadir dispositivos. Dex es suficiente para un equipo pequeño. Más adelante puede conectar un proveedor externo de inicio de sesión único, como un servidor SSO de Authentik autohospedado. TLS depende del orden de las operaciones. Let's Encrypt valida el dominio conectándose a esta VPS, por lo que debe crear el registro DNS y abrir los puertos antes de ejecutar el script. Si el dominio todavía no resuelve a la VPS, la validación falla y no se emite ningún certificado. Las copias de seguridad y las actualizaciones también son responsabilidad suya. La instalación completa, con una comprobación después de cada paso, está en la guía para autohospedar un servidor VPN de NetBird.

Registrar un servidor Linux en cada servicio

Unirse a una malla requiere acceso de red saliente al plano de control, por lo que debe ejecutar estos comandos en su propio equipo. Un servidor no tiene navegador, así que ambas herramientas usan una clave que se crea previamente en lugar de un inicio de sesión interactivo.

Tailscale, con una clave de autenticación de la consola de administración:

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up --auth-key=YOUR_AUTH_KEY
tailscale status

tailscale status debería mostrar este equipo con una dirección 100.x.y.z, además de los demás dispositivos de su tailnet. Una clave de autenticación sin fecha de caducidad configurada caduca después de 90 days, que es el máximo. Un servidor que ya se ha registrado permanece registrado. Un script que registra servidores nuevos necesita una clave nueva.

NetBird, con una clave de configuración del dashboard:

curl -fsSL https://pkgs.netbird.io/install.sh | sh
netbird up --setup-key YOUR_SETUP_KEY
netbird status

En un servidor autohospedado, añada --management-url https://netbird.example.com a la línea netbird up. Sin este valor, el cliente se conecta a NetBird Cloud, que no conoce una clave de configuración creada en su propio servidor. netbird status debería indicar que los servicios de administración y señalización están conectados.

Planes gratuitos y precios, a fecha de octubre de 2026

Estas cifras proceden de las dos páginas de precios consultadas el 2 de octubre de 2026. Pueden cambiar, así que vuelva a comprobarlas antes de comprometerse.

Tailscale Personal es gratuito para un máximo de 6 usuarios con dispositivos de usuario ilimitados. Incluye 50 recursos etiquetados (servidores que pertenecen a una etiqueta en lugar de a una persona) y 3 grupos de ACL. Los planes de pago son Standard, a $8 por usuario al mes, y Premium, a $18. Enterprise tiene un precio bajo solicitud. El desglose de lo que paga realmente un hogar o un equipo pequeño por Tailscale cubre los casos especiales.

NetBird Cloud es gratuito para un máximo de 5 usuarios y 100 máquinas. Team cuesta €6 por usuario al mes y Business cuesta €12. Enterprise tiene un precio bajo solicitud. Los planes de pago incluyen 100 máquinas más 10 por usuario, y cada máquina adicional cuesta €0.50 al mes. Self-hosted NetBird no tiene cuota de licencia. Debe pagar el VPS y el tiempo necesario para administrarlo.

Elija Tailscale si...

• Nadie de su equipo quiere ejecutar, actualizar ni hacer copias de seguridad de un servidor de control.
• Quiere definir las reglas de acceso en un único archivo de texto y disponer de pruebas que detecten un cambio incorrecto antes de aplicarlo.
• Sus usuarios viajan y se conectan desde redes de hoteles y móviles. En esos casos, los servidores DERP de Tailscale distribuidos en muchas regiones proporcionan una alternativa cercana sin configuración adicional.
• Su grupo encaja en el plan gratuito para 6 usuarios o el precio por usuario es aceptable.

Elija NetBird si...

• El plano de control debe ejecutarse en infraestructura propia mediante el proyecto oficial, no mediante una reimplementación independiente.
• Necesita más de 6 personas en una red autohospedada sin tarifas por usuario.
• Su equipo prefiere administrar grupos y políticas desde un panel, o ya usa Terraform para el resto de la infraestructura.
• Quiere empezar con NetBird Cloud y conservar la opción de migrar a su propio servidor con el mismo cliente.

Qué le falta a cada lado

Todos los elementos de esta sección proceden de la documentación o la página de precios del propio proveedor, según la comprobación realizada el 2 de octubre de 2026.

A Tailscale le falta:

• Un servidor de control oficial autohospedado. El servidor de coordinación es de código cerrado, y Headscale es un proyecto comunitario independiente.
• Clientes gráficos de código abierto para Windows y macOS. El daemon subyacente es abierto, pero las aplicaciones no.

A NetBird le falta:

• Comprobaciones integradas para validar las políticas de acceso. Su documentación sobre control de acceso no describe ninguna, por lo que la revisión de las políticas depende de usted o de los planes de Terraform.
• Si lo autohospeda, relays gestionados por otra entidad. El relay se ejecuta en su VPS. Un peer alejado de ese VPS seguirá una ruta retransmitida larga, y usted pagará por el ancho de banda.

Ambos empiezan con una política que permite todo, por lo que una red nueva queda completamente abierta hasta que se escriben las reglas. Para consultar el modelo de amenazas completo del lado alojado, vea qué puede ver y qué no puede ver un plano de control alojado.

FAQ

¿NetBird es completamente de código abierto?

Sí, pero utiliza dos licencias. En octubre de 2026, el README de NetBird indica que el cliente y la mayor parte del repositorio utilizan la licencia BSD-3-Clause. Los directorios management/, signal/ y relay/ utilizan AGPLv3. Si modifica esos componentes del servidor y permite que otras personas los usen a través de una red, la AGPL le obliga a ofrecerles el código fuente modificado.

¿Puedo alojar mi propio servidor de control de Tailscale como el de NetBird?

No. El servidor de coordinación de Tailscale es de código cerrado y sólo funciona como servicio alojado. La alternativa habitual para alojarlo por cuenta propia es Headscale, un servidor de coordinación independiente y de código abierto que funciona con los clientes oficiales de Tailscale. Tailscale emplea al responsable principal de Headscale, pero afirma que no dirige el proyecto.

¿El relay puede leer mi tráfico en NetBird o Tailscale?

No. En ambos productos, la clave privada de WireGuard se crea en el dispositivo y nunca sale de él. Un servidor Tailscale DERP, un relay entre pares de Tailscale y un relay de NetBird sólo reenvían paquetes WireGuard cifrados. El relay sí puede ver con qué pares se conecta y cuántos datos pasan entre ellos.

¿Qué VPS necesito para alojar NetBird por cuenta propia?

En octubre de 2026, la guía oficial de inicio rápido requiere al menos 1 CPU y 2 GB de memoria. También necesita un dominio público que resuelva hacia el VPS, Docker con el complemento compose y los puertos TCP 80, TCP 443 y UDP 3478 abiertos. Planifique también el ancho de banda para el tráfico reenviado. En un servidor autohospedado, cada conexión reenviada pasa por su VPS.

¿Cuál tiene el plan gratuito más amplio?

En octubre de 2026, Tailscale Personal permite hasta 6 usuarios con un número ilimitado de dispositivos por usuario. El plan gratuito NetBird Cloud permite hasta 5 usuarios y 100 máquinas. Un servidor NetBird autohospedado no tiene límite de usuarios ni cuota de licencia, pero debe pagar el VPS y administrarlo por su cuenta.