Tarde o temprano, casi cualquier persona que tiene algo funcionando en casa quiere acceder a ello desde otro lugar. Puede ser un servidor de archivos, un proyecto con Raspberry Pi, una biblioteca multimedia, una cámara de seguridad o simplemente la computadora de escritorio de tu oficina. Las formas tradicionales de hacerlo, como abrir puertos en tu router o montar tu propio servidor VPN, funcionan, pero son complicadas de configurar y es fácil cometer errores que dejan tu red doméstica expuesta a todo internet.
Tailscale lo resuelve de otra manera. Instalas una aplicación en cada dispositivo, inicias sesión y tus dispositivos pueden comunicarse entre sí de forma segura como si estuvieran en la misma red local, sin importar dónde se encuentren. No hay puertos que abrir, ni reglas de firewall que escribir, ni un servidor VPN que mantener.
Esta guía explica qué es Tailscale y cómo funciona, y luego te lleva paso a paso por la instalación, la conexión de tus dispositivos, el acceso a toda tu red doméstica desde cualquier lugar y la protección de tu configuración.
¿Qué Es Tailscale?
Tailscale es una VPN de malla (mesh VPN) construida sobre WireGuard, un protocolo VPN moderno, rápido y bien auditado. Cada dispositivo que agregas a Tailscale se une a tu red privada, que Tailscale llama tailnet. Cada dispositivo de tu tailnet recibe su propia dirección IP privada en el rango 100.x.y.z, y todos los dispositivos pueden comunicarse directamente entre sí mediante una conexión cifrada.
La parte de “malla” es lo que diferencia a Tailscale de una VPN tradicional. Con una VPN tradicional, todo el tráfico pasa por un servidor central, como los rayos de una rueda. Con Tailscale, los dispositivos se conectan directamente entre sí siempre que es posible. Tu laptop en una cafetería se comunica directamente con tu servidor en casa, sin intermediarios.
Cómo Funciona Tailscale por Dentro
No necesitas entender los detalles internos para usar Tailscale, pero conocer lo básico ayuda cuando algo no funciona como esperas:
- El servidor de coordinación lo administra Tailscale. Cuando inicias sesión, se encarga de la autenticación y le indica a cada dispositivo cómo llegar a los demás compartiendo sus llaves públicas y direcciones de red. Nunca ve tu tráfico real.
- Las llaves de cifrado se quedan en tus dispositivos. Cada dispositivo genera su propia llave privada, y esa llave nunca sale del dispositivo. Todo el tráfico entre dispositivos está cifrado de extremo a extremo con WireGuard.
- El NAT traversal es la forma en que Tailscale atraviesa los routers y firewalls domésticos sin que tengas que abrir puertos. Los dispositivos se coordinan para atravesar el NAT de cada lado y establecer una conexión directa.
- Los relays DERP son un respaldo. En redes demasiado restrictivas para una conexión directa, el tráfico pasa por los servidores relay de Tailscale. Sigue cifrado de extremo a extremo (el relay no puede leerlo), pero puede ser más lento que una conexión directa.
Tailscale vs. Redirección de Puertos vs. una VPN Tradicional
| Redirección de puertos | VPN tradicional | Tailscale | |
|---|---|---|---|
| Puertos abiertos a internet | Sí | Sí (uno) | No |
| Dificultad de configuración | Media | Alta | Baja |
| Ruta del tráfico | Directa | A través del servidor VPN | Directa, cuando es posible |
| Funciona detrás de CGNAT / redes restrictivas | Normalmente no | Depende | Sí |
| Inicio de sesión y control de acceso | Por servicio | Por usuario de la VPN | Por dispositivo y usuario |
La redirección de puertos merece una advertencia especial: cada puerto que rediriges expone un servicio directamente a bots que escanean todo internet las 24 horas. Tailscale mantiene esos servicios privados, visibles solo para los dispositivos de tu tailnet.
Lo que Necesitas
- Una cuenta de un proveedor de identidad para iniciar sesión: Google, Microsoft, Apple, GitHub u otro inicio de sesión compatible. Tailscale no administra contraseñas por sí mismo; usa tu cuenta existente.
- Al menos dos dispositivos para conectar, como una laptop y un teléfono.
- (Opcional) Un dispositivo siempre encendido en casa, como una Raspberry Pi, un servidor Linux, un NAS o una computadora que no uses, si quieres acceder a toda tu red doméstica y no solo a los dispositivos con Tailscale instalado.
Tailscale ofrece un plan Personal gratuito que cubre sin problema una configuración doméstica típica. Los límites de los planes cambian con el tiempo, así que revisa la página de precios de Tailscale para conocer los detalles actuales.
Paso 1: Crea tu Cuenta de Tailscale
Ve a tailscale.com y haz clic en Get Started. Elige el proveedor de identidad con el que quieres iniciar sesión y sigue las instrucciones.
La cuenta que elijas es importante: cualquiera que entre a esa cuenta puede agregar dispositivos a tu tailnet. Asegúrate de que tenga una contraseña fuerte y única, y de activar la autenticación de dos factores antes de continuar.
Paso 2: Instala Tailscale en tu Computadora
Windows y macOS
Descarga el instalador desde la página de descargas de Tailscale y ejecútalo. Una vez instalado, haz clic en el ícono de Tailscale en la bandeja del sistema (Windows) o en la barra de menús (macOS), elige Log in e inicia sesión con la misma cuenta que usaste en el Paso 1.
Linux
Tailscale ofrece un script de instalación que detecta tu distribución y configura el repositorio de paquetes correcto:
curl -fsSL https://tailscale.com/install.sh | sh
Como con cualquier script que ejecutas directamente en tu terminal, puedes descargarlo y leerlo primero si lo prefieres. Una vez instalado, conecta el dispositivo a tu tailnet:
sudo tailscale up
El comando muestra una URL de inicio de sesión. Ábrela en un navegador, inicia sesión y el dispositivo se une a tu tailnet. Si estás configurando un servidor al que te conectas por SSH, puedes abrir esa URL en cualquier otra computadora; no tiene que ser el servidor.
Paso 3: Instala Tailscale en tu Teléfono
Instala la aplicación de Tailscale desde la App Store (iPhone y iPad) o Google Play (Android), ábrela e inicia sesión con la misma cuenta. Tu teléfono te pedirá permiso para agregar una configuración VPN. Es normal, ya que Tailscale usa el soporte VPN integrado de tu teléfono para enviar el tráfico a tu tailnet.
Paso 4: Conecta tus Dispositivos
Abre la consola de administración de Tailscale en tu navegador. Verás todos los dispositivos que agregaste, junto con su dirección IP de Tailscale y si están conectados en este momento.
En cualquier computadora, también puedes ver tus dispositivos desde la línea de comandos:
tailscale status
100.101.24.8 laptop you@ macOS -
100.88.143.52 homeserver you@ linux -
100.72.9.115 phone you@ iOS -
Para probar la conexión, haz ping de un dispositivo a otro usando su IP de Tailscale:
tailscale ping 100.88.143.52
Usa Nombres de Dispositivo con MagicDNS
Recordar direcciones 100.x.y.z se vuelve tedioso rápidamente. MagicDNS, que viene activado por defecto en las tailnets nuevas, te permite acceder a los dispositivos por su nombre. Si tu servidor se llama homeserver, simplemente puedes usar:
ssh pi@homeserver
o abrir http://homeserver:8080 en tu navegador para acceder a una aplicación web que se ejecute en él. Puedes cambiar el nombre de los dispositivos en la consola de administración para darles nombres más fáciles de recordar.
En este punto, ya puedes acceder a cualquier cosa que se ejecute en un dispositivo con Tailscale instalado (carpetas compartidas, paneles web, escritorio remoto, SSH) desde cualquier parte del mundo.
Paso 5: Accede a Toda tu Red Doméstica con un Subnet Router
No todos los dispositivos pueden ejecutar Tailscale. Las impresoras, los televisores inteligentes, las cámaras de seguridad, los NAS más antiguos y la página de administración de tu router no pueden instalar una aplicación. Un subnet router resuelve esto: un dispositivo de tu red doméstica con Tailscale funciona como puerta de enlace y permite que tus otros dispositivos de Tailscale accedan a todo lo que hay en tu red doméstica.
Una Raspberry Pi o cualquier equipo Linux siempre encendido es un excelente subnet router.
Encuentra el Rango de tu Red Doméstica
Primero, encuentra el rango de IP de tu red doméstica. En el equipo Linux que usarás como subnet router, ejecuta:
ip route
Busca una línea como 192.168.1.0/24 dev eth0. Ese 192.168.1.0/24 es la subred de tu red doméstica, y cubre todas las direcciones desde 192.168.1.1 hasta 192.168.1.254.
Activa el Reenvío de IP
Por defecto, Linux no pasa el tráfico de red de una interfaz a otra. Activa el reenvío de IP (IP forwarding) para que el subnet router pueda transmitir el tráfico entre tu tailnet y tu red doméstica:
echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf
Anuncia la Ruta
Indícale a Tailscale qué red debe compartir este dispositivo, reemplazando la subred por la tuya:
sudo tailscale set --advertise-routes=192.168.1.0/24
Aprueba la Ruta en la Consola de Administración
Por seguridad, las rutas anunciadas no se activan hasta que las apruebas. En la consola de administración, busca tu subnet router, haz clic en el menú ⋯, elige Edit route settings y activa la ruta.
Acepta las Rutas en tus Otros Dispositivos
Windows, macOS, iOS y Android aceptan automáticamente las rutas aprobadas. En otros equipos Linux, debes activarlo manualmente:
sudo tailscale set --accept-routes
Ahora, desde tu teléfono con datos móviles o desde tu laptop en un hotel, puedes abrir http://192.168.1.1 para entrar a la página de administración de tu router, o conectarte a cualquier otro dispositivo de tu red doméstica usando su IP local de siempre.
Una nota sobre redes que se superponen: 192.168.1.0/24 y 192.168.0.0/24 son extremadamente comunes. Si te conectas desde una red que usa el mismo rango que tu red doméstica (por ejemplo, la casa de un amigo o un hotel), tu dispositivo no sabrá a qué 192.168.1.x te refieres. Si esto te pasa seguido, considera cambiar tu router doméstico a un rango menos común, como 192.168.47.0/24.
Paso 6: Envía Todo tu Tráfico por Casa con un Exit Node
A veces quieres que todo tu tráfico de internet pase por tu conexión de casa; por ejemplo, cuando estás en una red Wi-Fi pública poco confiable en un aeropuerto, o cuando quieres usar servicios como lo harías desde casa. Un exit node hace exactamente eso.
En tu equipo Linux de casa (con el reenvío de IP ya activado desde el Paso 5), anúncialo como exit node:
sudo tailscale set --advertise-exit-node
Luego apruébalo en la consola de administración de la misma forma: ⋯ → Edit route settings → Use as exit node.
Para usarlo desde tu teléfono o computadora, abre la aplicación de Tailscale, elige Exit node y selecciona tu equipo de casa. En Linux:
sudo tailscale set --exit-node=homeserver
Para dejar de usarlo:
sudo tailscale set --exit-node=
Ten en cuenta que ahora tu tráfico queda limitado por la velocidad de subida de tu internet de casa, que a menudo es mucho más lenta que la de descarga.
Extra: Tailscale SSH
Si te conectas por SSH a equipos de tu tailnet, Tailscale SSH puede reemplazar por completo a las llaves SSH. Tailscale se encarga de la autenticación usando tu identidad de la tailnet, así que no necesitas copiar llaves públicas entre equipos. Actívalo en un servidor Linux con:
sudo tailscale set --ssh
Después, conéctate desde cualquier dispositivo de tu tailnet con un comando ssh usuario@homeserver normal. Quién puede conectarse por SSH a qué equipo se controla con las reglas de acceso de tu tailnet (las vemos más abajo).
Cómo Mantener Segura tu Tailnet
Tailscale es seguro por defecto, pero algunos hábitos lo hacen aún más seguro:
- Protege la cuenta de tu proveedor de identidad. Tu cuenta de Google, Microsoft, Apple o GitHub es, en la práctica, la llave de tu tailnet. Usa una contraseña fuerte y la autenticación de dos factores.
- Entiende la expiración de llaves. Por defecto, la sesión de cada dispositivo expira periódicamente y hay que volver a autenticarla. Es una buena medida de seguridad para laptops y teléfonos. Para servidores y subnet routers siempre encendidos en los que no puedes iniciar sesión fácilmente, puedes desactivar la expiración solo para esos dispositivos desde la consola de administración (⋯ → Disable key expiry).
- Elimina los dispositivos que ya no uses. ¿Perdiste un teléfono o dejaste de usar una laptop vieja? Elimínalos de la consola de administración de inmediato.
- Usa controles de acceso. Por defecto, cada dispositivo de una tailnet personal puede acceder a todos los demás. Las políticas de control de acceso de Tailscale (en la consola de administración, en Access controls) te permiten restringirlo; por ejemplo, permitir que tu teléfono acceda a tu servidor multimedia pero no a tus puertos SSH.
- Considera Tailnet Lock. Tailnet Lock exige que los nuevos dispositivos sean firmados por un dispositivo en el que ya confías antes de poder unirse. Incluso si alguien comprometiera tu cuenta o el servidor de coordinación de Tailscale, no podría agregar un dispositivo sin tu aprobación.
- Mantén Tailscale actualizado. Como cualquier software, Tailscale recibe correcciones de seguridad. Activa las actualizaciones automáticas en la configuración de la aplicación o, en Linux, con
sudo tailscale set --auto-update.
Solución de Problemas Comunes
Un dispositivo aparece desconectado. Asegúrate de que Tailscale esté en ejecución y con la sesión iniciada en ese dispositivo. En Linux, revisa el servicio con sudo systemctl status tailscaled.
Las conexiones son lentas. Es posible que tus dispositivos estén pasando por un relay DERP en lugar de conectarse directamente. Ejecuta tailscale ping <dispositivo>: el resultado te indica si la conexión es directa o por relay. tailscale netcheck te muestra qué tipo de red estás usando y cuál es el relay más cercano.
Puedes acceder a los dispositivos de Tailscale, pero no a tu red doméstica. Verifica que el reenvío de IP esté activado en el subnet router, que la ruta esté aprobada en la consola de administración y, en clientes Linux, que hayas ejecutado tailscale set --accept-routes.
No puedes acceder a nada después de activar un exit node. Asegúrate de que el exit node esté encendido y de que tenga el reenvío de IP activado. Desactiva el exit node en la aplicación para recuperar tu conexión mientras resuelves el problema.
Conclusión
Tailscale convierte lo que antes era un proyecto de redes de todo un fin de semana en algo que puedes configurar en unos quince minutos. Instala la aplicación, inicia sesión y tus dispositivos podrán comunicarse de forma segura desde cualquier lugar. Agrega un subnet router y toda tu red doméstica viaja contigo. Agrega un exit node y tendrás tu propia VPN privada para redes Wi-Fi públicas.
Lo mejor de todo es que lo logras sin abrir un solo puerto en tu router. Si has estado posponiendo el acceso remoto a tu laboratorio en casa, a un servidor de archivos Samba o a un proyecto con Raspberry Pi porque te parecía arriesgado o complicado, Tailscale es un punto de partida fácil y seguro.