Cómo funciona Tailscale: así se conectan directamente tus dispositivos

Una VPN tradicional tiene forma de estrella: todos los dispositivos se conectan a un servidor VPN, y si dos de ellos quieren hablar, el tráfico va primero al servidor y vuelve. El servidor es un cuello de botella y un punto único de fallo: si va lento, va lento para todos; si se cae, todos se quedan sin conexión.

Tailscale es una malla (mesh): cada par de dispositivos tiene su propio túnel directo. Cuando el móvil accede al NAS de casa, el tráfico va del móvil al NAS directamente, por el camino más corto entre ambos. Ninguna máquina carga con todo el tráfico.

El precio de la malla es la complejidad de gestión: diez dispositivos conectados entre sí suman cuarenta y cinco túneles, y cada uno necesita intercambiar claves y conocer la dirección actual del otro extremo. Mantenerlo a mano es inviable; todo el trabajo de Tailscale consiste en automatizarlo.

Al instalar Tailscale, cada dispositivo genera su propio par de claves. La clave privada nunca sale del dispositivo; la pública se entrega al servidor de control (Tailscale lo llama coordination server). Cuando inicias sesión con tu cuenta, el servidor de control sabe “a quién pertenece este dispositivo”.

El servidor de control tiene una tabla: la clave pública de cada dispositivo, su dirección interna, la dirección de red por la que se le puede encontrar ahora y las reglas de acceso que dicen quién puede conectarse con quién. A tu dispositivo le envía solo las filas a las que tienes acceso. Cada vez que un dispositivo se conecta, se desconecta o cambia de red, la tabla se actualiza y se envía a los dispositivos afectados.

El servidor de control no reenvía tu tráfico ni tiene las claves privadas, así que no puede descifrar lo que se comunican los dispositivos. Es como una recepción que solo entrega el directorio y las tarjetas de acceso: te dice dónde está el otro y si puedes entrar, pero lo que se diga dentro no lo oye.

Para iniciar sesión se usa una cuenta que ya tienes (inicio de sesión único), no una contraseña de VPN aparte. Las claves de los dispositivos caducan periódicamente y hay que volver a iniciar sesión; si pierdes un dispositivo, lo borras en el panel y pierde el acceso.

Quien transporta de verdad los datos es WireGuard. Cuando un dispositivo recibe la clave pública de otro, puede crear con él un túnel cifrado. Cada extremo reconoce la clave pública del otro, y nadie en medio puede leer ni alterar lo que pasa.

Tailscale no toca la parte de cifrado de WireGuard. Se encarga de lo que WireGuard no gestiona: cómo se reparten las claves, cómo se asignan las direcciones y cómo se vuelven a encontrar los dispositivos cuando cambian de red. Cómo funciona WireGuard se explica en Qué es WireGuard: cómo funciona y cómo nació.

Cada dispositivo tiene en esta red una dirección interna fija (del rango que empieza por 100). Da igual que esté conectado a la fibra de casa, a la red de la oficina o a los datos móviles: la dirección no cambia. Así puedes acceder siempre al NAS de casa con la misma dirección. Con MagicDNS, incluso puedes usar directamente el nombre del dispositivo.

El ordenador de casa no tiene dirección pública: para salir a internet, el router traduce su dirección (NAT). El router solo deja pasar las conexiones “iniciadas desde dentro” y bloquea cualquier intento que llegue desde fuera. Si los dos dispositivos están detrás de sus respectivos routers, ninguno puede abrirle la puerta al otro primero: esa es la dificultad de la conexión punto a punto.

Tailscale lo resuelve en tres pasos. Primero, cada dispositivo le pregunta a un servidor público “¿desde qué dirección y qué puerto me ves salir?”, y así sabe cómo se ve desde fuera del router (este tipo de servicio se llama STUN). Segundo, los dos dispositivos intercambian esa dirección externa a través del servidor de control. Tercero, ambos envían paquetes a la vez a la dirección externa del otro: cada router ve que la conexión “salió de dentro” y abre un hueco para la respuesta, y los paquetes del otro lado entran justo por ese hueco. La conexión queda establecida. Es lo que se conoce como “perforar el NAT” (hole punching).

Esta técnica usa UDP. Con la mayoría de los routers domésticos funciona; pero algunas redes traducen las direcciones de forma muy estricta (cambian de puerto externo con cada destino nuevo) o directamente bloquean UDP, y ahí no es posible.

Perforar el NAT no siempre funciona, así que Tailscale dispone de servidores de relé llamados DERP. Si dos dispositivos no logran conectarse, ambos se conectan al mismo DERP, que pasa los paquetes cifrados de uno a otro. DERP usa HTTPS (TCP 443), que casi cualquier red deja pasar.

El relé reenvía paquetes ya cifrados con WireGuard. DERP no tiene las claves: solo ve “quién envía a quién y cuánto”, no el contenido.

La conexión siempre empieza por el relé: en cuanto dos dispositivos se conectan, se hablan primero a través de DERP, lo que garantiza que haya conexión de inmediato. Mientras tanto, en segundo plano, intentan perforar el NAT; si lo consiguen, pasan a la conexión directa sin que se corte nada. Por eso es normal que los primeros segundos la latencia sea algo mayor y luego baje.

Si la conexión se queda en el relé, la velocidad y la latencia dependen de lo lejos que esté y de lo ocupado que esté, y suele ir más lenta que la directa. En el cliente de Tailscale puedes ver si la conexión actual es directa (direct) o pasa por un relé (relay).

• Exit node (nodo de salida): si designas un dispositivo como salida, todo el tráfico de internet de tus otros dispositivos se envía cifrado hasta él y sale desde su red. El efecto es el de una VPN tradicional: hacia fuera se ve la dirección del exit node. Puede ser un ordenador de tu casa o un servidor de un proveedor.
• Subnet router (enrutador de subred): un dispositivo con Tailscale hace de puerta de acceso para toda su red local. Impresoras, cámaras o NAS antiguos que no admiten Tailscale se vuelven accesibles a través de él.
• Control de acceso (ACL): por defecto, todos los dispositivos a tu nombre pueden acceder entre sí; en equipos de trabajo se pueden escribir reglas que digan qué personas y qué dispositivos acceden a qué puertos. El servidor de control distribuye las reglas y cada dispositivo las aplica.
• MagicDNS: da un nombre a cada dispositivo, para no tener que recordar direcciones que empiezan por 100.

• Con WireGuard: WireGuard es el protocolo de un túnel; solo se ocupa de cómo se cifra la comunicación entre dos extremos, y las claves y la dirección del otro extremo hay que configurarlas a mano. Tailscale es un sistema completo construido encima, que se encarga por ti del inicio de sesión, la distribución de claves, la asignación de direcciones, el NAT traversal y los relés.
• Con un servicio VPN tradicional: la VPN tradicional es “todo el tráfico va a un servidor” y su objetivo es cambiar la salida; el objetivo de Tailscale es que los dispositivos se comuniquen entre sí, y cambiar la salida es solo una función añadida (el exit node).
• Con las herramientas de exposición de puertos (frp, Oray y similares): estas publican un puerto de tu red interna en internet, y cualquiera que conozca la dirección puede llegar a él; la seguridad depende del propio servicio. Tailscale no expone ningún puerto: solo entran los dispositivos que han iniciado sesión con tu cuenta.
• Con ZeroTier: la idea es parecida, las dos crean redes automáticamente; ZeroTier usa su propio protocolo y simula una red de capa 2, mientras que Tailscale usa WireGuard y trabaja en la capa 3.

El cliente de Tailscale es de código abierto; el servidor de control es un servicio que opera la empresa. Headscale es un servidor de control de código abierto escrito por la comunidad que implementa el mismo protocolo, y los clientes oficiales pueden apuntarse a él. Así, la lista de dispositivos, el directorio de claves y las reglas de acceso quedan en tus manos.

Para eso existe en el cliente la opción “Use custom server / Use an alternate server” (usar un servidor de control propio): introduces una dirección y el cliente deja de conectarse a los servidores de Tailscale y se conecta al que indiques.

Con un servidor propio, cómo se inicia sesión, cuántos dispositivos se pueden añadir y qué exit nodes hay lo decide quien opera ese servidor de control; no tiene nada que ver con el plan gratuito ni con los planes de pago oficiales de Tailscale.

• La perforación del NAT depende de UDP. Muchas conexiones de banda ancha en China limitan UDP, y las grandes redes internas de los operadores (con varias capas de NAT) lo ponen aún más difícil, así que es más probable que acabes en un relé que fuera de China.
• Por relé, la velocidad depende de dónde esté el relé. Si está lejos, la latencia sube; esa es la principal razón de que la experiencia con Tailscale en China varíe tanto.
• El formato de los paquetes de WireGuard es fijo y no lleva camuflaje, así que en redes con inspección estricta puede ser detectado y ralentizado. Es una herramienta para crear redes, no está diseñada para saltarse bloqueos.
• Tenerlo siempre activo en el móvil no es problema: sin tráfico, el túnel casi no gasta batería, y al pasar de wifi a datos móviles la conexión se recupera sola.

La sección Privada de LeoTun usa el cliente oficial de Tailscale conectado a un servidor de control que operamos nosotros: inicias sesión una vez con tu cuenta de esta web y el dispositivo queda siempre conectado; ofrecemos exit nodes en cada región, y para cambiar de salida basta con elegir la región en el menú Exit Node del cliente, sin volver a importar nada; los móviles, ordenadores y NAS de la misma cuenta pueden acceder directamente entre sí.

Como inicias sesión en nuestro servidor de control, los dispositivos cuentan según el plan de tu cuenta aquí, sin relación con las cuentas ni los límites oficiales de Tailscale; si el dispositivo ya tenía iniciada sesión con una cuenta oficial de Tailscale, cierra esa sesión antes de iniciar la nuestra. Los pasos de instalación e inicio de sesión, con capturas, están en Qué es la conexión Privada (Tailscale), y se accede desde la página de Privada.

Si tu red limita UDP y Privada va lenta o inestable, con la misma cuenta puedes cambiar a otro método de conexión: consulta Qué método de conexión elegir según tu caso.