Tailscale davant de ZeroTier: diferències i quin triar
Tailscale i ZeroTier connecten els teus dispositius en una xarxa privada sense obrir ports, però estan construïts de manera diferent. Tailscale encamina paquets IP sobre WireGuard amb un servei de coordinació operat per Tailscale Inc. ZeroTier fa servir un protocol propi i presenta una xarxa Ethernet virtual. Aquestes dues decisions, i no les llistes de funcions, decideixen quin s'adapta a la teva feina.
La resposta curta: IP sobre WireGuard davant d'un commutador Ethernet virtual
Tailscale dona una adreça IP a cada dispositiu i envia paquets IP xifrats entre ells amb WireGuard. ZeroTier fa que els dispositius es comportin com si estiguessin connectats al mateix commutador Ethernet, amb un protocol propi que transporta el trànsit. Per arribar a servidors per SSH o escriptori remot, valen tots dos. La diferència apareix quan necessites un comportament que només existeix en una xarxa local, com el broadcast o el multicast, o quan t'importa quin protocol protegeix el trànsit i qui opera el pla de control.
Tailscale davant de ZeroTier: l'arquitectura en una taula
| Criteri | Tailscale | ZeroTier | prialo |
|---|---|---|---|
| Túnel | WireGuard | Protocol propi, no WireGuard | WireGuard |
| Com es veu la xarxa | Adreces IP encaminades entre dispositius | Una xarxa Ethernet virtual compartida pels dispositius | Adreces IP dins de 100.64.0.0/10, encaminades entre dispositius |
| Pla de control | Servei de coordinació operat per Tailscale Inc. | Controladors de xarxa, allotjats o autoallotjats | Paquet autoallotjat, o servei allotjat per Sinergia |
| Quan falla el camí directe | Relés DERP operats per Tailscale | Servidors arrel que ajuden els equips a trobar-se | Relé en TCP 4430 que reenvia paquets que no pot desxifrar |
La taula no diu res de preus, límits de dispositius ni funcions dels clients, a propòsit: canvien, i cada proveïdor manté les xifres vigents al seu web. El que no canvia d'una versió a una altra és el disseny, i el disseny és el que estàs triant.
Què canvia a la pràctica segons la capa de xarxa
Amb una xarxa IP, cada dispositiu és accessible per la seva adreça i tu decideixes amb polítiques quins poden parlar entre ells. Això encaixa amb l'accés remot a servidors, a un PC de casa o a les màquines d'un client, que és el que necessiten la majoria d'equips petits. Una xarxa Ethernet virtual s'assembla més a estendre una xarxa local: transporta trànsit que no s'encamina per IP, així que serveix per a programes que esperen els seus parells al mateix segment, com el descobriment per broadcast o certs entorns industrials i de jocs. Si no tens aquesta necessitat, el model IP, més simple, també és el més fàcil de raonar i d'auditar.
Qui opera el pla de control i què pot veure
En qualsevol xarxa en malla, el pla de control reparteix adreces, claus públiques i polítiques. No transporta el teu trànsit, però coneix els noms de dispositiu, les claus públiques, les adreces i quan es va connectar cada equip. A Tailscale aquest servei l'opera el proveïdor; l'article sobre alternatives a Tailscale explica les vies autoallotjades. ZeroTier permet executar tu mateix un controlador de xarxa. Amb prialo pots allotjar tot el pla de control al teu servidor, com explica la guia de xarxes de malla privades, o fer servir el que allotja Sinergia a Espanya.
Quin triar segons la feina
- Arribar a servidors, a un PC de casa o a màquines de clients per SSH o RDP: una malla IP basada en WireGuard, com Tailscale o prialo, és l'opció directa.
- Programes que necessiten broadcast, multicast o un segment Ethernet compartit entre seus: l'Ethernet virtual de ZeroTier està pensada per a això.
- Un requisit ferm que el pla de control i les metadades quedin al teu propi servidor: mira un pla de control autoallotjat, que prialo ofereix com a paquet per a Docker Compose.
- Un equip que ja té proveïdor d'identitat i vol operar el mínim: un pla de control allotjat dona menys feina, sempre que acceptis on viuen les metadades.
Preguntes a respondre abans de migrar
- Hi ha res a la xarxa que depengui del broadcast o d'estar al mateix segment Ethernet?
- Qui ha de poder veure els noms de dispositiu, les claus i les hores de connexió, i en quin país viuen?
- Hi ha equips darrere de CGNAT de l'operador, de manera que un relé portarà part del trànsit?
- Pots moure la xarxa més endavant sense tornar a donar d'alta cada dispositiu a mà?
Si les respostes apunten a accés remot sobre IP amb les metadades sota el teu control, l'opció autoallotjada és la primera que convé provar. Si apunten a una xarxa local compartida entre seus, prova ZeroTier. En qualsevol cas, fes un pilot amb dos o tres equips abans de moure-ho tot.
Preguntes freqüents
ZeroTier es basa en WireGuard?
No. ZeroTier fa servir un protocol propi. Tailscale, NetBird, Headscale i prialo fan servir WireGuard per al túnel.
Què significa a la pràctica l'Ethernet virtual de ZeroTier?
Els dispositius es comporten com si estiguessin connectats al mateix commutador Ethernet, així que el trànsit que depèn d'un segment compartit, com el broadcast, pot funcionar entre ells. Una malla basada en encaminament IP, com Tailscale o prialo, no transporta aquest tipus de trànsit.
Puc allotjar jo mateix el pla de control de Tailscale o de ZeroTier?
El servei de coordinació de Tailscale l'opera Tailscale Inc.; Headscale és una implementació de codi obert i autoallotjada que funciona amb els clients de Tailscale. ZeroTier permet executar un controlador de xarxa propi. prialo distribueix el seu pla de control com a paquet autoallotjat.
El pla de control veu el meu trànsit?
No, el contingut del teu trànsit viatja entre dispositius o per un relé que no pot desxifrar-lo. El pla de control veu metadades com noms de dispositiu, claus públiques i adreces.
Prefereixes el teu propi servidor? Guia del paquet autoallotjat de prialo