Categoría: Redes y VPN
Red privada con NetBird o Tailscale: acceso zero trust sin abrir puertos
Una red privada en la que cada portátil, servidor y oficina se conecta con el inicio de sesión de la empresa, y las reglas deciden quién llega a qué, sin servidores con puertos abiertos a internet.
- Dónde se monta
- En vuestra cuenta, a vuestro nombre
- Copias
- Con restauración probada
- Actualizaciones
- Planificadas y documentadas
- Licencia
- NetBird: clientes BSD-3 y servidor AGPLv3; Headscale: BSD-3; Tailscale: servicio propietario con clientes open source
En resumen
NetBird y Tailscale crean una red privada en malla sobre WireGuard: cada dispositivo se conecta directamente con los demás y el acceso se decide por persona y por grupo. Tailscale es un servicio en la nube; NetBird y Headscale se pueden alojar en vuestra cuenta. Lo montamos, lo conectamos con vuestro inicio de sesión único, escribimos las reglas de acceso, copiamos la configuración y lo mantenemos al día.
¿Qué nos encargamos de mantener?
Instalar el cliente en un portátil lleva un minuto. Lo que hay que cuidar es lo de alrededor: que las reglas no dejen a todo el mundo llegar a todo, que las bajas se apliquen, que el servidor de coordinación tenga copia y que los dispositivos estén al día. Esto es lo que dejamos bajo control:
Servidor de coordinación
NetBird o Headscale en vuestra cuenta, con HTTPS, base de datos y copia; o vuestra red de Tailscale bien configurada.
Inicio de sesión único
Cada persona entra con la cuenta de la empresa y, si vuestro proveedor lo pide, con doble factor.
Reglas de acceso
Grupos por equipo y por función, y reglas que solo abren lo necesario, guardadas en código.
Rutas a redes internas
Enrutadores hacia la oficina o la nube para llegar a equipos donde no se instala nada.
Dispositivos
Altas, bajas, dispositivos perdidos y equipos que ya no deberían estar en la red.
Vigilancia
Servidor caído, dispositivos sin conectar, tráfico por relay y clientes desactualizados.
¿Cómo funciona una red en malla?
Las tres opciones usan WireGuard para cifrar el tráfico entre dispositivos. La diferencia con una VPN clásica es quién coordina y dónde vive esa pieza:
| Opción | Servidor de coordinación | Cuándo lo proponemos |
|---|---|---|
| Tailscale | Servicio en la nube del fabricante | Queréis lo más sencillo y no os importa que la coordinación esté fuera |
| NetBird | En vuestra cuenta o en su nube | Queréis todo en vuestra infraestructura, con panel web y reglas por grupo |
| Headscale | En vuestra cuenta, con los clientes de Tailscale | Una sola red, equipo técnico y nada de servicios de terceros |
El servidor de coordinación reparte las claves públicas y las reglas, pero el tráfico va directo entre dispositivos siempre que la red lo permite. Por eso los servidores no necesitan puertos abiertos y nadie desde fuera los ve.
¿Qué problemas encontramos más a menudo?
- La regla por defecto que deja a todos llegar a todo, que nadie cambió tras la instalación.
- Dispositivos de personas que ya no están, porque las bajas no se ligaron al directorio.
- Claves de servidor que caducan y un servidor que deja de estar accesible un día cualquiera.
- Servidor autoalojado sin copia, con toda la configuración de la red en una sola máquina.
- Reglas hechas a mano en el panel que nadie sabe por qué existen ni quién las pidió.
- Mucho tráfico por relay porque un cortafuegos impide las conexiones directas y todo va lento.
¿Cómo hacemos las copias, las actualizaciones y la restauración?
Con NetBird o Headscale autoalojados, copiamos la base de datos del servidor de coordinación y su configuración fuera de la máquina, y guardamos las reglas de acceso en un repositorio para poder revisarlas y aplicarlas de nuevo. De vez en cuando restauramos en otra máquina y comprobamos que los dispositivos vuelven a conectar con el mismo nombre de dominio. Con Tailscale no hay servidor que copiar, pero la política de acceso también va al repositorio.
Antes de actualizar el servidor leemos las notas de la versión, hacemos copia y probamos en un entorno aparte cuando el cambio es grande. Los clientes de los portátiles se actualizan solos o con vuestra herramienta de gestión, y vigilamos los que se quedan atrás.
¿Para quién tiene sentido?
- Una empresa de software con servidores en varias nubes que quiere que el equipo llegue a bases de datos y paneles internos con su cuenta de la empresa, sin bastiones ni puertos de administración abiertos.
- Una gestoría o un despacho con teletrabajo que quiere que cada persona entre desde casa al servidor de archivos o al programa de la oficina con la cuenta de Microsoft o Google que ya usa, y que la baja de alguien corte su acceso en todos sus dispositivos.
- Un equipo repartido entre oficina, casa y clientes que necesita reglas distintas para técnicos, administración y colaboradores externos.
¿Cómo protegemos la red?
Empezamos quitando la regla que deja a todos llegar a todo y abrimos solo lo que cada grupo necesita. El inicio de sesión va por vuestro proveedor de identidad con doble factor, ya sea Google, Microsoft o un Keycloak propio, y los servidores se dan de alta con claves de un solo uso o etiquetas, no con la cuenta de una persona. El panel de NetBird y la API de Headscale no quedan abiertos a cualquiera, y el servidor se actualiza con parches de seguridad. Los eventos de acceso pueden ir a Wazuh, y el servidor de coordinación lo vigilamos desde la monitorización con Grafana y Prometheus.
- Inicio de sesión únicoGoogle, Microsoft o Keycloak
- NetBirdCoordinación y reglas
- DispositivosPortátiles, servidores y móviles
- WireGuardTúneles directos entre ellos
- Redes internasOficina y nube por rutas
¿Dónde lo montamos?
En vuestra cuenta, en el proveedor que ya uséis o en el que mejor encaje. Si los datos tienen que quedarse en la UE, Hetzner y OVHcloud son las opciones europeas.
Proveedores en los que lo montamos
- Hetzner
- AWS
- Google Cloud
- Azure
- DigitalOcean
- OVH
- Servidor propio
| Proveedor | Cómo lo montamos | A tener en cuenta |
|---|---|---|
| Hetzner | Un servidor cloud pequeño con el servidor de NetBird o de Headscale, su base de datos y copias en Object Storage. | Con Tailscale no hay que alojar nada: solo los clientes y, si hace falta, un enrutador de subred. |
| AWS | Servidor de NetBird o Headscale en EC2, y un nodo enrutador dentro de la VPC para llegar a RDS y servidores privados. | El enrutador de subred evita instalar el cliente en cada instancia. |
| Google Cloud | Servidor de coordinación en Compute Engine y un enrutador hacia la red de VPC. | |
| Azure | Servidor de coordinación en una máquina virtual, con inicio de sesión de Microsoft Entra ID. | Encaja si la empresa ya trabaja con Microsoft 365. |
| DigitalOcean | Un Droplet con el servidor de coordinación y un enrutador hacia vuestra VPC. | |
| OVH | Instancia de Public Cloud con el servidor de coordinación y copias en Object Storage de OVHcloud. | |
| Servidor propio | Un cliente en una máquina de la oficina que hace de enrutador hacia la red local. | El servidor de coordinación conviene tenerlo fuera de la oficina: si se va la luz allí, el resto sigue conectando. |
Qué incluye
- Red privada con NetBird o Tailscale, o con Headscale si queréis el servidor de coordinación en vuestra cuenta.
- Servidor de NetBird o de Headscale autoalojado en vuestra cuenta, con su base de datos y el certificado HTTPS.
- Inicio de sesión con la cuenta de la empresa: Google, Microsoft, Keycloak u otro proveedor OpenID Connect.
- Grupos y reglas de acceso por persona, por equipo y por servidor, guardadas en código y revisables.
- Rutas hacia la red de la oficina o de vuestra nube para llegar a impresoras, NAS o bases de datos sin instalar nada en ellos.
- Altas y bajas ligadas al directorio: quien deja la empresa pierde el acceso en todos sus dispositivos.
- Copias de la base de datos del servidor y de la política de acceso, con restauración probada.
- Monitorización de dispositivos desconectados, conexiones por relay y versiones de los clientes.
Preguntas frecuentes
¿NetBird, Tailscale o Headscale?
Tailscale es el más pulido y no hay nada que mantener, pero el servidor de coordinación es del fabricante y se paga por usuario en los planes de empresa. NetBird es de código abierto y se puede alojar entero en vuestra cuenta, con panel web, inicio de sesión único y reglas por grupo. Headscale es un servidor de coordinación libre que usa los clientes oficiales de Tailscale, pensado para una sola red y sin panel web oficial. Si queréis que todo sea vuestro, solemos proponer NetBird.
¿Por qué no hace falta abrir puertos en los servidores?
Cada dispositivo inicia la conexión hacia fuera y el servidor de coordinación ayuda a que se encuentren, así que los servidores no necesitan ningún puerto abierto a internet para que el equipo llegue a ellos. Cuando una red no deja conectar directamente, el tráfico pasa por un relay, cifrado de extremo a extremo con WireGuard.
¿Se conecta con nuestro inicio de sesión único?
Sí. Tailscale admite Google, Microsoft, GitHub, Okta y otros proveedores OpenID Connect. NetBird y Headscale autoalojados se conectan con cualquier proveedor OpenID Connect, como Google, Microsoft Entra ID o un Keycloak propio. Así, quien entra con la cuenta de la empresa entra en la red, y quien sale del directorio deja de entrar.
¿Qué ventaja tiene frente a una VPN clásica?
En una VPN clásica todo pasa por un servidor central y, una vez dentro, se suele llegar a toda la red. En una red en malla cada dispositivo conecta directamente con lo que necesita y las reglas limitan el acceso por persona. Para pocas personas y una oficina, una VPN con WireGuard u OpenVPN sigue siendo más sencilla.
¿Qué pasa si el servidor de coordinación se cae?
Las conexiones que ya están establecidas siguen funcionando un tiempo, pero no se pueden añadir dispositivos ni aplicar cambios de reglas hasta que vuelva. Por eso copiamos su base de datos fuera del servidor, lo vigilamos y tenemos ensayado cómo levantarlo en otra máquina.
Contadnos vuestro caso
En una llamada gratuita de 20 minutos vemos dónde estáis y por dónde empezar. Sin compromiso.
Documentación oficial consultada
Los datos técnicos de esta página se basan en:
Revisado el