WireGuard a pelo funciona, pero cada nuevo dispositivo significa generar claves, editar configuraciones y decidir cómo va a encontrarse con los demás si cambia de red. Tailscale resuelve justo esa parte: sigue siendo WireGuard por debajo, pero el descubrimiento de pares, el intercambio de claves y el salto por NAT los gestiona un plano de control que tú no tienes que mantener.
Cómo montar tu propia tailnet con Tailscale para acceder a tu red sin abrir puertos
28 de septiembre de 2026por Adrián Muñoz Valverde
- 1
Paso 1: Qué es una tailnet y en qué se diferencia de WireGuard a mano
Con WireGuard "a pelo" (ya cubierto en El Rack) tú generas y distribuyes cada clave pública a mano. Una tailnet es esa misma red WireGuard, pero con un plano de control que hace de directorio: cada dispositivo se autentica una vez contra tu cuenta, y a partir de ahí encuentra solo al resto de nodos, negociando conexión directa cuando puede y pasando por un relé (DERP) cuando el NAT no lo permite.
- 2
Paso 2: Instalar el cliente y unir el primer nodo
curl -fsSL https://tailscale.com/install.sh | sh sudo tailscale up
El comando abre una URL de autenticación en el navegador. Repite la instalación en cada equipo o servidor que quieras que forme parte de la tailnet.
- 3
Paso 3: Activar MagicDNS
Desde el panel de administración de Tailscale, activa MagicDNS para que cada nodo tenga un nombre corto (por ejemplo, servidor-nas) en vez de tener que recordar direcciones 100.x.x.x.
- 4
Paso 4: Publicar toda tu red local sin instalar el cliente en cada dispositivo
Si no quieres (o no puedes) instalar Tailscale en cada cámara, impresora o dispositivo IoT de tu red, un solo nodo puede anunciar la subred completa como ruta:
sudo tailscale up --advertise-routes=192.168.1.0/24 --accept-routes
La ruta anunciada queda pendiente de aprobación manual en el panel de administración — apruébala ahí para que el resto de nodos puedan llegar a esa subred.
- 5
Paso 5: Restringir quién ve qué con una ACL mínima
Por defecto, todos los nodos de una tailnet nueva se ven entre sí. Para un homelab compartido con más gente, conviene limitarlo desde el fichero de política de acceso:
{ "acls": [ { "action": "accept", "src": ["group:familia"], "dst": ["tag:homelab:*"] } ] }
Conclusión
Con la tailnet montada y las rutas de tu red local publicadas, ya no necesitas abrir un solo puerto en el router para llegar a tu homelab desde fuera. El siguiente paso natural es un exit node si además quieres salir a internet a través de tu propia red cuando estés fuera de casa.
