WireGuard por tu cuenta o Tailscale en un homelab: qué plano de control quieres operar

Tailscale es una versión de WireGuard con el trabajo de coordinación realizado por otra persona. La pregunta central no se trata de qué cifrado es mejor, sino de qué parte del control deseas manejar tú en el sistema: distribución de claves, configuración de puntos de conexión y recuperación de conexiones a través de firewalls y NAT.

Si tienes pocos nodos, un solo dispositivo con una IP pública y estás dispuesto a controlar todos los aspectos, WireGuard puro puede ser una buena opción, ya que mantienes el endpoint y las claves. Sin embargo, si no tienes una IP pública (CGNAT), varias personas en el homelab, o poco tiempo para mantenerlo, Tailscale es una mejor opción. Con Tailscale, las conexiones funcionan tras NAT sin necesidad de abrir puertos y el plan Personal es gratuito para uso no comercial.

WireGuard puro requiere más esfuerzo para establecer una conexión desde fuera del sistema. Cada nodo necesita conocer la clave pública de los otros nodos y configurar manualmente todos los aspectos, como interfaces, claves privadas, direcciones IP, puntos de conexión, puerto y mantención del keepalive. En cambio, Tailscale crea automáticamente una red interconectada (tailnet) con políticas de acceso predeterminadas cuando dos o más dispositivos están autenticados.

Además, se puede desplegar en minutos y las conexiones funcionan a través de firewalls y NAT sin necesidad de abrir puertos. Tailscale también puede enrutar todo el tráfico a través de un nodo saliente.

En ambos casos, CGNAT, NAT bloqueado o hard NAT, Tailscale funciona sin problemas, mientras que WireGuard puro puede tener problemas de mantenimiento, ya que requiere un punto de conexión alcanzable (como un servidor externo) que debes mantener tú mismo. Tailscale utiliza diferentes tipos de conexiones: directa (UDP), relé DERP y Peer Relay, todas cifradas con WireGuard, pero con diferencias en rendimiento.

Si tu casa está tras CGNAT o tienes un firewall, necesitarás un punto alcanzable para que la conexión funcione correctamente. En cambio, Tailscale puede elegir automáticamente la conexión más eficiente según la situación.

El plan Personal de Tailscale es gratuito y gratuito para uso no comercial, lo que incluye dispositivos de usuario ilimitados, hasta 6 usuarios y 50 recursos etiquetados. Las tailnets creadas con dominio público (como Gmail) se tratan como uso personal y el homelab se considera un caso de uso típico. Con WireGuard puro, el costo operativo proviene de la gestión del endpoint y las claves.

Para medir la latencia y el tipo de conexión de manera equivalente, puedes lanzar un ping ordinario hacia la IP del túnel de cada solución desde el mismo cliente, a la misma hora y comparar los resultados. Tailscale proporciona comandos como `tailscale status` y `tailscale ping` para obtener información sobre la conexión directa, relé o peer-relay. En el caso de WireGuard puro, el camino de la conexión está definido por el endpoint que configuras.

Tanto Tailscale como WireGuard ofrecen buen rendimiento, aunque haya avisos sobre posibles problemas de rendimiento en equipos viejos. Por ejemplo, en Tailscale v1.100.0, v1.102.0 y v1.98.10, se ha reportado una pérdida de optimización en ensamblador anterior a AVX para ChaCha20-Poly1305 en CPUs amd64 antiguas, lo que conduce a una disminución en el caudal de datos. WireGuard, por otro lado, se promete un alto rendimiento en el kernel de Linux, aunque su web indica que está en desarrollo activo.

Por último, el pack de Tailscale no incluye medidas propias de latencia y rendimiento, ni cubre detalles sobre Headscale ni Cloudflare Tunnel. Si estás utilizando alguno de estos servicios en tu homelab, comparte tus experiencias en los comentarios.