Pangolin es una plataforma de acceso remoto de código abierto, basada en identidad y construida sobre WireGuard. Combina un proxy inverso tunelizado y una VPN zero trust en una sola solución autohospedada, que se ejecuta en un VPS público como hub. Despliega Newt en cualquier red privada, como un homelab detrás de NAT, un servidor de oficina o una VPC en la nube. Pangolin tuneliza el acceso autenticado tanto a aplicaciones web como a recursos privados, por ejemplo, bases de datos y servidores SSH, sin abrir ningún puerto de entrada en la red privada.
Qué hace Pangolin
La mayoría de las configuraciones de acceso remoto requieren combinar al menos tres herramientas distintas: un proxy inverso (Traefik, Caddy o Nginx), un proveedor de túneles (Cloudflare Tunnel o ngrok) y una capa de identidad y autenticación (Authelia, Authentik o Keycloak). Pangolin sustituye toda esa infraestructura por una sola unidad desplegable.
La plataforma cubre dos modos de acceso distintos:
- Proxy inverso tunelizado: publica en internet mediante HTTPS aplicaciones web ejecutadas en redes privadas, con certificados automáticos de Let’s Encrypt y controles de acceso zero trust. No necesitas reglas de entrada en el firewall. Es la función que ofrece Cloudflare Tunnel, pero con una instalación autohospedada.
- Acceso a recursos privados (ZTNA): conéctate directamente a bases de datos, servidores SSH, hosts RDP y rangos de red completos mediante túneles WireGuard autenticados. Es similar al modelo de acceso a dispositivos de Tailscale, pero Pangolin controla el plano de control desde tu propio VPS.
Los dos modos se administran desde una interfaz unificada. Usan la misma capa de identidad, las mismas políticas de acceso y los mismos registros de auditoría, tanto si un integrante del equipo accede a una app web mediante HTTPS como si entra por SSH a un servidor de producción.
Cómo funciona Pangolin: arquitectura general
Pangolin despliega cuatro contenedores en el VPS que funciona como hub, coordinados mediante Docker Compose:
| Componente | Dónde se ejecuta | Función | Analogía |
|---|---|---|---|
| Pangolin | Tu VPS público | Plano de control: panel, autenticación y configuración de enrutamiento | El hub |
| Gerbil | Tu VPS público (junto con Pangolin) | Administrador de la interfaz WireGuard: crea y mantiene el túnel | El motor del túnel |
| Traefik | Tu VPS público (junto con Pangolin) | Proxy inverso: administra HTTPS y los certificados SSL, y dirige el tráfico al sitio correcto | El controlador del tráfico |
| Newt | Cada red privada (cliente) | Conector ligero de sitios mediante WireGuard: inicia la conexión con Gerbil sin requerir puertos de entrada | El nodo periférico |
El flujo de tráfico de una solicitud web funciona así: un navegador envía HTTPS al puerto 443 de tu VPS con Pangolin. El proxy SNI de Gerbil lee el hostname y dirige la solicitud a Traefik, que almacena el certificado válido de Let’s Encrypt y termina la conexión SSL. Después, Traefik consulta la configuración de enrutamiento de Pangolin, determina qué sitio o red privada contiene el recurso y reenvía la solicitud por el túnel WireGuard al cliente Newt de esa red. Newt la entrega al servicio backend, como una instancia de Gitea, un panel de Prometheus o un servidor Nextcloud, que nunca necesitó una IP pública ni un puerto abierto.
El acceso a recursos privados como SSH, bases de datos o RDP sigue la misma ruta por el túnel WireGuard, pero pasa por el cliente nativo de Pangolin en lugar del navegador. Así obtienes una conexión real en la capa de red, no un proxy HTTP.
Pangolin vs. Cloudflare Tunnel: diferencias principales
Cloudflare Tunnel es la comparación más directa. Ambas herramientas publican servicios privados en internet sin abrir puertos. La diferencia está en la arquitectura: Cloudflare Tunnel dirige tu tráfico por la red edge global de Cloudflare. Ahí, Cloudflare termina TLS y puede ver el tráfico de la aplicación en texto plano antes de reenviarlo. Pangolin mantiene todo el proceso en infraestructura bajo tu control.
| Aspecto | Pangolin (autohospedado) | Cloudflare Tunnel (administrado) |
|---|---|---|
| Hosting | Autohospedado en tu VPS. Tú controlas la infraestructura | Administrado por Cloudflare. El tráfico pasa por la red edge de Cloudflare |
| Terminación TLS | Tu instancia de Traefik administra TLS. Pangolin nunca expone el texto plano en un servidor externo | Cloudflare termina TLS. El tráfico se descifra en la red edge de Cloudflare |
| Límites de carga | Ninguno (solo depende del ancho de banda de tu VPS) | 100 MB por solicitud en el plan gratuito |
| Costo | Costo del VPS (desde aproximadamente €8.75/mes con Contabo Cloud VPS Plus 4) | Plan gratuito disponible y planes de pago para funciones adicionales |
| Control | Total. Tú configuras el enrutamiento, las reglas de acceso y los límites de solicitudes | Limitado a las opciones que Cloudflare ofrece en el panel |
| Streaming de video | Sin restricciones en los términos de servicio | Restringido por los términos de servicio de Cloudflare en el plan gratuito |
Para equipos que ejecutan aplicaciones sujetas al RGPD, herramientas de salud o servicios internos cuyos datos no pueden pasar por una red externa, el modelo autohospedado de Pangolin puede ser un requisito de cumplimiento, no solo una preferencia.
Pangolin vs. Tailscale: cuándo usar cada uno
Pangolin y Tailscale atienden casos de uso que coinciden en algunos puntos, pero tienen enfoques distintos. Tailscale prioriza la VPN mesh: crea conexiones cifradas punto a punto entre dispositivos mediante WireGuard, sin exigir una IP pública en ningún nodo. Su fortaleza es el acceso directo entre dispositivos, por ejemplo, conectar una laptop con un servidor doméstico o dar acceso a herramientas internas a un integrante remoto del equipo. El plan gratuito de Tailscale ofrece límites amplios y no requiere administrar infraestructura.
Pangolin prioriza el proxy inverso: necesita un VPS con una IP pública como hub y se enfoca en publicar aplicaciones web mediante HTTPS con controles de acceso basados en identidad. Pangolin aventaja claramente a Tailscale con los recursos públicos accesibles desde un navegador. Obtienes una URL HTTPS, un certificado de Let’s Encrypt y políticas de acceso para cada recurso sin exigir que todos los usuarios instalen un cliente de VPN.
A mediados de 2026, Pangolin también está ampliando las funciones de sus clientes nativos para Android, Windows y CLI. Con ello se acerca al terreno de Tailscale para el acceso VPN por dispositivo. Headscale, el plano de control autohospedado y de código abierto para Tailscale, ofrece una comparación más directa si buscas una VPN mesh sin depender de un proveedor. El veredicto práctico es usar Pangolin para dar acceso HTTPS autenticado a apps web, y Tailscale o Headscale para conectar dispositivos mediante una red mesh sin un hub con IP pública.
Qué necesitas para ejecutar Pangolin
Pangolin requiere pocos recursos en comparación con otras infraestructuras:
- Un VPS con una dirección IP pública (necesaria para funcionar como hub, ya que Pangolin no puede ejecutarse por completo detrás de NAT)
- Docker y Docker Compose instalados en el VPS
- Un dominio o subdominio bajo tu control (para HTTPS, Traefik administra Let’s Encrypt automáticamente)
- Los puertos 80 y 443 abiertos en el VPS (desafío HTTP para emitir certificados y tráfico HTTPS)
- El puerto 51820/UDP abierto (tráfico del túnel WireGuard desde los clientes Newt)
El script de instalación oficial administra toda la orquestación de contenedores. Configura e inicia Pangolin, Gerbil y Traefik con un solo comando interactivo. Newt se instala en cada red privada como un binario individual o un contenedor Docker y requiere tres variables de entorno: el endpoint de Pangolin, un ID de sitio y un token secreto.
Por qué ejecutar Pangolin en un VPS de Contabo
La arquitectura de Pangolin requiere un VPS con IP pública que funcione como hub. Sus tareas principales son ejecutar cuatro contenedores (Pangolin, Gerbil, Traefik y la API del plano de control), administrar sesiones de WireGuard y enrutar tráfico HTTPS. Un VPS modesto puede manejar esta carga.
Contabo Cloud VPS Plus 4, con 4 núcleos, 8 GB de RAM y 150 GB NVMe por €8.75/mes, cubre el papel de hub para la mayoría de los despliegues, desde homelabs hasta pequeñas empresas. El almacenamiento NVMe ayuda a gestionar el estado de los certificados de Traefik y la configuración de los túneles activos. Por la cantidad de RAM incluida en ese precio, Plus 4 te deja margen para ejecutar Pangolin junto con otros servicios autohospedados en el mismo VPS, en lugar de dedicar un servidor solo al hub de túneles.
Para despliegues mayores con decenas de sesiones de túnel simultáneas, Cloud VPS Plus 6 (12 GB de RAM, €13.50/mes) añade más margen. Las ubicaciones de VPS en la UE también permiten cumplir requisitos de residencia de datos para equipos que dirigen tráfico confidencial mediante Pangolin.
Preguntas frecuentes sobre Pangolin
¿Para qué se usa Pangolin?
Pangolin se usa para publicar servicios privados, como paneles de homelab, aplicaciones web internas, bases de datos y servidores SSH, en internet o para un equipo de forma segura, sin abrir puertos de entrada en el firewall de la red privada. Sustituye la combinación de Cloudflare Tunnel (para publicar servicios web) y Tailscale (para acceder a dispositivos) con una solución autohospedada que mantiene todo el tráfico en infraestructura bajo tu control.
¿Pangolin sustituye a Cloudflare Tunnel?
Para equipos que necesitan soberanía total sobre sus datos y no pueden permitir que el tráfico pase por la red edge de Cloudflare, Pangolin es el sustituto directo. Replica la función principal de Cloudflare Tunnel, publicar servicios web privados mediante HTTPS sin abrir puertos, en infraestructura autohospedada. A cambio, tú administras el VPS que funciona como hub. Si no tienes requisitos de residencia de datos y no quieres administrar infraestructura, el plan gratuito de Cloudflare Tunnel sigue siendo más sencillo de operar.
¿Pangolin sustituye a Tailscale?
Parcialmente. Pangolin funciona mejor para acceder desde el navegador a aplicaciones web con controles de identidad para cada recurso. Para conexiones mesh directas entre dispositivos, como conectar una laptop a un servidor doméstico sin un hub con IP pública, la arquitectura de Tailscale es más sencilla y no requiere un VPS. A medida que maduran los clientes nativos de Pangolin para Android, Windows y CLI, la diferencia disminuye, pero Tailscale y Headscale siguen siendo más adecuados para una VPN mesh pura a mediados de 2026.
¿Qué VPS necesita Pangolin?
Funciona cualquier VPS Linux con una IP pública, Docker y los puertos 443 y 51820/UDP abiertos. Para un hub de homelab o de un equipo pequeño, bastan de 2 a 4 GB de RAM y 2 vCPU. Contabo Cloud VPS Plus 4 (4 núcleos, 8 GB de RAM, €8.75/mes) deja margen para alojar Pangolin junto con otros servicios. Los despliegues mayores, con muchas sesiones de túnel simultáneas, se benefician de Plus 6 (12 GB de RAM, €13.50/mes).
¿Pangolin es gratuito?
Community Edition es gratuita y de código abierto bajo la licencia AGPL-3.0. Incluye el despliegue autohospedado sin límites de usuarios ni sitios, salvo los que imponga la capacidad de tu VPS. Enterprise Edition añade licencias comerciales para organizaciones con ingresos superiores a $100k/año. También está disponible Pangolin Cloud administrado para equipos que quieren sus funciones sin encargarse de la infraestructura, con un plan gratuito para un máximo de 5 usuarios y 5 sitios.
Aviso: Las especificaciones, funciones y precios de los productos mencionados en este artículo pueden cambiar y variar según la región, el periodo de facturación y las promociones vigentes. Consulta el sitio web oficial de cada proveedor o marca para conocer las cifras, los precios y los tipos de cambio actuales.
