WireGuard vs Tailscale vs Headscale: Pilih yang Tepat

WireGuard vs Tailscale: jawaban singkat

WireGuard vs Tailscale bukan pilihan antara dua protokol, karena Tailscale adalah WireGuard. Tailscale menggunakan enkripsi dan tunnel yang sama, lalu menambahkan control plane: server koordinasi yang bertukar kunci publik, membagikan alamat, membuat lubang melalui NAT (network address translation), dan menerapkan kebijakan akses. Anda memilih seberapa banyak koordinasi tersebut yang ingin dikelola sendiri.

Ada tiga jawaban yang tepat. Gunakan WireGuard biasa jika Anda memiliki satu server dan beberapa client yang semuanya terhubung ke server tersebut. Gunakan Tailscale jika Anda ingin setiap mesin dapat menjangkau mesin lainnya tanpa perlu memelihara file konfigurasi. Gunakan Headscale jika Anda menginginkan mesh tersebut, tetapi tidak ingin pihak ketiga menyimpan daftar node.

Manfaat nyata control plane

WireGuard biasa tidak memiliki discovery. Setiap peer berupa blok teks yang Anda tulis secara manual: public key, baris AllowedIPs, dan Endpoint jika peer tersebut dapat dijangkau. Menambahkan satu mesin ke jaringan yang memiliki sepuluh mesin berarti mengedit sepuluh file konfigurasi, karena setiap sisi memerlukan key milik sisi lainnya. Karena itu, hampir semua setup WireGuard yang di-host sendiri menggunakan model hub-and-spoke: satu server dengan IP publik, dan klien yang hanya berkomunikasi dengannya.

Control plane menghilangkan kebutuhan untuk mengedit konfigurasi tersebut. Setiap node mendaftar satu kali, menerima alamat dari rentang 100.64.0.0/10 CGNAT (carrier grade NAT), lalu menerima public key dari node yang boleh dijangkaunya. Tunnel tetap berupa koneksi WireGuard langsung antara dua peer, dan trafik Anda tidak pernah melewati server koordinasi. Server tersebut hanya membawa metadata: node yang tersedia, key milik setiap node, serta node yang boleh berkomunikasi satu sama lain.

Tiga manfaat konkret dihasilkan dari pendekatan ini.

NAT traversal. Dua laptop di balik dua router rumah tidak memiliki IP publik yang menghubungkan keduanya. Tailscale menggunakan STUN (session traversal utilities for NAT) untuk menemukan alamat dan port eksternal masing-masing sisi, lalu kedua sisi mengirim paket pada saat yang sama agar setiap router terlebih dahulu melihat aliran keluar dan menerima balasannya. Jika cara tersebut gagal, trafik beralih ke relay DERP, yaitu relay terenkripsi yang dijalankan oleh Tailscale. Data Anda tetap terenkripsi secara end-to-end melalui relay tersebut karena relay tidak pernah menyimpan key. Jalankan tailscale status; setiap baris peer akan menyatakan direct atau relay. Jalankan tailscale netcheck untuk melihat relay terdekat dan mengetahui apakah jaringan Anda mengizinkan UDP sama sekali.

Rotasi key dengan masa berlaku. Key WireGuard tidak pernah kedaluwarsa. Key yang Anda terbitkan tiga tahun lalu akan tetap berfungsi selamanya, kecuali Anda menghapus blok peer tersebut secara manual. Sebaliknya, Tailscale menetapkan masa berlaku pada key node. Per Juli 2026, masa berlaku default pada tailnet baru adalah 180 hari. Mesin yang tidak melakukan autentikasi ulang akan berhenti terhubung. Anda dapat menonaktifkan masa berlaku per perangkat untuk server atau subnet router yang tidak akan memiliki pengguna untuk melakukan login.

Kebijakan, bukan routing. Pada WireGuard biasa, AllowedIPs berfungsi sebagai routing table sekaligus access control list. Karena itu, aturan "alice boleh mengakses database" harus dinyatakan sebagai rentang IP. Tailscale menyimpan file kebijakan terpisah yang aturan-aturannya menyebut pengguna, grup, dan tag. Sebuah aturan dapat menyatakan bahwa tag:laptop boleh mengakses tag:db pada port 5432 dan tidak boleh mengakses apa pun selain itu. Aturan tersebut tetap berlaku meskipun mesin mendapatkan alamat baru.

Biaya control plane yang harus Anda tanggung

Server koordinasi mengetahui jaringan Anda. Server ini menyimpan public key setiap node, nama setiap node, alamat yang dibagikan, dan kebijakan jaringan. Dengan Tailscale yang di-host, server tersebut dikelola oleh perusahaan di luar kendali Anda. Perusahaan itu tidak dapat membaca paket Anda karena private key WireGuard tetap berada di mesin Anda. Namun, perusahaan tersebut dapat melihat bentuk jaringan Anda, dan kemampuan Anda untuk terhubung bergantung pada ketersediaan layanan mereka serta status akun Anda yang tetap baik. Seberapa penting hal ini bergantung pada apa yang sebenarnya dapat dilakukan oleh server koordinasi yang telah dibobol atau akun identitas yang dicuri menggunakan data yang dimilikinya. Karena itu, model kepercayaan Tailscale layak dibaca secara lengkap.

Ada biaya kedua yang mudah terlewatkan. Tailscale berjalan sebagai daemon di setiap mesin. Artinya, Anda harus terus memperbarui software ini di setiap mesin. WireGuard biasa pada Ubuntu 24.04 adalah modul kernel yang disertakan dalam distribusi dan diperbarui bersama kernel.

Biaya ketiga adalah penagihan. Per Juli 2026, paket Personal gratis dengan perangkat tak terbatas untuk hingga 6 pengguna, Standard seharga $8 per pengguna per bulan, dan Premium seharga $18 per pengguna per bulan. Satu rumah tangga tetap gratis. Tim yang terdiri dari sepuluh orang tidak lagi gratis. Apakah Anda melewati batas tersebut bergantung pada jumlah pengguna, bukan jumlah perangkat. Karena itu, cakupan sebenarnya dari paket gratis perlu dibaca sebelum Anda mengundang pengguna ketujuh.

Kapan WireGuard biasa merupakan pilihan yang tepat

Pilih WireGuard biasa jika topologinya benar-benar hub-and-spoke. Gunakan satu VPS dengan IP publik, tiga atau empat perangkat yang terhubung ke VPS tersebut, dan tidak ada kebutuhan agar perangkat-perangkat itu saling terhubung. Konfigurasinya cukup ditulis dalam satu layar. Tidak ada daemon yang harus diperbarui, tidak ada akun yang dapat hilang, dan tidak ada layanan eksternal yang berada di antara Anda dan server.

WireGuard biasa juga merupakan pilihan yang tepat jika Anda ingin memahami lapisan dasar yang digunakan oleh semua solusi lain. Menyiapkan VPN WireGuard yang di-host sendiri pada VPS membahas pembuatan key, wg0.conf, IP forwarding, NAT, dan kegagalan handshake. Semua mekanisme tersebut tetap berjalan di balik sebuah tailnet. Jika Anda masih mempertimbangkan opsi yang lebih lama, WireGuard vs OpenVPN membahas empat kondisi ketika OpenVPN masih memiliki keunggulan.

Proses instalasinya singkat:

sudo apt update && sudo apt install -y wireguard
sudo modprobe wireguard && echo ok

WireGuard biasa mulai tidak praktis ketika setiap perangkat harus dapat terhubung ke semua perangkat lain. Full mesh yang terdiri atas N node memerlukan N dikali N dikurangi satu blok peer. Pada enam perangkat, terdapat tiga puluh blok yang harus disinkronkan secara manual. Entri AllowedIPs yang terduplikasi dapat diam-diam mengambil alih trafik dari peer yang lebih dahulu memilikinya, tanpa menampilkan error apa pun.

Kapan Tailscale merupakan pilihan yang tepat

Pilih Tailscale ketika mesin sering berpindah jaringan. Misalnya, laptop pada jaringan hotel, ponsel yang menggunakan data seluler, atau server rumahan di belakang router yang tidak Anda kendalikan. Kasus-kasus tersebut sulit ditangani oleh WireGuard biasa karena tidak ada pihak yang memiliki endpoint publik stabil untuk ditempatkan di Endpoint.

Instal client menggunakan satu perintah dari installer resmi:

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up
tailscale status

tailscale up menampilkan URL. Buka URL tersebut, login, lalu mesin bergabung ke jaringan. Anda tidak perlu menyalin key atau membuka port inbound karena daemon membuat koneksi outbound ke coordination server dan mempertahankannya tetap terbuka. Karena itu, node Tailscale juga dapat berfungsi pada jaringan yang firewall-nya sama sekali tidak Anda kendalikan.

Setelah itu, dua pengaturan menangani sebagian besar kebutuhan. Subnet router mengiklankan seluruh LAN ke dalam jaringan sehingga Anda tidak perlu menginstal client pada setiap perangkat:

echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf
sudo tailscale set --advertise-routes=192.0.2.0/24

Route tetap tidak aktif sampai Anda menyetujuinya di admin console. Hal ini memang disengaja: node tidak dapat memasukkan route ke jaringan Anda tanpa persetujuan. Client Linux juga memerlukan sudo tailscale set --accept-routes karena Linux tidak menerima advertised route secara default. Jadi, route yang terlihat telah disetujui di sisi server tetap tidak berfungsi pada laptop Linux sampai Anda mengatur opsi tersebut. Jika itu konfigurasi yang Anda inginkan, menjalankan subnet router pada VPS menjelaskan langkah persetujuan dan pengaturan forwarding dalam urutan yang mencegah route tidak berfungsi sebagian.

Exit node mengirimkan seluruh trafik client melalui satu mesin. Inilah perilaku full tunnel yang biasanya dimaksud orang ketika menyebut "VPN":

sudo tailscale set --advertise-exit-node

Flag tersebut adalah bagian yang mudah. mengubah VPS menjadi exit node menjelaskan langkah berikutnya: menyetujui route di admin console, lalu memperbaiki perilaku DNS dan IPv6 yang jika tidak diatur dapat menyebabkan trafik keluar melalui jalur yang salah. Jika yang ingin Anda akses hanya satu web service, bukan seluruh jaringan, serve dan funnel menempatkan HTTPS di depan satu port lokal. Layanan tersebut dapat dibatasi hanya untuk tailnet atau dibuka ke Internet publik.

Kapan Headscale merupakan pilihan yang tepat

Headscale adalah implementasi open source dari coordination server dan berjalan pada VPS milik Anda. Tailscale client resmi diarahkan ke server tersebut, bukan ke layanan hosted:

sudo tailscale up --login-server https://headscale.example.com

Seluruh data path tetap sama. Teknologi yang digunakan tetap WireGuard, dan koneksi antar-peer tetap berlangsung secara langsung jika jaringan mengizinkannya. Perbedaannya, daftar node, key, dan policy disimpan dalam file SQLite pada disk milik Anda. Pihak eksternal tidak dapat melihat bentuk jaringan Anda, menonaktifkan akun Anda, atau menagih biaya berdasarkan jumlah user.

Konsekuensinya adalah pekerjaan operasional tambahan. Anda kini menjalankan public HTTPS service, yang memerlukan nama DNS, sertifikat, dan reverse proxy yang meneruskan WebSocket upgrade dengan benar. Anda bertanggung jawab atas uptime-nya. Jika coordination server tidak tersedia, node baru tidak dapat melakukan registrasi dan node yang sudah ada tidak dapat mengetahui perubahan. Headscale juga masih di bawah versi 1.0, dan rilis minor-nya dapat membawa perubahan yang tidak kompatibel. Karena itu, baca changelog sebelum setiap upgrade. Menjalankan Headscale sebagai control server Tailscale milik sendiri membahas instalasi, config.yaml, preauth key, dan port yang perlu dibuka.

Ada satu hal yang sering baru diketahui setelah terlambat. Headscale tidak menyediakan global relay network milik Tailscale. Jika dua peer tidak dapat terhubung secara langsung, Anda harus mengaktifkan embedded relay pada server sendiri atau mengarahkan konfigurasi ke relay lain. Relay tersebut merupakan satu server di satu region, bukan fleet global. Peer yang berada di sisi lain planet akan merasakan perbedaannya. Jika Anda tidak ingin merakit komponen tersebut sendiri, self-hosting NetBird adalah pilihan lain untuk mempertahankan control plane di lingkungan Anda, karena quickstart-nya menjalankan management, signal, dan relay service secara bersamaan pada satu VPS.

Cara menentukan pilihan dalam satu langkah

Tanyakan berapa banyak mesin yang harus saling terhubung. Jika jawabannya adalah semua mesin hanya berkomunikasi dengan server, WireGuard biasa membutuhkan lebih sedikit perangkat lunak untuk memperoleh hasil yang sama.

Tanyakan apakah mesin-mesin tersebut memiliki alamat publik yang stabil. Jika sebagian besar berada di balik NAT yang tidak Anda kendalikan, Anda memerlukan control plane karena hole punching merupakan bagian yang sulit dan tidak layak dibangun ulang.

Tanyakan siapa yang diizinkan mengetahui topologi jaringan Anda. Jika jawabannya tidak mencakup perusahaan eksternal, atau jumlah pengguna membuat biaya per seat terlalu mahal, jalankan Headscale dan terima bahwa Anda sekarang harus mengoperasikan server kontrol. Jika penagihan menjadi alasan utama, hitung biayanya sebelum berkomitmen pada migrasi, karena biaya yang sebenarnya dibayar tim dengan ukuran Anda bergantung pada jumlah orang yang memiliki akun, bukan jumlah mesin yang Anda jalankan, dan kedua angka tersebut biasanya jauh berbeda.

Anda dapat mengubah keputusan dengan biaya rendah. Karena data plane menggunakan protokol yang sama pada ketiga pilihan, perpindahan dari WireGuard biasa ke mesh terkoordinasi hanya memerlukan instalasi client, bukan perancangan ulang. Perpindahan dari Tailscale ke Headscale hanya memerlukan pendaftaran ulang setiap node ke login server yang berbeda.

Hal yang tidak disediakan oleh ketiganya

Tidak satu pun dari ketiganya merupakan firewall. Tunnel menentukan paket yang dibawa, bukan service yang melakukan listen. Server yang dapat dijangkau melalui tunnel tetap dapat dijangkau dari internet pada port apa pun yang Anda biarkan terbuka. Karena itu, pastikan aturan firewall UFW pada VPS tetap menjalankan fungsinya. File kebijakan Tailscale membatasi node lain yang dapat mengakses server, tetapi tidak berpengaruh pada interface publik.

Tidak satu pun dari ketiganya menyediakan autentikasi per service, dan tidak satu pun mencatat aktivitas pengguna setelah pengguna terhubung. Perlakukan ketiganya sebagai lapisan transport, lalu tempatkan pemeriksaan login di aplikasi.

FAQ

Apakah Tailscale hanya WireGuard dengan langkah tambahan?

Tailscale menggunakan protokol WireGuard untuk jalur data, sehingga enkripsi dan tunnel-nya sama. Tailscale menambahkan fungsi koordinasi: pertukaran kunci, penetapan alamat, traversal NAT dengan relay STUN dan DERP, kedaluwarsa kunci, serta file kebijakan yang menyebutkan pengguna, bukan rentang IP. Dalam WireGuard biasa, semua hal tersebut harus Anda kelola sendiri. Hal-hal itu menjadi sulit ketika mesin berpindah-pindah jaringan.

Apakah trafik saya melewati server Tailscale?

Biasanya tidak. Peer terhubung langsung satu sama lain setelah server koordinasi memperkenalkan keduanya, dan tailscale status menampilkan direct pada baris peer tersebut. Jika jalur langsung tidak dapat dibuat, trafik beralih ke relay DERP dan barisnya menampilkan relay. Dalam kondisi itu pun, relay hanya membawa paket terenkripsi dan tidak menyimpan private key WireGuard Anda, sehingga relay tidak dapat membaca isinya. Jalankan tailscale netcheck untuk melihat apakah jaringan Anda memblokir UDP yang diperlukan koneksi langsung.

Apakah saya dapat menggunakan Headscale dengan aplikasi Tailscale resmi?

Ya. Headscale menggunakan protokol kontrol yang sama, sehingga client resmi dapat bergabung dengan sudo tailscale up --login-server https://headscale.example.com. Aplikasi desktop dan seluler juga dapat diarahkan ke server login khusus, tetapi pengaturannya berada di lokasi yang berbeda pada setiap platform. Aplikasi seluler lebih mungkin memerlukan versi tertentu. Uji satu ponsel sebelum memigrasikan seluruh jaringan.

Apakah saya masih perlu membuka port untuk Tailscale atau Headscale?

Client Tailscale tidak memerlukan port inbound karena client tersebut membuat koneksi keluar ke server koordinasi dan mempertahankan koneksi itu. Server Headscale yang di-host sendiri memerlukan port inbound: 443 untuk protokol kontrol, 80 jika Anda menggunakan tantangan sertifikat HTTP-01, dan 3478/udp hanya jika Anda mengaktifkan relay bawaan. WireGuard biasa memerlukan port listen UDP, biasanya 51820, agar terbuka pada server dan pada firewall jaringan terpisah yang disediakan oleh provider Anda.

Manakah dari ketiganya yang paling cepat?

Throughput-nya sama karena ketiganya memindahkan paket dengan WireGuard. Perbedaannya terlihat pada penyiapan koneksi dan kualitas jalur. WireGuard biasa dengan Endpoint yang benar selalu terhubung secara langsung. Tailscale dan Headscale biasanya terhubung secara langsung, lalu beralih ke relay ketika jaringan memblokir hole punching. Jalur melalui relay menambah latensi. Ukur jalur Anda sendiri dengan tailscale ping <node>, yang melaporkan apakah rutenya langsung atau melalui relay, atau dengan iperf3 di seluruh tunnel. Jika hasilnya jauh di bawah line rate Anda pada jalur langsung, pilihan di antara ketiganya bukan penyebab masalahnya. Penyebab yang umum adalah ketidakcocokan MTU jalur yang menimbulkan perilaku sama, baik dengan maupun tanpa control plane.