Tailscale es una de esas herramientas que parecen magia hasta que empiezas a usarla para cosas serias. Instalas un cliente, inicias sesión y tus equipos se ven entre ellos como si estuvieran en la misma red privada. Sin abrir puertos, sin pelearte con CG-NAT, sin recordar la IP pública de casa y sin explicar al router nada que el router no quiera aprender.
Para un homelab es comodísimo. Para una familia, puede serlo también. Pero ahí cambia el problema.
Cuando solo lo uso yo, Tailscale es una navaja suiza. Entro al NAS desde fuera, reviso un panel, conecto por SSH, abro una app interna o rescato algo que se ha quedado tonto. Si rompo algo, me molesto yo. Si meto a más gente de casa en la VPN, ya no estoy dando acceso a una herramienta de emergencia. Estoy diseñando una experiencia que tiene que ser segura, simple y bastante invisible.
Y eso pide menos entusiasmo y más límites.
El error: usar Tailscale como si todo el mundo fuera administrador#
El primer impulso es instalar Tailscale en todos los móviles, invitar a la familia al tailnet y decir: listo, ya pueden acceder a las fotos, documentos, recetas o lo que toque. Técnicamente funciona. Conceptualmente es una barbaridad pequeña, pero barbaridad al fin.
No todo el mundo necesita ver lo mismo. No todo dispositivo familiar debería poder hablar con todos los servidores. No todos los servicios internos están preparados para exponerse, aunque sea dentro de una VPN. Y desde luego nadie en casa debería depender de saber qué es una IP privada o por qué un nombre interno a veces resuelve y a veces no.
Tailscale simplifica la conectividad. No sustituye el diseño de permisos.
Si lo usas como una alfombra que tapa la red, acabas con móviles, portátiles, servidores, contenedores y subredes en el mismo plano mental. Bonito en el panel. Delicado en la vida real.
Mi regla sería esta: Tailscale para familia debe dar acceso a servicios concretos, no al homelab entero.
Qué problemas resuelve bien#
Hay usos donde Tailscale encaja de maravilla en casa.
Acceso remoto a fotos familiares. Si usas Immich, PhotoPrism o una galería interna, Tailscale permite abrirla fuera de casa sin publicar el servicio en internet. Esto es especialmente útil si todavía no quieres lidiar con reverse proxy público, WAF, bots y credenciales expuestas.
Acceso a documentos. Paperless-ngx, un gestor de archivos o una carpeta web interna pueden estar disponibles para quien lo necesite sin abrir puertos. Aquí hay que ser fino con permisos, pero la idea es buena.
Acceso de mantenimiento. Desde un portátil fuera de casa puedes revisar el NAS, entrar en Proxmox, mirar monitorización o reiniciar un servicio. Para quien mantiene el homelab, esto vale oro.
Subnet router para entrar en una red concreta. Si tienes un equipo siempre encendido en casa, puede anunciar una subred y permitir acceso a dispositivos que no tienen cliente Tailscale. Útil para impresoras, NAS antiguos, cámaras o paneles internos.
Compartir un servicio con alguien de confianza. Tailscale permite compartir máquinas concretas sin meter a esa persona dentro de todo tu tailnet. Para casos puntuales es bastante más limpio.
Todo esto evita abrir medio router. Y abrir menos puertos suele ser una victoria.
Qué problemas no resuelve#
Tailscale no arregla una mala arquitectura. Si tu servicio no tiene autenticación decente, seguirá sin tenerla. Si todos tus paneles usan contraseñas flojas, la VPN no convierte eso en buen diseño. Si tu DNS interno es un castillo de naipes, Tailscale puede hacerlo más cómodo, pero no menos frágil.
Tampoco convierte a la familia en usuarios técnicos. Si para ver fotos fuera de casa tienen que abrir una app, comprobar que aparece conectado, recordar un dominio interno y entender por qué el móvil usa datos, la adopción será regular. La familia no quiere una VPN. Quiere que la app abra.
Y no siempre es mejor que una publicación controlada. Para algunos servicios familiares, un dominio normal con HTTPS, autenticación fuerte y límites razonables puede ser más cómodo que obligar a instalar una VPN. Depende del servicio, del riesgo y de quién lo usa.
El romanticismo de “nada expuesto a internet” está bien, pero no debería convertir cada uso cotidiano en un ritual.
Mi diseño para una casa#
Separaría tres perfiles.
El perfil administrador sería para quien mantiene el homelab. Acceso a servidores, paneles, NAS, monitorización, SSH y redes internas. Aquí sí tiene sentido ver bastante, pero con 2FA, dispositivos aprobados y cuidado.
El perfil familia tendría acceso a pocos servicios. Fotos, documentos, recetas, quizá Home Assistant si hace falta. Nada de paneles de infraestructura, nada de consolas administrativas, nada de redes completas por defecto.
El perfil invitado sería temporal y muy limitado. Un servicio compartido, una máquina concreta o nada. Si alguien necesita descargar unas fotos, quizá hay una forma mejor que meterlo en tu VPN.
Esta separación no tiene que ser perfecta desde el primer día, pero tiene que existir. En Tailscale se puede trabajar con ACLs, grupos, etiquetas y dispositivos compartidos. No hace falta montar una tesis doctoral, pero sí dejar claro quién puede tocar qué.
Una configuración familiar debería tender a frases simples:
- Luis puede administrar infraestructura.
- Familia puede acceder a fotos y documentos.
- Invitados no pueden ver la red interna.
- Los servidores no aceptan tráfico innecesario desde móviles.
- Un móvil perdido se puede revocar rápido.
Si no puedes explicar tus reglas así, quizá son demasiado listas.
Subnet router: útil, pero no barra libre#
El subnet router es una de las funciones más potentes de Tailscale. También una de las que más fácil se usa de más.
Con un subnet router, un equipo dentro de casa anuncia una red local. Desde fuera, tus dispositivos Tailscale pueden llegar a IPs internas que no tienen Tailscale instalado. Esto resuelve muchísimas situaciones. Paneles de NAS, impresoras, cámaras, interfaces antiguas, dispositivos IoT o servicios que no puedes tocar.
Pero anunciar toda la LAN a todos los usuarios es demasiado generoso.
Yo anunciaría solo lo necesario y limitaría quién puede usarlo. Si la familia solo necesita fotos, quizá no necesita acceso a toda la red de servidores. Si el administrador necesita entrar en la LAN completa, perfecto. Pero eso no implica que cada móvil familiar tenga el mismo camino.
Además, un subnet router crea dependencia. Si ese equipo cae, el acceso remoto a esa red cae. Conviene que esté en un nodo estable, con IP fija interna, monitorización mínima y actualizaciones tratadas con respeto. No lo pondría en una VM experimental que reinicio cada vez que pruebo algo.
También documentaría qué anuncia. Parece una tontería hasta que meses después no recuerdas por qué un portátil remoto puede ver una impresora, pero no un NAS.
DNS y nombres que no den vergüenza#
El acceso remoto falla muchas veces por nombres, no por túneles.
Puedes usar las direcciones propias de Tailscale, MagicDNS o nombres internos tipo fotos.mi-homelab.local. Lo importante es no crear una experiencia donde cada usuario tenga que saber si está dentro de casa, fuera de casa, con VPN o sin VPN.
Para administración, me da igual usar nombres técnicos. Para familia, no.
Si alguien necesita abrir fotos, debería haber una URL clara. Idealmente siempre la misma. Si dentro de casa resuelve local y fuera entra por Tailscale, perfecto. Si eso exige demasiada magia, quizá es mejor usar un nombre Tailscale estable o un acceso público bien protegido.
El split DNS puede quedar muy elegante. También puede regalarte tardes enteras de “a mí no me abre”. Lo usaría cuando aporta claridad, no como prueba de ingeniería.
Seguridad práctica#
Tailscale reduce mucho el ruido de internet abierto, pero no elimina la necesidad de higiene.
Activaría 2FA en la cuenta que administra el tailnet. Revisaría dispositivos aprobados. Usaría nombres reconocibles. Revocaría móviles antiguos. Separaría usuarios. Aplicaría ACLs simples. Evitaría meter servicios sin contraseña solo porque “total, están en la VPN”.
También pensaría en el móvil perdido. Es el caso más realista. Si alguien pierde un teléfono con Tailscale instalado, quiero poder quitar ese dispositivo rápido. Si además ese móvil tenía sesión abierta en servicios internos, la VPN era solo una parte del problema.
Para servicios familiares, mantendría autenticación propia. Immich con usuarios. Paperless con usuarios. Home Assistant con usuarios. La VPN es una capa de entrada, no el único candado.
Y para paneles administrativos, nada de acceso familiar. Proxmox, NAS, routers, gestores de contenedores y dashboards sensibles son para administrar, no para estar disponibles por accidente en cualquier móvil de casa.
Cuándo no usaría Tailscale con la familia#
No lo usaría si el servicio tiene que funcionar para personas que no quieren instalar nada. Ahí un dominio con HTTPS y buena autenticación puede ser mejor.
No lo usaría como excusa para no configurar permisos en las aplicaciones. Si todos entran con el mismo usuario porque “ya están dentro de Tailscale”, mal.
No lo usaría para domótica básica si eso complica el uso diario. Si alguien quiere encender una luz desde fuera, quizá Home Assistant Cloud o una publicación muy concreta tiene más sentido que explicar una VPN.
No lo usaría en móviles de personas que no van a entender cuándo está conectado o qué implica. La seguridad también es experiencia. Si algo confunde, se acaba usando mal.
Y no lo usaría para compartir servicios con gente lejana de forma permanente sin revisar ACLs. Para eso existen enlaces compartidos, cuentas de aplicación o accesos públicos mejor delimitados.
Comparado con abrir puertos#
Abrir puertos no es pecado. Abrirlos sin pensar, sí.
Para servicios públicos con usuarios externos, un reverse proxy con HTTPS, actualizaciones, autenticación fuerte y medidas básicas puede ser razonable. Para paneles internos, herramientas de administración y servicios familiares privados, Tailscale suele ser más cómodo y mucho menos expuesto.
La diferencia está en el público objetivo.
Si el servicio es para internet, diséñalo como servicio de internet. Si es para casa y acceso remoto ocasional, Tailscale encaja muy bien. Si es para la familia, decide si instalar una VPN mejora o empeora la experiencia.
No hay medalla por no abrir ningún puerto si a cambio nadie usa tus servicios.
Mi configuración ideal#
En una casa con homelab, haría algo así:
- Un tailnet con 2FA y dispositivos revisados.
- Un grupo administrador con acceso amplio.
- Un grupo familia con acceso a servicios concretos.
- ACLs cortas y legibles.
- Un subnet router estable para la red que haga falta, no para todo por defecto.
- Nombres claros para servicios familiares.
- Autenticación propia en cada aplicación.
- Revisión mensual de dispositivos conectados.
- Procedimiento rápido para quitar un móvil perdido.
No intentaría dejarlo perfecto. Intentaría dejarlo entendible.
El mayor peligro de Tailscale no es técnico. Es que funciona tan bien que te anima a conectar más cosas de las necesarias. Y un homelab familiar agradece justo lo contrario: menos superficie, menos sorpresas y menos explicaciones raras.
Mi conclusión#
Tailscale me parece de las mejores herramientas para acceso remoto en un homelab doméstico. Evita abrir puertos, atraviesa redes complicadas y hace que administrar desde fuera sea muchísimo más fácil. Para uso personal, es casi obvio.
Para familia, lo usaría con más cuidado. Acceso a servicios concretos, permisos claros, móviles revocables y cero barra libre hacia la infraestructura. La familia no necesita entrar en tu homelab. Necesita ver fotos, consultar documentos o usar una app sin pensar demasiado.
Ese es el punto: Tailscale debe desaparecer en la experiencia diaria. Si se convierte en otra cosa que hay que explicar, revisar y arreglar cada semana, has cambiado un problema de red por un problema doméstico.
Y esos son peores. Los routers no te miran mal durante la cena.