Cada puerto abierto en un router casero es una invitación. Las botnets escanean todo el espacio de direcciones IPv4 en menos de una hora, y un servicio autohospedado expuesto en :32400 o :8006 comenzará a recibir tráfico de relleno de credenciales en cuestión de minutos. La ruta más segura es una mesh VPN: cada dispositivo (portátil, teléfono, servidor casero, VPS) se une a una red de superposición encriptada, y los servicios permanecen vinculados solo a esa red. Sin configuración de router, sin DNS dinámico, sin puertos expuestos.
Probamos las 7 mejores aplicaciones de mesh VPN autohospedadas para un laboratorio casero en 2026. Todas funcionan en Linux, la mayoría en Windows y macOS, y todas mantienen el plano de coordinación bajo su control o se pueden usar sin una cuenta. La lista cubre la opción comercial pulida con nivel gratuito, los planos de control completamente autohospedados, los enfoques de igual a igual que no necesitan servidor en absoluto, y las opciones de confianza cero de nivel empresarial que se escalan más allá de un hogar.
Qué buscar en una mesh VPN autohospedada
Elige una mesh VPN que:
- Utiliza WireGuard o un protocolo moderno equivalente. Las topologías antiguas de OpenVPN aún funcionan, pero cada proyecto nuevo relevante en el espacio se basa en WireGuard por una razón.
- Te permite alojar el plano de control en tu propio hardware si lo deseas. Un plano de control cerrado es una dependencia oculta y un futuro aumento de precio.
- Soporta traversal NAT de manera confiable. Si la mayoría de tus pares están detrás de CGNAT, necesitas un fallback de relay, no solo un agujero UDP directo.
- Envía un modelo de ACL funcional. Cada dispositivo en la mesh no debe llegar automáticamente a cada puerto en cada otro dispositivo.
- Tiene un cliente móvil que sobrevive al fondo. Los miembros de la familia no tolerarán una VPN que se desconecta silenciosamente.
Comparación rápida
| Aplicación | Mejor para | Plataformas | Nivel gratuito | Plano de control autohospedado |
|---|---|---|---|---|
| Tailscale | Mesh sin configuración en cinco minutos | Linux, Windows, macOS, iOS, Android | Sí, hasta 100 dispositivos | Vía Headscale |
| Headscale | Coordinador Tailscale completamente autohospedado | Linux (Docker), macOS | Gratis, autohospedado | Sí |
| NetBird | Alternativa Tailscale autohospedada con identidad incorporada | Linux, Windows, macOS, iOS, Android | Sí, hasta 100 pares | Sí |
| ZeroTier | Mesh capa 2 con conmutadores virtuales | Linux, Windows, macOS, iOS, Android | Sí, hasta 25 nodos | Vía ztncui o myzt |
| Nebula | Mesh punto a punto del equipo Slack | Linux, Windows, macOS, iOS | Gratis, autohospedado | Sí, incorporado |
| Innernet | Mesh WireGuard simple con ACL basado en CIDR | Linux, macOS | Gratis, autohospedado | Sí, incorporado |
| OpenZiti | Superposición de confianza cero con SDK en la aplicación | Linux, Windows, macOS, iOS, Android | Gratis, autohospedado | Sí |
Por qué la gente busca una mesh VPN autohospedada
La era del reenvío de puertos termina cuando un laboratorio casero crece más allá de un servicio expuesto. Cada puerto adicional es otra superficie de ataque, cada nombre DDNS es otro objetivo, y Cloudflare Tunnel o ngrok resuelven el problema de enrutamiento mientras crean una nueva dependencia oculta. Una mesh VPN traslada el límite de confianza hacia adentro: solo los dispositivos que tienen una clave pueden ver que el servicio existe. El volumen de registro en los servicios afectados cae a cero solicitudes externas, y toda la clase de incidentes “el bot encontró mi panel” desaparece de la noche a la mañana.
El segundo impulsor es CGNAT. Muchos ISP residenciales ya no asignan direcciones IPv4 enrutables, lo que hace que el reenvío de puertos tradicional sea físicamente imposible. Una mesh VPN con un fallback de relay funciona sin necesidad de participación del ISP.
Las aplicaciones
1. Tailscale — mejor para mesh sin configuración en cinco minutos
Tailscale es la mesh VPN moderna predeterminada y la aplicación con la que la mayoría de las personas deberían comenzar. Instala el cliente en cada dispositivo, inicia sesión en un proveedor de identidad común, y cada dispositivo puede llegar a cada otro dispositivo por nombre de host sobre WireGuard. Magic DNS proporciona a los pares nombres estables .ts.net, los enrutadores de subred extienden la mesh a dispositivos que no pueden ejecutar el cliente (una impresora, un televisor inteligente), y la función de nodo de salida permite que cualquier par enrute su tráfico de internet a través de otro par.
Dónde falla: El nivel gratuito se limita a 100 dispositivos, tres usuarios y requiere un proveedor de identidad de terceros (Google, Microsoft, GitHub, Apple). El plano de coordinación es hospedado por Tailscale de forma predeterminada — el tráfico real es punto a punto con encriptación de extremo a extremo, pero la dependencia del plano de control existe.
Plataformas: Linux, Windows, macOS, iOS, Android, FreeBSD, Docker. Integraciones de router para OPNsense, pfSense y OpenWrt.
Descargar: Descargar Tailscale
Conclusión: La opción correcta para cualquiera que quiera una mesh VPN funcionando antes de cenar y no le importe el plano de control hospedado.
2. Headscale — mejor coordinador Tailscale completamente autohospedado
Headscale es la reimplementación de código abierto del servidor de control Tailscale. Los clientes Tailscale oficiales lo apuntan con una única variable de entorno, cada cuenta, ACL y decisión de ruta se ejecuta en tu hardware, y la configuración es un único binario Go o contenedor Docker. El proyecto es mantenido por un equipo independiente con un ritmo de lanzamiento activo.
Dónde falla: La paridad de características queda rezagada del plano de control Tailscale oficial, por lo que las características más nuevas (Taildrop, parte de la sintaxis ACL, enlaces para compartir) llegan semanas o meses después. No se envía ninguna interfaz web en la caja; empareja con headscale-ui o los paneles de control comunitarios.
Plataformas: Servidor Linux (nativo o Docker), servidor macOS. Los clientes son las aplicaciones Tailscale oficiales para cada plataforma que Tailscale soporta.
Descargar: Lanzamientos de Headscale
Conclusión: La opción correcta cuando te gusta la experiencia del cliente Tailscale pero rechazas depender del plano de control de otra persona.
3. NetBird — mejor alternativa Tailscale autohospedada con identidad incorporada
NetBird es una mesh VPN basada en WireGuard que viene con su propia consola de administración, su propia integración de proveedor de identidad y una ruta de implementación de primera mano. Traversal NAT punto a punto, ACL, nodos de salida y DNS se encuentran en la misma interfaz web, y toda la pila se ejecuta en un único VPS con Docker Compose. La empresa también ofrece un nivel hospedado si deseas probarlo antes de implementar tu propio plano de control.
Dónde falla: Proyecto más joven que Tailscale, por lo que el ecosistema de herramientas de terceros es más pequeño. Algunas características empresariales (SCIM, registros de auditoría granular) requieren el nivel hospedado o de pago.
Plataformas: Linux, Windows, macOS, iOS, Android. Docker para el plano de control autohospedado.
Descargar: Descargar NetBird
Conclusión: La opción correcta cuando deseas una mesh VPN autohospedada con una interfaz web seria y sin dependencia de un proveedor de identidad de terceros.
4. ZeroTier — mejor para mesh capa 2 con conmutadores virtuales
ZeroTier trata la mesh como un conmutador Ethernet virtual en lugar de un conjunto de rutas punto a punto. Cada dispositivo se une a una red por ID y obtiene una IP en la misma LAN virtual, lo que hace que los protocolos que se basan en broadcast capa 2 (algunos dispositivos de hogar inteligente, herramientas de uso compartido de archivos más antiguas, servidores de juegos LAN) funcionen en toda la mesh sin puente adicional. Los servidores raíz retransmiten tráfico cuando fallan las conexiones de pares directos.
Dónde falla: El modelo de conmutador virtual es más pesado que WireGuard puro y agrega un pequeño impuesto de latencia. El plano de control predeterminado es hospedado por ZeroTier; el auto-hospedaje requiere el proyecto comunitario ztncui.
Plataformas: Linux, Windows, macOS, iOS, Android, FreeBSD, Synology, QNAP.
Descargar: Descargar ZeroTier
Conclusión: La opción correcta cuando un servicio que deseas en la mesh necesita semántica de capa 2 en lugar de conectividad enrutada.
5. Nebula — mejor mesh punto a punto del equipo Slack
Nebula fue construida en Slack para su red de superposición de producción y se abrió con el mismo diseño. Cada host ejecuta el mismo binario, los certificados identifican hosts y grupos, y las reglas de firewall viajan con los certificados en lugar de aplicarse solo en una puerta de enlace. La función lighthouse (un servidor de encuentro para descubrimiento de pares) puede ejecutarse en el VPS más barato del mundo.
Dónde falla: La gestión de certificados es manual de forma predeterminada, por lo que lo programas tú mismo o utilizas el proyecto ncplus mantenido por la comunidad para una interfaz web. Sin interfaz móvil oficial para Android; iOS es compatible.
Plataformas: Linux, Windows, macOS, iOS, FreeBSD. Soporte de Android mantenido por la comunidad.
Descargar: Lanzamientos de Nebula
Conclusión: La opción correcta cuando deseas una mesh VPN con pedigrí de producción y estás cómodo gestionando certificados desde la línea de comandos.
6. Innernet — mejor mesh WireGuard simple con ACL basado en CIDR
Innernet es una mesh WireGuard pequeña y bien diseñada del equipo en tonarino. El modelo mental es CIDR: define una red de nivel superior, divídela en sub-CIDR (por equipo, por entorno) y otorga a los pares acceso a CIDR específicos en lugar de hosts individuales. Cada par ejecuta un daemon ligero que extrae sus pares asignados de un coordinador que auto-hospedas.
Dónde falla: Sin aplicaciones móviles en absoluto. Sin interfaz web — todo está impulsado por CLI. El ritmo de desarrollo es más lento que los proyectos financiados, aunque el núcleo ha sido estable durante años.
Plataformas: Linux, macOS. El servidor se ejecuta en Linux.
Descargar: Lanzamientos de Innernet
Conclusión: La opción correcta para un laboratorio casero centrado en Linux donde cada dispositivo ejecuta un shell y el modelo de ACL basado en CIDR coincide con la forma en que ya piensas sobre la segmentación de redes.
7. OpenZiti — mejor superposición de confianza cero con SDK en la aplicación
OpenZiti es el proyecto más ambicioso del grupo. Más allá del modelo de mesh VPN estándar, envía SDK que permiten que una aplicación se conecte directamente a la superposición sin un cliente VPN a nivel de sistema, lo que te permite exponer una base de datos o API interna solo a la aplicación específica que la necesita. La mesh se basa en tejido, con múltiples enrutadores periféricos para resiliencia.
Dónde falla: La carga conceptual es mayor — identidades, políticas, servicios y enrutadores periféricos son objetos separados. Excesivo para un despliegue familiar. Mejor reservado para laboratorios caseros que realmente ejecutan microservicios.
Plataformas: Linux, Windows, macOS, iOS, Android. Docker y Kubernetes para el tejido.
Descargar: Descargas de OpenZiti
Conclusión: La opción correcta para un laboratorio casero que ha crecido hasta convertirse en un conjunto de servicios internos y desea autorización por aplicación, no solo por dispositivo.
Cómo elegir la correcta
- Si deseas una mesh VPN funcionando antes de terminar de leer este artículo: Tailscale.
- Si rechazas depender del plano de control de otra persona y amas la experiencia del cliente Tailscale: Headscale.
- Si deseas la misma postura autohospedada sin cambiar a una reimplementación comunitaria: NetBird.
- Si tu mesh necesita broadcast capa 2 para un caso de uso de hogar inteligente o juegos: ZeroTier.
- Si deseas un binario pequeño probado en producción y estás cómodo gestionando certificados: Nebula.
- Si tu laboratorio casero es solo Linux y ya piensas en CIDR: Innernet.
- Si ejecutas servicios internos reales y deseas autorización por aplicación: OpenZiti.
Para la mayoría de laboratorios caseros que reemplazan el reenvío de puertos del router, la respuesta correcta es Tailscale en el plano de control hospedado o NetBird en el plano de control autohospedado. Los otros cinco son la opción correcta cuando un requisito específico (semántica capa 2, identidad basada en certificados, confianza cero a nivel de aplicación) descarta los dos primeros.
Preguntas frecuentes
¿Cuál es la forma más segura de exponer un servicio de laboratorio casero a internet?
No lo expongas a internet público en absoluto. Coloca el servicio detrás de una mesh VPN, instala el cliente VPN en los dispositivos que necesitan acceso, y deja el firewall del router cerrado. El servicio aún necesita su propia autenticación, pero la superficie de ataque se reduce de “toda internet” a “dispositivos que ya tienen una clave de mesh”.
¿Aún necesito Cloudflare Tunnel si uso una mesh VPN?
Solo para sitios públicos que visitantes no autenticados necesitan alcanzar. Un panel privado, una instancia de Home Assistant o un servidor de copia de seguridad de fotos deben vivir en la mesh. Un blog público o un receptor de webhook que Stripe o GitHub necesita llamar debe estar detrás de un túnel.
¿Es Tailscale realmente gratuito para uso doméstico?
Sí, hasta 100 dispositivos y 3 usuarios en el nivel gratuito. El tráfico es punto a punto WireGuard con encriptación de extremo a extremo independientemente del nivel; los niveles pagos agregan características de SSO, duraciones de sesión más largas y controles organizacionales que un hogar no necesita.
¿Puedo ejecutar una mesh VPN detrás de CGNAT?
Sí. Todas las opciones aquí manejan CGNAT a través de traversal NAT punto a punto o a través de un fallback de relay (DERP para Tailscale y Headscale, servidores raíz para ZeroTier, lighthouses para Nebula). La ruta de relay agrega latencia pero mantiene la mesh funcionando cuando ningún ISP asigna una dirección IPv4 pública.
¿Qué aplicación de mesh VPN tiene la mejor aplicación móvil?
Tailscale y NetBird envían los clientes móviles más pulidos hoy en día. Ambos sobreviven al fondo, se reconectan rápidamente después de cambios de red y exponen el modelo ACL claramente. Las aplicaciones móviles de ZeroTier funcionan pero se sienten desactualizadas. Innernet y Nebula no tienen aplicaciones de Android de primera mano.
