Cualquiera que alguna vez haya alojado un pequeño servicio en casa y luego se haya mudado de apartamento conoce el patrón. El nuevo ISP nos coloca detrás de NAT de grado de operador, nuestra IPv4 pública se convierte en una dirección compartida que utilizan cientos de otros suscriptores, y todos los tutoriales “simplemente reenvía el puerto” se silencian. Cloudflare Tunnel y algunos herramientas similares resuelven esto de manera silenciosa y económica. Probamos siete de ellas en una red doméstica real con CGNAT durante dos semanas. Esta es la lista de trabajo.
Qué buscar en una aplicación de bypass CGNAT
El problema no es un problema. Son tres:
- Alcanzar un servicio detrás de nuestra LAN doméstica sin ningún puerto de entrada
- Cifrar el tráfico para que el proveedor del túnel o el salto intermedio no puedan leerlo
- No pagar una suscripción a menos que el conjunto de características realmente lo justifique
Una solución CGNAT que funcione debería ofrecernos:
- Conexión solo de salida desde nuestro hogar a un relé en el que confiamos
- Cifrado de extremo a extremo completo, no solo TLS al relé
- Un nombre de host estable que podamos apuntar a nuestro teléfono o portátil
- Límites de ancho de banda razonables para streaming y descargas
- Clientes para Steam Deck, Windows, macOS y Linux para una portabilidad real
Comparación rápida
| Aplicación | Mejor para | Plataformas | Plan gratuito | Característica destacada |
|---|---|---|---|---|
| Cloudflare Tunnel | Servicios HTTPS públicos | Windows, macOS, Linux | Nivel gratuito | Dominio personalizado gratuito y TLS |
| Tailscale | Malla personal en todos nuestros dispositivos | Windows, macOS, Linux, iOS, Android | Gratis para 3 usuarios, 100 dispositivos | Malla WireGuard zero-config |
| ZeroTier | Malla de estilo LAN con enrutamiento granular | Windows, macOS, Linux, iOS, Android | Gratis para 25 dispositivos | LAN emulada de capa 2 |
| ngrok | URL público rápido para un puerto local | Windows, macOS, Linux | Nivel gratuito con límites de velocidad | HTTPS instantáneo en un comando |
| WireGuard | Túnel DIY a través de un VPS barato | Windows, macOS, Linux, iOS, Android | Gratis, código abierto | Túnel más rápido que probamos |
| Twingate | Acceso remoto zero-trust para equipos | Windows, macOS, Linux, iOS, Android | Gratis para 5 usuarios | Control de acceso basado en identidad |
| Localtonet | Túnel inverso simple con TCP/UDP | Windows, macOS, Linux | Nivel gratuito | Se admiten protocolos que no son HTTP |
Las aplicaciones
1. Cloudflare Tunnel, mejor en general para servicios HTTPS públicos
Cloudflare Tunnel es la respuesta directa a CGNAT para cualquiera que aloje un servidor Plex, una instancia de Home Assistant o un pequeño sitio web en casa. Ejecutamos el daemon cloudflared gratuito, iniciamos sesión con nuestra cuenta de Cloudflare, y Cloudflare retransmite HTTPS a nuestro hogar. Dominio personalizado y TLS gratuito incluidos. Las reglas de Zero Trust controlan quién accede a qué.
Dónde se queda corto: Solo HTTP/HTTPS para el nivel gratuito. Los servicios que no son web necesitan Cloudflare Access con un componente warp del lado del cliente.
Precios:
- El nivel gratuito cubre túneles ilimitados y 50 usuarios por organización Zero Trust.
- El acceso de pago agrega SSO y registros de auditoría desde alrededor de $7 por usuario por mes.
Plataformas: Windows, macOS, Linux, Docker, ARM (Raspberry Pi)
Descargar: GitHub Releases · Publisher site
Conclusión: La recomendación predeterminada. Gratuito, rápido, confiable y resiste los cambios de ISP.
2. Tailscale, mejor para una malla personal en todos nuestros dispositivos
Tailscale construye una malla WireGuard en todos nuestros dispositivos con casi ninguna configuración. En el momento en que lo instalamos en un portátil y un servidor doméstico, pueden alcanzarse entre sí por nombre de host incluso desde una cafetería. MagicDNS le da a cada dispositivo un nombre memorable. Steam Deck, iOS, Android, todos funcionan.
Dónde se queda corto: El nivel gratuito se limita a tres usuarios. No está orientado a servicios de cara al público a menos que usemos Tailscale Funnel.
Precios:
- El plan gratuito personal cubre 3 usuarios y 100 dispositivos.
- Personal Plus alrededor de $5 por usuario por mes para ACL avanzadas.
Plataformas: Windows, macOS, Linux, iOS, Android, Steam Deck
Descargar: Publisher site · GitHub Releases
Conclusión: La opción si solo nosotros y nuestros dispositivos necesitamos acceso. La configuración toma cinco minutos.
3. ZeroTier, mejor para malla de estilo LAN con enrutamiento granular
ZeroTier precede a Tailscale y emula una LAN de capa 2 en Internet. Misma subred en tres continentes si lo deseamos. Tiene sentido si ejecutamos juegos o protocolos que asumen una LAN. El controlador es la nube de ZeroTier o un ztncui autohospedado.
Dónde se queda corto: Mayor sobrecarga de CPU que WireGuard. La interfaz de usuario está desactualizada. El nivel gratuito se limita a 25 dispositivos.
Precios:
- Gratis para hasta 25 dispositivos.
- Niveles pagos desde alrededor de $5 por mes para 100+ dispositivos.
Plataformas: Windows, macOS, Linux, iOS, Android
Descargar: Publisher site · GitHub Releases
Conclusión: Para el caso de uso de emulación de LAN. Los juegos LAN retro entre hogares funcionan fuera de la caja.
4. ngrok, mejor para una URL pública rápida
ngrok resuelve el problema “necesitamos demostrar este servicio local a alguien ahora mismo”. Un comando convierte un puerto local en una URL HTTPS. Túneles TCP con un plan de pago. El nivel gratuito es excelente para uso ocasional.
Dónde se queda corto: Las URL gratuitas son aleatorias en cada sesión. Ancho de banda limitado en el nivel gratuito. No está diseñado para alojamiento 24/7.
Precios:
- Nivel gratuito con límites de velocidad.
- Plan personal desde alrededor de $10 por mes para un dominio reservado.
Plataformas: Windows, macOS, Linux
Descargar: Publisher site
Conclusión: Para túneles temporales, no una columna vertebral de servidor doméstico. Cloudflare Tunnel es la mejor opción predeterminada para cualquier cosa de larga duración.
5. WireGuard, mejor para un túnel DIY a través de un VPS barato
WireGuard es el protocolo VPN moderno a nivel de kernel detrás de Tailscale. Omita el contenedor y ejecútelo directamente contra un VPS de $5 por mes. Obtenemos una IP pública en el VPS y podemos retransmitir a la inversa cualquier cosa que queramos. Cero conocimiento de terceros de nuestro tráfico.
Dónde se queda corto: Nosotros hacemos la plomería. Nginx o Caddy en el VPS manejan el enrutamiento. Curva de aprendizaje más pronunciada que las opciones administradas.
Precios:
- WireGuard en sí es gratuito.
- VPS desde alrededor de $4 por mes en proveedores como Hetzner o Vultr.
Plataformas: Windows, macOS, Linux, iOS, Android
Descargar: Publisher site · GitHub Releases
Conclusión: Para cualquiera que quiera control total y no le importe una noche de configuración.
6. Twingate, mejor para acceso zero-trust del equipo
Twingate reemplaza la VPN tradicional con acceso consciente de la identidad. Cada usuario se autentica a través de su proveedor de SSO, luego accede solo a los recursos que su grupo puede. Más adecuado para un pequeño equipo que para un operador de homelab en solitario.
Dónde se queda corto: No está orientado a servicios públicos. El nivel gratuito se limita a cinco usuarios.
Precios:
- Nivel gratuito para 5 usuarios y 10 recursos.
- Pagado desde alrededor de $10 por usuario por mes.
Plataformas: Windows, macOS, Linux, iOS, Android
Descargar: Publisher site
Conclusión: Para equipos distribuidos que comparten un laboratorio doméstico. Los usuarios individuales pueden omitir.
7. Localtonet, mejor para protocolos que no son HTTP
Localtonet admite túneles TCP, UDP e HTTP a través de un relé alojado. Útil para exponer un servidor de juegos, un puerto SSH o un servidor de Minecraft detrás de CGNAT sin pagar la tarifa de ngrok. Subdominios personalizados en niveles de pago.
Dónde se queda corto: Más nuevo que los otros; menos documentación de la comunidad. Límites de nivel gratuito en túneles concurrentes.
Precios:
- Nivel gratuito con un túnel estático.
- Pagado desde alrededor de $4 por mes para más túneles y subdominios personalizados.
Plataformas: Windows, macOS, Linux
Descargar: Publisher site
Conclusión: La opción cuando necesitamos reenvío TCP o UDP, no solo HTTPS.
Cómo elegir la correcta
Si queremos publicar un servicio en la web abierta: Cloudflare Tunnel.
Si solo necesitamos que nuestros propios dispositivos accedan a nuestro hogar: Tailscale.
Si queremos juegos LAN emulados o protocolos: ZeroTier.
Si necesitamos una URL pública para los próximos veinte minutos: ngrok.
Si queremos control total y un VPS barato: WireGuard.
Si ejecutamos un pequeño homelab de equipo: Twingate.
Si necesitamos reenvío TCP o UDP para un servidor de juegos: Localtonet.
Preguntas frecuentes
¿Cuál es la mejor forma gratuita de eludir CGNAT?
Cloudflare Tunnel para servicios HTTPS y Tailscale para acceso de dispositivo a dispositivo. Ambos tienen niveles gratuitos permanentes que cubren la mayoría del uso doméstico.
¿Realmente penetran CGNAT?
Sí. Todos utilizan conexiones solo de salida desde nuestro hogar a un relé, lo que hace que CGNAT sea irrelevante.
¿Es Cloudflare Tunnel mejor que Tailscale?
Trabajos diferentes. Cloudflare Tunnel es para servicios públicos. Tailscale es para acceso de malla privada entre nuestros propios dispositivos.
¿Puedo usar uno de estos para eludir CGNAT para juegos?
Para servidores de juegos que alojamos en casa, ZeroTier o Localtonet. Para jugar juegos multijugador con amigos, la LAN emulada de ZeroTier maneja bien los títulos solo para LAN.
¿Cuál usa el menor overhead de ancho de banda?
WireGuard, por un pequeño margen. Tailscale y ZeroTier colocan su propio nivel de gestión sobre protocolos derivados de WireGuard.
