Tailscale, conecta equipos a una red privada virtual (VPN) fácilmente

Una VPN es una forma de protegernos en Internet y de mejorar nuestra privacidad online. Una red privada virtual a través de la cual viajan nuestros datos y que tienen muchas ventajas interesantes como conseguir nuestro anonimato en las webs que visitamos pero también nos permite saltarnos barreras geográficas, bloqueos en la dirección IP o simplemente navegar de una forma más segura.

Y entre todas las VPN que podemos utilizar, una herramienta muy cómoda e interesante es Tailscale que nos permite conectarnos a una red VPN privada para que nuestros equipos estén protegidos e incluso si no tenemos conocimientos avanzados podremos aumentar la privacidad de todos los equipos y aparatos que tengamos. Te explicamos todo sobre este servicio.

¿Qué es Tailscale y para qué sirve?

Tailscale nos proporcionará la posibilidad de interconectar diferentes equipos a través de Internet en una red privada virtual, y todo ello instalando un pequeño programa en cada equipo e iniciando sesión con las credenciales de registro en el servicio. Es muy fácil de utilizar y es compatible con diferentes sistemas operativos y equipos así que podremos utilizarlo en varios dispositivos que tengamos en una misma casa y oficina. No tendremos que abrir ningún tipo de puerto, montar un servidor VPN en cada equipo, ni realizar complicadas configuraciones. El objetivo de Tailscale es permitirnos acceder a todos los equipos de forma remota, independientemente de si están detrás de un CG-NAT o un NAT, y todo ello de forma rápida y muy fácil.

Hay que tener en cuenta que se trata de un servicio que nos ofrece varios niveles de suscripción, los cuales varían tanto en precio como en funciones. Por lo cual es importante analizar cómo vamos a utilizarlo, para adquirir el plan que mejor se ajuste a nuestros requerimientos. Si bien no son precios muy altos, ya que estamos ante un servicio bastante económico en comparación con otros del mercado, siempre nos permite ahorrar un poco de dinero si elegimos bien.

Algunas características muy importantes de Tailscale es que podremos configurar una red muy segura y rápida en segundos, sin necesidad de configurar absolutamente nada, porque la instalación del programa necesario es tan sencilla como seguir el asistente de instalación, iniciar sesión con la cuenta creada en Taiscale, y automáticamente se agregará el nodo a la red VPN para acceder remotamente y desde cualquier lugar. Este servicio nos permitirá gestionar y configurar reglas de firewall, configurar los servidores DNS, e incluso crear listas de control de acceso para diferentes equipos y mucho más.

Tailscale nos permitirá crear una red segura entre diferentes equipos, servidores e incluso en el Cloud, el software de Tailscale es compatible con sistemas operativos Windows, Linux, MacOS, Android, iOS y también es compatible con dispositivos basados en ARM como la popular Raspberry Pi. Podremos hacer uso de SSO y también de MFA para la autenticación y dar de alta los diferentes equipos, los dispositivos solamente se podrán conectar a nuestra red VPN cuando hayamos iniciado sesión con nuestras credenciales, además, podremos realizar autenticación en dos pasos, e incluso eliminar a antiguos equipos o empleados, ya que este software está orientado también a un ámbito profesional.

Además de que se conecta a servidores en la nube: AWS Lightsail, AWS VPC, Azure App Services, Azure Linux VMs, Azure Windows VMs, Google Compute Engine VMs, Hetzner VMs y Oracle Cloud VMs. Por lo que es una de las características que también se deben tener en cuenta de esta herramienta.

Tailscale proporcionará la misma dirección IP privada dentro de la red VPN a los mismos equipos, es decir, es una dirección IP fija y que no cambiará (a no ser que nosotros queramos acmbiarla), independientemente de si nos conectamos a Internet por WiFi o cable, algo fundamental para que todo funcione correctamente. También tendremos la posibilidad de crear control de acceso basado en roles, para restringir el acceso a servidores o a los equipos que nosotros queramos.

Seguridad

Tailscale hace uso de la popular VPN WireGuard para proporcionar confidencialidad, autenticación e integridad de datos, por tanto, no solamente estaremos seguros, sino que el rendimiento que conseguiremos será realmente rápido.

Por otro lado, hay que tener en cuenta una característica muy importante de Tailscale, y es que las comunicaciones son punto a punto. Por tanto, hay que tener claro que el tráfico de red no pasará a través de sus servidores, así que, de esta manera, tendremos una baja latencia y una muy buena velocidad real.

Entre otras características que podemos ver de esta alternativa está el hecho de que cuenta con una rotación automática de claves. Concretamente, las claves se rotan por hora y día para reducir el riesgo de robo de claves o credenciales obsoletas. Por último, también se comprueba que el tráfico de la red sea a prueba de manipulaciones.

Sin olvidar que también se pueden definir un control de acceso que está basado en un rol para restringir los servidores confidenciales o hasta autorizar solamente a aquellos usuarios que lo necesitan. Además de que cada conexión se registra de manera centralizada desde ambos extremos. Al igual que nos deja usar SSO y MFA, o hasta es compatible con audotiría, así se garantiza el registro de ambos extremos de la conexión para que el tráfico de la red esté protegida de posibles manipulaciones.

Planes y precios

Tailscale es una herramienta gratuita para uso personal, pero disponemos de varios planes de pago que aumentan el número de configuraciones y personalizaciones. Dependiendo de nuestras necesidades, tendremos que pagar más o menos para tener las características que necesitemos. No necesariamente tenemos que pagar si nos basta con las características de la versión gratuita y sin coste, pero debes tener en cuenta que hay limitaciones. En el caso de querer pagar y de necesitar más herramientas o más configuraciones avanzadas, hay diferentes planes de Tailscale que puedes comprar desde su web y cuyo precio variará dependiendo de los usuarios que estén conectados a esa red VPN con precios por usuario y por mes, pensado para equipos.

Aquí tienes un resumen de los planes con sus precios

• Personal (versión gratis): hasta 100 dispositivos, limitado a tres usuarios, seguridad punto a punto, soporte para DNS, podremos compartir el acceso con amigos y familia, con soporte de la comunidad. Aunque si se quieren añadir dispositivos complementarios hay que pagar 0,50 dólares cada uno.
• Personal Plus: mismas características que la versión Personal, pero incluye hasta seis usaurios. El resto de características son las mismas. Tiene un precio de 5 dólares mensuales.
• Starter (6 dólares por usuario y mes): hasta 100 dispositivos, más 10 dispositivos por cada usuario contratado. Se puede compartir credenciales con el equipo, se pueden gestionar rutas y nodos, permite split-tunneling, invitar a todo el equipo, rotación automática de claves, control de acceso básico, múltiples administradores y soporte por email.
• Premium (18 dólares por usuario y mes): hasta 100 dispositivos, más 20 dispositivos por cada usuario contratado. Incluye todo lo anterior, pero tenemos listas de control de acceso basado en identidad, también tenemos controles de acceso basado en roles y grupos de ACL. Se puede personalizar la rotación de las claves, integración Okta y soporte por email.
• Enterprise (no especifica precio, ya que es personalizado): el precio se personaliza en función de los usuarios de la empresa, también se pueden integrar dispositivos IoT, se pueden monitorizar los terminales y conexiones para auditorías. Incorpora SAML SSO y soporte personalizado.

Con la versión personal (la que es gratuita) podremos dar de alta hasta 100 dispositivos, por tanto, es ideal para entornos domésticos e incluso de pequeñas y medianas empresas. Tan solo será necesario que creemos una dirección de email de Gmail y que todos los usuarios tengan acceso a esta cuenta, de esta forma, podremos dar de alta todos los dispositivos de amigos o familiares.

Como hemos visto, Tailscale ofrece una serie de funciones según el plan, que puede adaptarse bien tanto a usuarios individuales como a equipos y empresas. La versión gratuita ya es generosa de por sí, pero los planes de pago pueden abarcar un amplio abanico de opciones y de necesidades según el presupuesto.

Por qué elegir Tailsacale

Como hemos visto, este servicio proporciona algunas ventajas que son interesantes. Pero cuenta con otras funciones, las cuales pueden ser de gran utilidad para el día a día incluso. Quizás están más orientadas al mundo empresarial, donde lo utiliza una empresa, pero en todo caso puede ser utilizado por cualquiera en su casa.

• Permite el acceso a los dispositivos de las redes locales, sin que se tenga que abrir ningún puerto en el router. Para conseguir esto, no utiliza una conexión directa, si no que utiliza sus propios nodos. Pero en el caso de que estos sean de difícil acceso, siempre existe la posibilidad de realizar conexiones directas, pero para esto es recomendable abrir algunos puertos, pero solo hará falta en al menos uno de los dispositivos conectados a la red Tailscale.
• Como es recomendable, en ciertas ocasiones se debe resetear el router, o este se cambia por algún motivo. Con Tailscale no tendremos que hacer prácticamente nada si esto sucede, pues seguiremos teniendo acceso a los servicios a pesar de realizar el cambio de router. El acceso remoto seguirá activo, por lo cual es sencillo establecer la configuración igual que estaba previamente. Todo esto es posible hacerlo incluso con CG-NAT.
• La posibilidad de realizar el enrutamiento del tráfico está presente, y en un proceso bastante sencillo. Nos permite enrutar todo el tráfico por la VPN, o realizar algún filtro para elegir qué es lo que queremos o no enrutar. De forma predeterminada, el enrutamiento será solo parcial.
• Cuenta con la opción de resolver las peticiones DNS a través de un servidor que nosotros establezcamos. A mayores, es compatible con la resolución de peticiones con servicios alojados, como puede ser Adguard, por ejemplo.
• La transferencia de archivos entre diferentes dispositivos es muy sencilla y rápida.
• Con la versión de pago tendremos algunas mejoras, como la posibilidad de crear nuevos usuarios, y establecer permisos a los mismos. De esta forma los accesos pueden ser limitados por el administrador.

Por lo tanto, toda esta serie de puntos sin duda alguna son cada una de las ventajas que ofrece esta alternativa que permite a cualquier usuario conectar sus equipos a una VPN de una manera bastante sencilla. Ahora bien, hay que tener claro que la conexión es uno a uno. ¿Qué quiere decir esto? Pues que los usuarios probablemente tendrán que hacer un trabajo adicional si quieren tener un alto rendimiento. Además de que es necesario llegar a generar y almacenar las claves de manera seguro, al igual que el protocolo aún es UDP, lo que esto conlleva que la red debe admitir el tráfico UDP. Por lo que son aspectos que también se deben tener en cuenta. A pesar de esto, es una de las soluciones más completas del mercado.

Rendimiento de Tailscale

Esta herramienta está muy enfocada en dar facilidad de uso y simplicidad, pero esto no quiere decir que tenga un buen rendimiento. En todo caso, se la conoce como una solución de alto rendimiento. Esto es principalmente porque utiliza un protocolo propietario de alto rendimiento llamado «Magis Wormhole», el cual permite conexiones muy rápidas y seguras a través de la red. Por otro lado, da uso de diferentes técnicas de compresión de datos para reducir el tamaño de los paquetes transmitidos. Lo cual mejora la latencia y la velocidad de la conexión.

En cuanto a su arquitectura, utiliza una red descentralizada. Esto quiere decir quiere decir que los datos se transmiten de forma directa entre los diferentes dispositivos sin tener que pasar por un servidor centralizado. Para hacer que este proceso sea más rápido y eficiente, se utilizan las técnicas de compresión que mencionamos previamente. Lo cual se suma a la capacidad que tiene la herramienta para poder funcionar en gran variedad de dispositivos. Entre los que se incluyen los sistemas operativos de Linux, MacOS, Android e iOS. Lo cual quiere decir que los usuarios pueden utilizarla de forma remota, desde cualquiera de los equipos que utilice esos sistemas.

Como puedes ver, Tailscale utiliza un protocolo propio orientado a disponer de un muy buen rendimiento, con altas velocidades y con una red descentralizada. Lo cual sumado a la compresión que utilizan, hace que la conexión sea rápida y fiable desde cualquier lugar en remoto. Por lo cual estamos ante una solución segura, sencilla y rápida para gran variedad de plataformas. Siendo una muy buena opción para disponer de accesos remotos a una red en particular. En todo caso lo mejor que se puede hacer, es revisar cómo puede funcionar esta herramienta dentro de nuestra red. A pesar de todas sus características, su funcionamiento puede verse afectado dependiendo de cual sea la red y cómo esté configurada.

Registro y todas las opciones

Después de conocer las principales características y los diferentes motivos por los que es buena idea elegir esta solución para montar una red VPN, es el turno en el que vamos a ver cómo podemos registrarnos en Tailscale, y empezar a añadir dos equipos con Windows que estarán conectados a Internet a través de la misma conexión de FTTH.

Lo primero que tenemos que hacer es entrar en la web de Tailscale y registrarnos, pinchando en «Get Started» que lo tenemos en la parte superior derecha. Por lo que, en este aspecto, no esconde ningún tipo de misterio.

Para registrarnos será tan fácil como hacer uso de un email de Gmail de Google o un email de Microsoft, no nos da más opciones, si tenemos un email empresarial tendremos que ponernos en contacto con ellos para que nos den de alta en el servicio, pero seguramente te asignen los planes de pago y no los gratuitos, por lo que os recomendamos que os creéis un email de Gmail o Hotmail (Outlook) para usar este servicio. Aunque, en este paso la última decisión la tiene de manera individual cada usuario, esto es solamente una recomendación.

En cuanto nos registramos, nos llevará al menú principal de administración de Tailscale, aquí veremos varios submenús con las diferentes configuraciones que podremos realizar. Así que ahora es el momento de bucear entre todas las distintas opciones que se pueden encontrar en esta solución VPN.

Por ejemplo, dentro de la sección de «Machines» podremos ver todos los equipos, servidores y dispositivos que están dados de alta actualmente. Por defecto, nos creará un nodo del propio Tailscale para comprobar la conectividad. Debemos tener en cuenta que todos los equipos que conectemos estarán aquí, podremos editar el nombre del host, pero la dirección IP asignada no se puede cambiar y es fija por cada uno de los dispositivos. En la pestaña «External» es donde podremos dar de alta equipos de amigos o familiares y que queremos que se conecten a nuestra red principal.

Ya en la sección de «Services» es donde podremos monitorizar en tiempo real todos los servicios de Internet que hay funcionando en las máquinas de la red, podremos habilitar o deshabilitar esta funcionalidad, pero nos servirá para saber qué se está intercambiando dentro de la red privada virtual que tenemos configurada.

En la versión «Solo» o gratuita del servicio solamente puede haber un administrador, si adquirimos las versiones de pago podremos añadir más administradores en esta sección.

En la sección de «Access Control» podremos crear listas de control de acceso basado en JSON para permitir o denegar el tráfico de ciertos equipos, usuarios e incluso puertos. Para configurar esto en detalle tendremos que leer a fondo la documentación asociada para entender la sintaxis correctamente y no cometer ningún fallo en un aspecto tan importante como son las ACL.

En la sección de «DNS» es donde podremos configurar los «Magic DNS» que está en versión beta, de esta forma, podremos registrar los nombres DNS para los dispositivos de nuestra red local. Además, también tenemos la posibilidad de configurar «nameservers» de forma manual. Todo lo relacionado con los servidores DNS que tendrán los equipos para intercomunicarse uno con otro está aquí.

En la sección de «Settings» es donde podremos ver las características beta que tiene actualmente el servicio, e incluso podremos habilitar o deshabilitar la recolección de datos de los servicios.

En nuestro caso, nos hemos registrado con la versión gratuita, por tanto, en «Billing» lo tenemos todo vacío porque no hay ninguna información de compras.

Dentro de la sección de «Features» veremos las características beta y también la gestión de los «Magic DNS» como os hemos enseñado anteriormente.

Y en la sección de «Auth-Keys» es donde podremos registrar nuevos dispositivos sin realizar login en la cuenta de Gmail o Hotmail, podremos autenticar una máquina con un código de un solo uso, una vez utilizado expirará y no se podrá utilizar más. También tenemos la posibilidad de configurar una clave de varios usos, para autenticar diferentes máquinas con la misma clave y no tener que estar cambiándola continuamente. Por último, tenemos la sección de «API Key» que nos dará acceso a la API de Tailscale.

Ahora que ya hemos visto los principales menús vía web, vamos a descargar los clientes Tailscale en los diferentes equipos, y procedemos a dar de alta los diferentes equipos.

Descarga del cliente y dar de alta los equipos

Para descargar Tailscale en los ordenadores, simplemente tendremos que irnos a la sección de «Download», ya sea dentro del panel de administración o fuera del panel de administración. Deberemos elegir nuestro sistema operativo, debemos recordar que es compatible con Windows 7 o superior, sistemas operativos Linux, MacOS, Android y también iOS. Además, es compatible con dispositivos ARM como Raspberry Pi.

Una vez descargado, ejecutamos el instalador y en unos minutos ya lo tendremos instalado.

Al hacer doble click sobre el icono de la barra de tareas, nos lanzará el navegador web predeterminado del ordenador para proceder con la autenticación vía Gmail o Hotmail. Y en cuanto nos hayamos autenticado, ya estará dado de alta el equipo, tan sencillo y fácil como esto. En las opciones del propio programa de Tailscale para los dispositivos finales tendremos lo siguiente:

• Expiración de la autenticación
• Dirección IP privada asignada por la red
• Tráfico recibido y enviado
• Conectar
• Desconectar
• Habilitar conexiones entrantes
• Arrancar con el equipo
• Lanzar la consola de administración
• Ver todos los dispositivos de la red VPN
• Hacer login en otra cuenta
• Cerrar sesión de la cuenta actual
• Ver la versión del programa
• Salir

En cuanto demos de alta el equipo, nos aparecerá en el listado de «Machines» tal y como podéis ver, nos habrá asignado una dirección IP privada, detecta que es un sistema operativo Windows y que está actualmente conectado.

Cuando realizamos el mismo proceso en nuestro ordenador portátil, veremos que la única diferencia es el nombre del host y la dirección IP asignada a nuestro equipo.

Respecto a las opciones disponibles en cada uno de los equipos, tendremos la posibilidad de compartir esta máquina con amigos y familiares, editar el nombre del dispositivo, ver las opciones de enrutamiento, deshabilitar la expiración de clave y eliminar al equipo de la red VPN.

Si nos metemos en la sección de «Services» podremos ver todo el tráfico que hay enviendo y recibiendo de los diferentes dispositivos y que se comunican a través de esta red VPN. Por ejemplo, el tráfico que hagamos a Internet directamente no pasará por esta red, porque el objetivo de Tailscale es proporcionar conectividad entre los diferentes dispositivos.

Una vez que ya hemos visto cómo añadir equipos, vamos a comprobar la velocidad y la latencia de la conexión de Tailscale.

Velocidad y latencia

Ahora bien, uno de los puntos que más te van a interesar de este servicio en concreto no cabe duda de que es la velocidad y la latencia que ofrece a los usuarios. Por esto mismo, lo vamos a ver con detalle en las siguientes líneas. Y es que para tener una idea aún más a fondo de estos dos puntos, hemos hecho la prueba por nuestra cuenta. En este caso, el escenario de pruebas de latencia y velocidad es el siguiente:

• PC1 conectado por cable al router y con conexión a Internet de Pepephone 600Mbps simétricos.
• PC2 conectado por WiFi al punto de acceso WiFi, y en la misma conexión que el PC1.

Al hacer el típico ping, podremos ver que en un primer momento la latencia es alta, pero la latencia media es realmente buena tal y como podéis ver a continuación. Debemos tener en cuenta que todo el tráfico va cifrado y autenticado con WireGuard. Se puede comprobar que hay comunicación entre los equipos dentro de la red privada virtual de Tailscale.

En cuanto a la velocidad, podremos ver que tenemos una velocidad media de unos 55Mbps aproximadamente, tal y como podéis ver a continuación:

Os recomendamos visitar la documentación oficial de Tailscale, donde encontraréis todos los detalles técnicos y las posibilidades de esta gran alternativa al popular ZeroTier.

Fracias a Tailscale podremos interconectar equipos de forma fácil y rápida, por ejemplo, podríamos dar de alta todos nuestros equipos y conectarnos por control remoto vía Escritorio Remoto de Windows o vía VNC, sin necesidad de programas como Teamviewer, AnyDesk o Supremo Control. De esta forma, no dependeremos de un software de terceros para control remoto, solamente de la red VPN para interconectar los diferentes equipos.

Cómo acceder a toda tu red local usando un dispositivo en Tailscale

Tailscale permite acceder a todos los dispositivos de tu red local, aunque solamente uses un dispositivo con Tailscale instalado y configurado. De esta forma, podrás acceder a todos los dispositivos de tu red local (NAS, impresoras, cámaras IP, router, etc.) desde cualquier ubicación, como si estuvieras físicamente en casa y te conectases por cable o por Wi-Fi. Las VPN convencionales como OpenVPN o WireGuard también permiten esta configuración, para poder acceder a los recursos de la red local desde cualquier lugar. Los denominados como «subnet routers» permiten ampliar la red de Tailscale para incorporar dispositivos, actuando como puertas de enlace entre la red de Tailscale y la subred física donde esté conectado. Esto permite mantener el modelo de seguridad, a la vez que proporciona flexibilidad para entornos domésticos y profesionales.

Las ventajas de configurar un «subnet router» son las siguientes:

• Conectar dispositivos antiguos, o que no sean compatibles con el cliente de Tailscale.
• Integrar redes completas fácilmente: podemos conectar redes grandes sin instalar nada.
• Implementación gradual: podemos ir incorporando gradualmente las subredes a Tailscale.
• Mantener el control de acceso: los routers de subred respetan las políticas de control de acceso, manteniendo la seguridad de toda la red.

La configuración de los dispositivos que actúan como subnet router depende del sistema operativo donde tengamos instalado el cliente de Tailscale:

• Windows:
  • Activa la función IP forwarding: abre PowerShell en modo administrador, ejecuta «Get-NetIPInterface» para ver el listado de interfaces de red y sus identificadores. localiza la interfaz de la red local física, y ejecuta la orden: «Set-NetIPInterface -ifIndex -Forwarding Enabled».
  • Ejecuta en símbolo del sistema o CMD lo siguiente (debes poner la subred física que uses en casa): tailscale set –advertise-routes=192.168.1.0/24
• Linux:
  • Activa la función IP forwarding en el sistema operativo, ejecutando:  echo ‘net.ipv4.ip_forward = 1’ | sudo tee -a /etc/sysctl.conf
  • Ejecuta en consola lo siguiente (debes poner la subred física que uses en casa): sudo tailscale set –advertise-routes=192.168.1.0/24

También podemos hacer lo mismo en sistemas operativos macOS, tvOS e incluso en Android. Os recomendamos acceder a la documentación oficial donde tenéis toda la información.

Una vez que hayas activado esto en los clientes, tendrás que irte a la administración vía web, y seguir las siguientes instrucciones:

• Abrir la página de «Machines».
• Irte al menú de subnets en el listado de dispositivos.
• Seleccionar un dispositivo con la opción de «Subnet», y te vas a la sección de Subnets.
• Seleccionas editar, editas la opción y metes la subred que has indicado antes en los clientes. Pulsas guardar.

En estos momentos, ya deberías acceder a todos los dispositivos de tu red local de manera sencilla. No obstante, conviene que revises las opciones que tengas en «Access controls», ya que podemos configurar reglas avanzadas para permitir o denegar el tráfico.

Navega seguro usando tu conexión de casa desde cualquier lugar

Tailscale permite hacer reenvío de todo el tráfico de Internet a través de un nodo que esté configurado como «exit node». Todo el tráfico de red se enrutará a través de la conexión de tu casa, concretamente donde esté instalado el «exit node». Esto es perfecto por si viajas al extranjero, y quieres acceder a Internet como si estuvieras en casa, manteniendo la IP española para acceder al contenido local. También es idóneo para conectarte a redes Wi-Fi públicas con seguridad, añadiendo una capa de cifrado punto a punto, e incluso también para teletrabajo.

La configuración en el cliente es muy sencilla, debemos abrir el cliente y elegir la opción de «Exit Node», entonces funcionará como este nodo de salida de tus clientes. En sistemas operativos Linux deberás habilitar el IP forwarding, tal y como os hemos explicado anteriormente. Ahora debes irte a:

• Abrir la página de «Machines» y localizar el dispositivo donde has activado esta funcionalidad, y aparecerá como «Exit node«.
• Seleccionas el menú de tres puntos, y eliges «Edit route settings«.
• Pinchas la opción de «Use as exit node» y pinchas en guardar.

Os recomendamos acceder a la documentación oficial donde tenéis toda la información sobre los «Exit nodes» y cómo funcionan, pero lo cierto es que la configuración es realmente sencilla.