Cloudflare Tunnel es la opción más sencilla: no requiere infraestructura, ofrece un nivel gratuito y usa una red edge global. Sin embargo, enruta tu tráfico por los servidores de Cloudflare, donde termina TLS. Tailscale destaca en el acceso mesh entre dispositivos sin IP pública. Pangolin permite alojar un proxy inverso y una VPN en un solo stack mediante un VPS central. Elige según tus requisitos de soberanía de datos y tu capacidad para administrar infraestructura.
Comparación rápida
| Aspecto | Pangolin | Cloudflare Tunnels | Tailscale |
|---|---|---|---|
| Modelo de alojamiento | VPS central autogestionado | Administrado por completo (red edge de Cloudflare) | Plano de control administrado; alojamiento opcional con Headscale |
| Privacidad de los datos | El tráfico permanece en tu infraestructura | Cloudflare termina TLS y puede ver el tráfico en texto plano | Conexiones peer-to-peer cifradas; relays DERP para atravesar NAT |
| Límites de carga | Ninguno (ancho de banda del VPS) | 100 MB por solicitud en el nivel gratuito | Ninguno |
| Costo | Costo del VPS (desde unos €8.75/mes) | Nivel gratuito; funciones adicionales de pago | Nivel gratuito; $6/usuario/mes para equipos |
| Requiere VPS | Sí, requiere un nodo central con IP pública | No | No, con el plano de control administrado |
| Código abierto | Sí, Community Edition con licencia AGPL-3.0 | Solo el cliente cloudflared | Cliente de código abierto; plano de control cerrado (Headscale es la alternativa OSS) |
| Mejor opción para | Soberanía total de datos, apps web HTTPS y ZTNA autogestionado | Configuración sencilla, sin VPS y apps web públicas | Acceso mesh entre dispositivos sin una URL pública |
Pangolin: control total en tu propia infraestructura
Pangolin es una plataforma de acceso remoto de código abierto basada en identidades y desarrollada sobre WireGuard por Fossorial, una empresa de YC 2025. Se distribuye como cuatro contenedores en un VPS público: Pangolin (plano de control), Gerbil (administrador de WireGuard), Traefik (proxy inverso) y Newt (cliente ligero instalado en cada red privada). El instalador oficial configura los cuatro en una sola ejecución interactiva.
Pangolin se distingue por combinar un proxy inverso mediante túneles, que publica apps web por HTTPS sin abrir puertos, con acceso de red zero trust. Así puedes acceder a bases de datos, servidores SSH y hosts RDP mediante túneles WireGuard autenticados. Todo se administra desde un panel con identidad compartida, RBAC y registros de auditoría.
Sus principales ventajas son claras: Community Edition con licencia AGPL-3.0 es gratuita, todo el tráfico permanece en tu infraestructura y ningún tercero termina TLS. Tampoco hay límites de carga y puedes acceder a toda la configuración de Traefik para definir rutas específicas. A cambio, debes administrar el VPS central. Si deja de funcionar, también pierdes el acceso por túnel. La alta disponibilidad requiere una arquitectura adicional.
Cloudflare Tunnels: configuración sencilla con un servicio administrado
Cloudflare Tunnel (cloudflared) publica en internet un servicio local en cuestión de minutos. Instala el cliente cloudflared, autentícate con tu cuenta de Cloudflare y apúntalo a un puerto local. No necesitas VPS, administrar DNS ni configurar certificados. La red edge de Cloudflare se encarga de todo.
El modelo administrado tiene varias desventajas. Cloudflare termina TLS en su red edge, por lo que puede ver el tráfico de tu aplicación en texto plano antes de que llegue al servidor de origen. Esto descarta el servicio para equipos sujetos al GDPR, HIPAA u otras normas que exijan mantener los datos en infraestructura específica. El nivel gratuito también limita las cargas a 100 MB por solicitud, lo que impide transferir archivos grandes y transmitir video. Los términos de servicio de Cloudflare restringen el uso de Tunnel para servir video con el plan gratuito.
Cloudflare Tunnel conviene si no tienes requisitos de residencia de datos, no quieres administrar infraestructura y necesitas activar un túnel en menos de cinco minutos. Elige otra opción si te preocupan la privacidad del tráfico, los límites de carga o la dependencia de un proveedor.
Tailscale: una VPN mesh para otro caso de uso
Tailscale crea una red mesh privada de WireGuard entre tus dispositivos mediante su propio plano de control administrado. Cada dispositivo registrado obtiene una dirección IP estable del rango 100.x.x.x. Los demás dispositivos registrados pueden conectarse directamente a ella a través de NAT y firewalls, sin una IP pública en ninguno de los extremos. Cuando no es posible establecer una conexión directa, Tailscale atraviesa NAT mediante sus servidores relay DERP.
Tailscale funciona mejor para controlar el acceso entre dispositivos que tu equipo ya posee: una laptop y un servidor doméstico, la computadora de un desarrollador y una base de datos de staging, o la red de una oficina y una VPC en la nube. El nivel gratuito cubre la mayoría de los casos de uso de equipos pequeños. Solo debes instalar el cliente en cada dispositivo. Sus ACL ofrecen muchas opciones y cuentan con buena documentación.
Tailscale no resulta adecuado para publicar una app web mediante una URL HTTPS pública y permitir el acceso desde el navegador. Tailscale Funnel cubre este caso, pero tiene limitaciones: solo admite HTTPS y el nivel gratuito no permite dominios personalizados. Si tu equipo necesita un endpoint HTTPS público con dominio personalizado, SSO y reglas de acceso por recurso, Pangolin cubre ese espacio.
Headscale es el plano de control autogestionado y de código abierto para Tailscale. Es compatible con los clientes estándar de Tailscale y te permite ejecutar toda la red mesh sin depender de Tailscale Inc. Si tu equipo aplica políticas estrictas contra la dependencia de proveedores y prefiere el modelo de VPN mesh, Headscale es la opción autogestionada.
Cuándo elegir cada opción
| Tu situación | Mejor opción |
|---|---|
| Publicar una app web con requisitos de GDPR o residencia de datos | Pangolin |
| Controlar por completo la terminación TLS y las rutas | Pangolin |
| Crear un túnel rápido para un proyecto personal, sin VPS ni infraestructura | Cloudflare Tunnel (nivel gratuito) |
| Compartir públicamente una versión preliminar sin configurar infraestructura | Cloudflare Tunnel |
| Conectar entre sí los dispositivos del equipo sin una URL HTTPS pública | Tailscale o Headscale |
| Alojar el plano de control de Tailscale sin depender del proveedor | Headscale |
| Publicar apps web Y proporcionar acceso VPN a dispositivos con un solo stack | Pangolin (+ clientes nativos) |
| Sin capacidad de DevOps y con preferencia por un servicio administrado | Cloudflare Tunnel o Tailscale |
Ejecutar Pangolin en Contabo: la opción autogestionada
El nodo central de Pangolin necesita una IP pública, Docker y recursos suficientes para ejecutar cuatro contenedores junto con cualquier otro servicio alojado en el mismo servidor. Cloud VPS Plus 4, con 4 vCPU, 8 GB de RAM, 150 GB NVMe y un precio de €13.50/mes, es un punto de partida natural. El almacenamiento NVMe marca una diferencia: Traefik escribe el estado de los certificados en el disco y la base de datos SQLite de Pangolin es sensible a las operaciones de E/S con cargas de túneles simultáneas. Un disco mecánico añadiría latencia; NVMe la mantiene al mínimo.
Para equipos que ejecutan más de unas cuantas sesiones de túnel simultáneas o alojan otros servicios en el mismo VPS, como Gitea, Nextcloud o un stack de monitoreo, Cloud VPS Plus 6 añade margen con 12 GB de RAM por €19.00/mes. En ambos casos, la relación entre RAM y precio de la línea Plus disponible en Contabo, con NVMe a precios muy inferiores a configuraciones comparables de Hetzner o DigitalOcean, la convierte en una opción práctica para nodos Pangolin donde importa controlar los costos.
Las ubicaciones de centros de datos en la UE cumplen los requisitos de residencia de datos del GDPR para equipos que enrutan el tráfico mediante Pangolin en lugar de Cloudflare.
Preguntas frecuentes: Pangolin vs Cloudflare Tunnels vs Tailscale
¿Pangolin puede reemplazar a Tailscale?
Para acceder desde el navegador a aplicaciones web mediante HTTPS, Pangolin es la mejor opción. Para una red mesh exclusivamente entre dispositivos y sin IP pública, Tailscale, o Headscale si quieres alojar el plano de control, ofrece una arquitectura más adecuada. A medida que los clientes nativos de Pangolin (Android, Windows y CLI) maduren durante 2026, la diferencia en el acceso a recursos privados se reducirá. Aun así, el modelo mesh de Tailscale conserva una ventaja para conexiones peer-to-peer entre dispositivos sensibles a la latencia.
¿Pangolin funciona sin un VPS?
No. La arquitectura de Pangolin requiere un VPS con IP pública que funcione como nodo central. Este nodo ejecuta el plano de control (Pangolin), el administrador de interfaces WireGuard (Gerbil) y el proxy inverso (Traefik). Sin una IP pública, no existe un punto de entrada para el tráfico del navegador ni para las conexiones de túneles WireGuard. Esta diferencia arquitectónica lo separa de Cloudflare Tunnel y Tailscale, que funcionan sin infraestructura con IP pública del lado del usuario.
¿Qué es Headscale y cómo se compara con Pangolin?
Headscale es una implementación autogestionada y de código abierto del plano de control de Tailscale. Es compatible con las apps cliente estándar de Tailscale y crea la misma red mesh de WireGuard entre los dispositivos registrados. La diferencia es que ejecutas el servidor de control en tu propia infraestructura en lugar de usar la de Tailscale Inc. Headscale conviene a equipos que quieren el modelo de VPN mesh de Tailscale, sin IP pública y con acceso entre dispositivos, pero con control total de la infraestructura. Pangolin resulta más adecuado si necesitas recursos HTTPS accesibles desde el navegador, un proxy inverso y una capa de identidad. Ambas herramientas se complementan.
Aviso: Las especificaciones, funciones y precios de los productos mencionados en este artículo pueden cambiar y variar según la región, el periodo de facturación y las promociones vigentes. Consulta el sitio web oficial de cada proveedor o marca para confirmar las cifras, los precios y los tipos de cambio locales actuales.
