Tailscale frente a ZeroTier: diferencias y cuál elegir
Tailscale y ZeroTier conectan tus dispositivos en una red privada sin abrir puertos, pero están construidos de forma distinta. Tailscale enruta paquetes IP sobre WireGuard con un servicio de coordinación operado por Tailscale Inc. ZeroTier usa un protocolo propio y presenta una red Ethernet virtual. Esas dos decisiones, y no las listas de funciones, deciden cuál encaja con tu trabajo.
La respuesta corta: IP sobre WireGuard frente a un conmutador Ethernet virtual
Tailscale da una dirección IP a cada dispositivo y envía paquetes IP cifrados entre ellos con WireGuard. ZeroTier hace que los dispositivos se comporten como si estuvieran enchufados al mismo conmutador Ethernet, con un protocolo propio que transporta el tráfico. Para llegar a servidores por SSH o escritorio remoto, valen los dos. La diferencia aparece cuando necesitas un comportamiento que solo existe en una red local, como el broadcast o el multicast, o cuando te importa qué protocolo protege el tráfico y quién opera el plano de control.
Tailscale frente a ZeroTier: la arquitectura en una tabla
| Criterio | Tailscale | ZeroTier | prialo |
|---|---|---|---|
| Túnel | WireGuard | Protocolo propio, no WireGuard | WireGuard |
| Cómo se ve la red | Direcciones IP enrutadas entre dispositivos | Una red Ethernet virtual compartida por los dispositivos | Direcciones IP dentro de 100.64.0.0/10, enrutadas entre dispositivos |
| Plano de control | Servicio de coordinación operado por Tailscale Inc. | Controladores de red, alojados o autoalojados | Paquete autoalojado, o servicio alojado por Sinergia |
| Cuando falla el camino directo | Relés DERP operados por Tailscale | Servidores raíz que ayudan a los equipos a encontrarse | Relé en TCP 4430 que reenvía paquetes que no puede descifrar |
La tabla no dice nada de precios, límites de dispositivos ni funciones de los clientes, a propósito: cambian, y cada proveedor mantiene las cifras vigentes en su web. Lo que no cambia de una versión a otra es el diseño, y el diseño es lo que estás eligiendo.
Qué cambia en la práctica según la capa de red
Con una red IP, cada dispositivo es accesible por su dirección y tú decides con políticas cuáles pueden hablar entre sí. Eso encaja con el acceso remoto a servidores, a un PC de casa o a las máquinas de un cliente, que es lo que necesitan la mayoría de equipos pequeños. Una red Ethernet virtual se parece más a extender una red local: transporta tráfico que no se enruta por IP, así que sirve para programas que esperan a sus pares en el mismo segmento, como el descubrimiento por broadcast o ciertos entornos industriales y de juegos. Si no tienes esa necesidad, el modelo IP, más simple, también es el más fácil de razonar y de auditar.
Quién opera el plano de control y qué puede ver
En cualquier red en malla, el plano de control reparte direcciones, claves públicas y políticas. No transporta tu tráfico, pero conoce los nombres de dispositivo, las claves públicas, las direcciones y cuándo se conectó cada equipo. En Tailscale ese servicio lo opera el proveedor; el artículo sobre alternativas a Tailscale explica las vías autoalojadas. ZeroTier permite ejecutar tú mismo un controlador de red. Con prialo puedes alojar todo el plano de control en tu servidor, como explica la guía de redes en malla privadas, o usar el que aloja Sinergia en España.
Cuál elegir según el trabajo
- Llegar a servidores, a un PC de casa o a máquinas de clientes por SSH o RDP: una malla IP basada en WireGuard, como Tailscale o prialo, es la opción directa.
- Programas que necesitan broadcast, multicast o un segmento Ethernet compartido entre sedes: la Ethernet virtual de ZeroTier está pensada para eso.
- Un requisito firme de que el plano de control y los metadatos queden en tu propio servidor: mira un plano de control autoalojado, que prialo ofrece como paquete para Docker Compose.
- Un equipo que ya tiene proveedor de identidad y quiere operar lo mínimo: un plano de control alojado da menos trabajo, siempre que aceptes dónde viven los metadatos.
Preguntas que responder antes de migrar
- ¿Algo en la red depende del broadcast o de estar en el mismo segmento Ethernet?
- ¿Quién debe poder ver los nombres de dispositivo, las claves y las horas de conexión, y en qué país viven?
- ¿Hay equipos detrás de CGNAT del operador, de modo que un relé llevará parte del tráfico?
- ¿Puedes mover la red más adelante sin volver a dar de alta cada dispositivo a mano?
Si las respuestas apuntan a acceso remoto sobre IP con los metadatos bajo tu control, la opción autoalojada es la primera que conviene probar. Si apuntan a una red local compartida entre sedes, prueba ZeroTier. En cualquier caso, haz un piloto con dos o tres equipos antes de mover todo.
Preguntas frecuentes
¿ZeroTier se basa en WireGuard?
No. ZeroTier usa un protocolo propio. Tailscale, NetBird, Headscale y prialo usan WireGuard para el túnel.
¿Qué significa en la práctica la Ethernet virtual de ZeroTier?
Los dispositivos se comportan como si estuvieran conectados al mismo conmutador Ethernet, así que el tráfico que depende de un segmento compartido, como el broadcast, puede funcionar entre ellos. Una malla basada en enrutado IP, como Tailscale o prialo, no transporta ese tipo de tráfico.
¿Puedo alojar yo mismo el plano de control de Tailscale o de ZeroTier?
El servicio de coordinación de Tailscale lo opera Tailscale Inc.; Headscale es una implementación de código abierto y autoalojada que funciona con los clientes de Tailscale. ZeroTier permite ejecutar un controlador de red propio. prialo distribuye su plano de control como paquete autoalojado.
¿El plano de control ve mi tráfico?
No, el contenido de tu tráfico viaja entre dispositivos o por un relé que no puede descifrarlo. El plano de control ve metadatos como nombres de dispositivo, claves públicas y direcciones.
¿Prefieres tu propio servidor? Guía del paquete autoalojado de prialo