Cómo crear una VPN familiar con Tailscale para conectar varios hogares

¿Cómo crear una VPN familiar con Tailscale para varios hogares? Montar una VPN familiar que una varios hogares ya no es algo reservado a frikis de redes o administradores de sistemas. Gracias a Tailscale puedes tener una “red privada doméstica extendida” donde el PC del salón, el NAS de casa de tus padres y el móvil de tu hermano se vean como si estuvieran enchufados al mismo router.

Con Tailscale y su integración con WireGuard puedes acceder a tus archivos, NAS, cámaras IP, servicios multimedia, VPS o incluso a tu router de casa sin abrir puertos, sin pelearte con el CG-NAT de tu operadora y sin configuraciones raras. Vamos a ver, paso a paso y con muchos ejemplos, cómo aprovecharlo para crear una VPN familiar para varios hogares, teletrabajo y todo tipo de usos cotidianos.

Qué es Tailscale y por qué es ideal para una VPN familiar

Tailscale es una VPN en malla (“mesh VPN”) de configuración casi cero que se apoya en WireGuard para cifrar el tráfico. En lugar de montar un gran servidor central con puertos abiertos, instalas un pequeño cliente en cada dispositivo y todos ellos se conectan entre sí mediante una red privada virtual llamada tailnet.

La magia está en que no tienes que abrir ningún puerto en el router ni montar servidores VPN manualmente. Tailscale se encarga de descubrir rutas directas entre dispositivos y, si no es posible por culpa de NAT o cortafuegos, envía el tráfico a través de sus nodos DERP como relay, manteniendo el cifrado extremo a extremo.

Esta arquitectura te permite conectar ordenadores, móviles, tablets, NAS, servidores, Raspberry Pi e incluso máquinas en la nube (AWS, Azure, Google Cloud, Hetzner, Oracle Cloud, etc.) bajo una sola red privada. Perfecto para unir varios hogares familiares, una oficina casera y uno o varios VPS.

Cada dispositivo que añades a tu tailnet recibe una IP privada fija dentro de la red Tailscale, que no cambia aunque te conectes por Wi‑Fi, por cable o desde otra casa. Eso hace que sea muy sencillo apuntar a un NAS, un servidor multimedia o un contenedor Docker, porque siempre vas a usar la misma dirección interna de Tailscale.

Seguridad de Tailscale: cifrado moderno y control total

Uno de los puntos fuertes del servicio es que Tailscale utiliza WireGuard como motor de la VPN. WireGuard es un protocolo moderno, muy ligero y conocido por ofrecer gran seguridad con un rendimiento excelente, ideal para streaming, control remoto y juegos en red dentro de tu VPN familiar y para navegar seguro con VPN.

Las conexiones se establecen punto a punto entre dispositivos, por lo que el tráfico no se descifra en los servidores de Tailscale. Sus nodos pueden actuar como relay (DERP) cuando no es posible una ruta directa, pero el contenido va siempre cifrado con el protocolo Noise de WireGuard.

Además, el sistema implementa rotación automática de claves (normalmente a nivel de horas y días), lo que reduce el riesgo de que una clave obsoleta o comprometida se pueda reutilizar. Cada conexión queda registrada de forma centralizada y se puede auditar desde el panel web o la API, algo muy práctico si lo usas también para trabajo remoto.

Para la autenticación, Tailscale se integra con SSO y MFA: puedes iniciar sesión con Google, Microsoft, GitHub, Okta, SAML SSO, etc., y proteger el acceso con verificación en dos pasos. Si alguien deja de formar parte del grupo (por ejemplo, un familiar que ya no quieres en la red o un empleado que se marcha), puedes revocar su equipo o su usuario desde el panel en segundos.

Casos de uso reales para una VPN familiar con Tailscale

La teoría está bien, pero donde brilla Tailscale es en el día a día. Montar una VPN familiar entre varios hogares permite cubrir un montón de escenarios útiles sin quebraderos de cabeza.

Imagina que en tu casa tienes un NAS con copias de seguridad y un par de cámaras IP. Instalas Tailscale en el NAS o en una Raspberry Pi que comparta la subred (subnet router), das de alta tu móvil y el de tu pareja, y ya podéis acceder a las carpetas del NAS y a las cámaras desde cualquier lugar, como si estuvierais conectados al Wi‑Fi de casa, pero sin abrir ni un solo puerto en el router.

Otro caso típico es el teletrabajo seguro desde casa de tus padres o de vacaciones. Instalas Tailscale en el PC de la oficina y en tu portátil, marcas el equipo de la oficina como nodo de salida (exit node) y todo el tráfico de tu portátil se enruta por allí. Así puedes acceder a recursos internos de la empresa o a servidores remotos con una conexión cifrada y sin exponer nada directamente a Internet.

Si lo que quieres es una red familiar compartida entre varias viviendas, creas una cuenta (con el plan gratuito te sobra para uso doméstico), invitas a tus familiares por correo o enlace y das de alta sus móviles, tablets y ordenadores. Desde el panel de administración decides qué máquinas ven qué recursos: NAS compartido, impresoras, carpetas, servicios multimedia, etc.

Tampoco hay que olvidar el uso con VPS y servicios autoalojados. Muchos usuarios montan contenedores Docker con varios proveedores de VPN comerciales y Tailscale encima, y luego comparten las IPs de salida de esos contenedores con amigos o familiares sin necesidad de revelar credenciales. Es una forma muy flexible de “compartir VPN” con un número prácticamente ilimitado de clientes.

Planes y precios de Tailscale: cuál elegir para tu familia

Tailscale ofrece varios planes, pero para una VPN entre varios hogares la opción más interesante suele ser el plan Personal gratuito, que permite hasta 100 dispositivos y 3 usuarios. Cada uno de esos dispositivos puede ser un PC, un móvil, una Raspberry Pi, un NAS, etc.

En este plan sin coste tienes cifrado punto a punto, soporte para DNS, compartición de acceso con amigos y familia y soporte comunitario. Si quieres añadir más dispositivos extra fuera del cupo incluido, se pueden pagar de forma individual.

Por encima está Personal Plus, que mantiene las funciones del personal, pero amplía hasta seis usuarios por unos pocos dólares mensuales. Ideal si en la familia sois muchos y queréis que cada uno tenga su propio usuario diferenciado sin complicaciones.

Si saltamos al terreno profesional hay planes Starter y Premium, que añaden control de acceso avanzado, ACL basadas en identidad y roles, gestión de rutas, integración con Okta, múltiples administradores, soporte por email y más dispositivos por usuario. Están pensados para equipos y pymes que quieran extender la misma filosofía de “VPN sencilla” a su red corporativa.

Finalmente, las grandes empresas cuentan con un plan Enterprise con precio personalizado, integración profunda de IoT, monitorización para auditorías y soporte dedicado. Para una VPN familiar no suele hacer falta nada de esto, pero está bien saber que la plataforma escala desde el hogar hasta entornos muy grandes.

Ventajas clave de Tailscale frente a otras VPN

Aunque Tailscale también puede enrutar todo tu tráfico a través de un nodo de salida, no es una VPN comercial al uso como NordVPN o ExpressVPN. Su objetivo principal es conectar entre sí tus dispositivos y redes, no prestar nodos anónimos masivos al público general.

En una VPN comercial, todo el tráfico sale por servidores de la empresa y tú eliges países para saltarte restricciones geográficas. En Tailscale, por defecto, el tráfico va directo entre tus equipos, y solo pasa por un exit node si tú quieres. Eso reduce latencia, mejora el rendimiento y te da control total sobre dónde sale el tráfico a Internet.

Además, el hecho de que no tengas que abrir puertos en el router hace que sea ideal en entornos complicados: conexiones detrás de CG‑NAT, routers que cambias a menudo, entornos donde reinician el router cada dos por tres, o VPS donde no quieres exponer puertos de WireGuard/OpenVPN.

La compatibilidad es otro punto fuerte: Tailscale funciona en Windows, Linux, macOS, Android, iOS y en dispositivos ARM como Raspberry Pi. Eso significa que prácticamente cualquier cacharro que tengas por casa puede participar en la VPN, ya sea directamente o a través de un router de subred.

A todo esto se suma la facilidad para transferir archivos entre dispositivos Tailscale, el soporte de DNS personalizados (incluyendo Pi‑hole y AdGuard Home) y la capacidad de configurar enrutamiento parcial o total según lo que quieras mandar por la VPN.

Cómo registrar tu cuenta y conocer el panel de Tailscale

Para empezar necesitas crear una cuenta en Tailscale. Entras en la web oficial, pulsas en “Get Started” o en el enlace de login, y eliges iniciar sesión con Google, Microsoft, GitHub u otro proveedor soportado. Si tienes un correo corporativo y quieres usarlo, normalmente eso te llevará a planes de pago orientados a empresas.

Una vez autenticado, llegas al panel principal de administración, donde verás varios apartados clave. En “Machines” se listan todos los dispositivos conectados a tu tailnet: PCs, servidores, móviles, Raspberry Pi, etc. Cada uno aparece con su nombre, sistema operativo y la IP privada de Tailscale asignada, que es fija mientras no la cambies explícitamente.

En la pestaña “External” puedes invitar a máquinas de amigos o familiares para que se conecten a tu red. Así puedes montar una VPN familiar en la que tú controlas el tailnet, pero otros miembros de la familia aportan sus propios dispositivos.

La sección “Services” permite ver qué servicios están expuestos por cada máquina dentro de la red Tailscale. Es útil para localizar rápidamente un servidor web casero, un panel de NAS o un servicio multimedia sin andar recordando puertos.

En “Access Control” defines tus listas de control de acceso (ACL) en formato JSON. Aquí decides qué usuarios o grupos pueden hablar con qué máquinas y puertos. Es muy potente, así que conviene leer la documentación oficial para no cometer errores al escribir las reglas.

El apartado “DNS” sirve para activar Magic DNS y configurar los nameservers. Magic DNS te permite acceder a los dispositivos por nombre en lugar de por IP (por ejemplo, nas-casa en vez de 100.x.y.z). También puedes forzar que todas las peticiones DNS de la VPN se resuelvan con servidores concretos.

En “Features” y “Settings” verás funciones en beta, opciones de recopilación de datos y características avanzadas que puedes activar o desactivar. “Billing” se reserva para los planes de pago y la información de facturación.

Por último, “Auth-Keys” y “API Key” te permiten dar de alta máquinas sin iniciar sesión manualmente (por ejemplo, servidores headless o contenedores) usando claves de un solo uso o de uso múltiple, y acceder a la API de Tailscale para integraciones más avanzadas.

Descargar el cliente y dar de alta tus dispositivos

El siguiente paso es instalar Tailscale en los equipos que quieras conectar. Desde la sección “Download” del panel, o desde la web pública, descargas el cliente para tu sistema operativo: Windows (7 o superior), macOS, Linux, Android, iOS o arquitecturas ARM como Raspberry Pi.

En un PC con Windows, por ejemplo, ejecutas el instalador, sigues el asistente y, al terminar, haces doble clic en el icono de Tailscale en la barra de tareas. El cliente abre el navegador para que inicies sesión con la misma cuenta que usaste en el panel. En cuanto aceptas, el equipo aparece en el listado de “Machines” y pasa a formar parte de tu tailnet.

El cliente muestra información útil como la IP privada de Tailscale, el tráfico enviado y recibido, las opciones de conectar/desconectar, arranque automático, ver todos los dispositivos de la red y cambiar de cuenta. Desde el panel web puedes renombrar el host, compartirlo con otros usuarios, ajustar rutas y eliminarlo de la VPN cuando quieras.

En móviles Android e iOS instalas la app desde su tienda correspondiente, configurar VPN en el celular Android, te autenticas con la misma cuenta y concedes los permisos para gestionar conexiones VPN. A partir de ahí, un toque al interruptor de la app conecta o desconecta el dispositivo de tu VPN familiar.

Si tienes una Raspberry Pi o un servidor Linux, la instalación suele hacerse vía repositorio. En Debian o Raspbian, por ejemplo, instalas los paquetes de transporte HTTPS, añades el repositorio de Tailscale, actualizas e instalas el paquete. Luego ejecutas tailscale up, visitas la URL que te indique en el navegador y el nodo quedará autenticado.

Crear un subnet router para acceder a toda la red local

Uno de los trucos más potentes de Tailscale para una VPN familiar entre varios hogares es usar routers con funcionalidad de cliente VPN o routers de subred (subnet routers). En lugar de instalar Tailscale en cada dispositivo de tu LAN (NAS, TV, impresora, etc.), instalas el cliente en una sola máquina —por ejemplo, una Raspberry Pi— y haces que anuncie toda la subred doméstica.

De este modo, desde fuera de casa podrás acceder a cualquier aparato de tu red local (NAS, cámaras, router, servidor multimedia, domótica…) como si estuvieras sentado en el sofá conectado al Wi‑Fi. Solo necesitas que al menos un dispositivo de esa red tenga Tailscale y actúe de puerta de enlace.

En Windows se activa el reenvío de IP usando PowerShell en modo administrador, con comandos como Set‑NetIPInterface -Forwarding Enabled sobre la interfaz correcta, y luego se ejecuta tailscale set –advertise-routes=192.168.1.0/24 (adaptando la subred a la de tu casa).

En Linux se habilita el IP forwarding en sysctl, añadiendo las líneas pertinentes para IPv4 e IPv6 en /etc/sysctl.conf y aplicando los cambios, y luego se llama a tailscale set –advertise-routes=192.168.1.0/24 o bien se lanza tailscale up con los parámetros –advertise-routes adecuados.

Después de anunciar la subred desde la máquina, entras en el panel web de Tailscale, vas a “Machines”, abres las opciones del equipo que debe ser subnet router y habilitas las rutas anunciadas en “Route settings”. A partir de ahí, los demás dispositivos de tu tailnet podrán alcanzar cualquier IP de esa subred siempre que sus ACL lo permitan.

Usar un exit node para navegar como si estuvieras en casa

Para muchas familias que viven en distintos países o que viajan a menudo, es extremadamente útil usar un nodo de salida (exit node). Un exit node es un dispositivo de tu tailnet por el que haces pasar todo tu tráfico de Internet, como si fuera un servidor VPN clásico.

Si configuras, por ejemplo, la Raspberry Pi de tu casa como exit node, cuando estés en el extranjero podrás navegar con la IP de tu conexión doméstica, evitando bloqueos geográficos en servicios de streaming o banca online, y añadiendo una capa de seguridad cuando te conectas a Wi‑Fi públicas.

En Linux, además de habilitar el IP forwarding, levantas Tailscale con –advertise-exit-node. Después, en el panel web, vas a “Machines”, localizas esa máquina, pulsas en “Edit route settings” y marcas la opción “Use as exit node”.

Desde tu móvil o portátil, dentro de la app de Tailscale, eliges usar ese equipo concreto como nodo de salida. A partir de ese momento, todo el tráfico saldrá a Internet a través de tu casa: navegación, aplicaciones, streaming… todo viaja cifrado entre tu cliente y el exit node.

Si además combinas el exit node con un router de subred, matas dos pájaros de un tiro: navegas con la IP de casa y a la vez llegas a cualquier dispositivo de la LAN doméstica, desde un NAS hasta un servidor Jellyfin, sin instalar clientes extra.

Enrutar solo parte del tráfico y aprovechar DNS filtrados

No siempre interesa mandar todo el tráfico por la VPN. Tailscale permite enrutamiento parcial o “split tunneling”, de forma que solo lo que vaya hacia ciertas IPs o dominios use la VPN, mientras que el resto sale por la conexión local habitual. Esta es la configuración por defecto cuando usas subnet routers sin exit node.

Esto es ideal si quieres, por ejemplo, que solo el acceso al NAS o al servidor de casa pase por Tailscale, pero que la navegación general no se vea afectada. Desde el panel de rutas y las ACL puedes ajustar exactamente qué destinos pasan por tu tailnet.

En el apartado DNS, Tailscale te deja definir servidores DNS globales para toda la red o por dominios concretos. Una opción muy habitual en entornos familiares es usar Pi‑hole o AdGuard Home como servidor DNS dentro de la red doméstica y hacer que todas las peticiones DNS de la VPN pasen por él.

Configuras en la pestaña DNS la IP de Pi‑hole o AdGuard Home (ya sea la IP de Tailscale del propio servidor o la IP local anunciada mediante subnet routing) y activas la opción de sobrescribir el DNS local. A partir de ese momento, los móviles y ordenadores conectados a Tailscale usarán ese DNS filtrado, bloqueando buena parte de la publicidad y rastreadores incluso cuando navegan desde fuera de casa.

También tienes la posibilidad de definir DNS por dominio, de modo que, por ejemplo, todo lo que termine en .hogar.lan se resuelva con un servidor interno, mientras que el resto sigue usando DNS públicos o de tu proveedor habitual.

Rendimiento y latencia de Tailscale en la práctica

Aunque Tailscale está muy centrado en la simplicidad, su rendimiento es más que digno. Al basarse en WireGuard, consigue velocidades elevadas y baja latencia siempre que haya una ruta directa razonablemente buena entre dispositivos.

En pruebas reales con dos PCs conectados a la misma conexión FTTH (uno por cable y otro por Wi‑Fi), el ping entre ellos sobre Tailscale muestra latencias medias bajas y estables, incluso aunque el primer paquete tarde algo más mientras se establece el canal cifrado.

En cuanto a velocidad, es habitual rondar decenas de Mbps sostenidos en transferencias dentro de la VPN, suficiente para streaming de vídeo, copias de seguridad incrementales, acceso remoto a escritorios y transferencia de archivos grandes. El dato exacto dependerá de la calidad de las conexiones de cada hogar y de si la ruta es directa o pasa por un relay DERP.

La propia arquitectura descentralizada, unida a técnicas de compresión de datos y optimización de rutas, permite que la mayoría de usuarios tenga una experiencia fluida. Aun así, conviene probar en tu entorno concreto porque la configuración de tu red, NAT y firewalls puede afectar al rendimiento.

En todo caso, si ya has probado WireGuard “a mano”, el comportamiento de Tailscale te resultará familiar: es básicamente WireGuard con una capa de automatización y gestión encima, de forma que casi no tienes que pelear con claves, puertos, reglas de firewall ni scripts personalizados.

Uso básico paso a paso en un escenario real

Para aterrizar todo lo anterior, imagina que quieres acceder desde tu móvil Android a un servicio web que corre en una Raspberry Pi en casa (por ejemplo, FileBrowser en el puerto 8080), y además unir otro hogar de la familia a la misma VPN.

Instalas Tailscale en la Raspberry Pi añadiendo el repositorio oficial, actualizando e instalando el paquete, y luego ejecutas sudo tailscale up. El terminal te da una URL de autenticación; la abres en el navegador, inicias sesión con tu cuenta de Tailscale y la Pi queda registrada.

En el móvil Android descargas la app de Tailscale desde Google Play, te autenticas con la misma cuenta y activas la VPN. En la lista de dispositivos verás la Raspberry con su IP de Tailscale (por ejemplo, 100.91.114.77). Para entrar en FileBrowser basta con abrir el navegador del móvil y visitar 100.91.114.77:8080.

Si además quieres que el móvil saque todo su tráfico por la Raspberry, habilitas el IP forwarding en la Pi, levantas Tailscale con la opción –advertise-exit-node, activas “Use as exit node” en el panel web y, desde la app de Tailscale en Android, seleccionas esa Pi como exit node. A partir de ahí, todo irá cifrado a través de casa.

Para involucrar otro hogar, por ejemplo el de tus padres, lo único que haces es invitar a sus dispositivos a tu tailnet desde el panel (vía correo o enlace). Instalan el cliente en su PC o móvil, aceptan la invitación y ya podrán ver los recursos que tú les permitas: NAS, servidor multimedia, impresoras, etc. Si en su casa también quieren compartir toda su LAN, puedes montar allí otra Raspberry, configurarla como subnet router y así tendrás tus dos casas unidas como si compartieran la misma red interna.

Con esta combinación de clientes, subnet routers y exit nodes, más el control fino de DNS y ACL, puedes montar una red privada familiar muy completa sin grandes conocimientos de redes, evitando CG‑NAT, sin exponer puertos al exterior y con la flexibilidad de crecer hacia VPS, servicios en la nube o entornos más profesionales si algún día lo necesitas.

Todo este ecosistema hace que Tailscale sea una solución especialmente cómoda para quienes quieren unir varios hogares, mantener una nube personal repartida entre casa y servidores remotos, compartir recursos con la familia y trabajar en remoto, combinando simplicidad, rendimiento y un nivel de seguridad muy por encima de lo que se suele ver en configuraciones caseras improvisadas.