NetBird autoalojado en Proxmox LXC: la alternativa a Tailscale que te da control total (2026)

Tailscale es un software realmente bueno: conectividad peer-to-peer sin esfuerzo, ACLs sólidas y la función Funnel. Pero el plano de control vive en la nube de Tailscale, y una vez que conoces NetBird es difícil ignorar esa diferencia. NetBird ofrece la misma experiencia de VPN en malla basada en WireGuard, con un plano de control autoalojado que es tuyo de verdad. Así se corre en Proxmox LXC.

Qué es NetBird y en qué se diferencia de Tailscale y Headscale

NetBird es una plataforma de VPN en malla open source construida sobre WireGuard. A diferencia de Tailscale, tanto el cliente como el servidor de control se pueden autoalojar por completo. A diferencia de Headscale (el reemplazo comunitario del plano de control de Tailscale), NetBird trae su propio servidor de gestión, servidor de señalización, relay TURN y panel, todo en un solo stack de Docker Compose, así que no estás armando un rompecabezas de forks comunitarios.

Diferencias que importan en 2026:

vs Tailscale: el plano de control de Tailscale es propietario y solo en la nube. Tienes una gran experiencia de uso, pero la topología de tu red, tus ACLs y los metadatos de tus dispositivos viven en los servidores de Tailscale. NetBird autoalojado significa cero dependencias externas: nada sale de tu red a menos que tú quieras.

vs Headscale: Headscale es una reimplementación comunitaria del servidor de coordinación de Tailscale. Funciona, pero siempre va detrás de las funciones nuevas de Tailscale y no trae su propio relay ni servidor de señalización. NetBird es un stack completo desarrollado de forma independiente.

vs WireGuard a secas: NetBird resuelve las partes difíciles (distribución de llaves, paso por NAT, descubrimiento de peers, ACLs) que tendrías que construir tú sobre WireGuard puro. Mantienes el rendimiento de WireGuard sin el dolor de cabeza de manejar llaves a mano.

Desde NetBird v0.72 (junio de 2026), la plataforma incluye además un proxy inverso integrado, lo que la pone a competir directamente con Tailscale Funnel para exponer servicios internos.

Requisitos previos

• Proxmox VE 8.x o posterior
• Un dominio apuntando a tu host de Proxmox (o un túnel de Cloudflare delante): la API de gestión de NetBird necesita HTTPS con un certificado válido para que los clientes móviles confíen en ella
• Un servidor o LXC con Docker y Docker Compose (el plano de gestión corre en contenedores)
• Puertos abiertos en tu servidor NetBird: 443/tcp (API de gestión + panel), 33073/tcp (servidor de señalización), 3478/udp y 49152-65535/udp (relay TURN)

Paso 1: crea el contenedor LXC

En la consola de Proxmox, usa el script de la comunidad para instalar con un solo comando:

bash -c "$(wget -qLO - https://github.com/community-scripts/ProxmoxVE/raw/main/ct/netbird.sh)"

El script crea un LXC con Ubuntu 22.04, instala Docker y deja un docker-compose.yml en /opt/netbird. Si prefieres control manual, crea el LXC tú mismo: usa Ubuntu 22.04, 2 vCPU, 2 GB de RAM y 8 GB de disco.

Crítico: dispositivo TUN en contenedores sin privilegios. El módulo de kernel de WireGuard de NetBird necesita /dev/net/tun. En la consola del host de Proxmox, agrega esto a /etc/pve/lxc/.conf:

lxc.cgroup2.devices.allow: c 10:200 rwm
lxc.mount.entry: /dev/net/tun dev/net/tun none bind,create=file

Luego reinicia el contenedor:

pct restart <CTID>

Verifica dentro del contenedor:

ls -la /dev/net/tun
# Should show: crw-rw-rw- 1 root root 10, 200 ...

Paso 2: configura el stack de gestión autoalojado

Dentro del LXC, ejecuta el script de configuración de NetBird, que genera un docker-compose.yml completo con Traefik, Let's Encrypt, la API de gestión, el servidor de señalización y el relay TURN:

cd /opt/netbird
export NETBIRD_DOMAIN="netbird.yourdomain.com"
export NETBIRD_LETSENCRYPT_EMAIL="you@yourdomain.com"

curl -fsSL https://github.com/netbirdio/netbird/releases/latest/download/setup.sh | bash

Esto genera un setup.env y un docker-compose.yml totalmente configurado. Revisa setup.env antes de seguir: los valores por defecto están listos para producción, pero vas a querer poner NETBIRD_RELAY_AUTH_SECRET con algo fuerte.

Arranca el stack:

docker compose up -d

Verifica que todos los servicios hayan levantado:

docker compose ps
# You should see: dashboard, management, signal, relay (coturn), traefik — all Up

El panel estará disponible en https://netbird.yourdomain.com. La primera vez que lo abras, crearás el primer usuario administrador.

Paso 3: instala el cliente de NetBird en cada peer

En cualquier máquina Linux (incluidos otros LXC o VMs de Proxmox):

curl -fsSL https://pkgs.netbird.io/install.sh | sh

Luego conéctalo a tu instancia autoalojada en lugar de la pública:

netbird up   --management-url https://netbird.yourdomain.com:443   --admin-url https://netbird.yourdomain.com:443

Recibirás un enlace para autenticarte en el navegador. Inicia sesión con las credenciales del panel y el dispositivo aparecerá en la lista de Peers. Repite en cada máquina que quieras en la malla.

En macOS o Windows, descarga el cliente de escritorio desde netbird.io/download y, en Settings, apúntalo a tu URL de gestión antes de iniciar sesión. En iOS y Android, el mismo patrón desde la app móvil.

Paso 4: configura las ACLs (políticas de red)

Aquí es donde NetBird le gana claramente a Headscale. El panel tiene un editor de ACLs completo: creas grupos, asignas peers a grupos y escribes políticas de permitir/denegar entre grupos. Ejemplo de política para que tu laptop solo pueda llegar a la VLAN de administración del homelab:

{
  "rules": [
    {
      "name": "laptop-to-homelab",
      "action": "accept",
      "sources": ["group:laptops"],
      "destinations": ["group:homelab"],
      "protocol": "all"
    }
  ]
}

También puedes definir Routes: le dices a NetBird que anuncie una subred (por ejemplo, 192.168.0.0/24) a través de un peer específico que actúa como router. Así todos tus peers de NetBird llegan a tu red de casa sin instalar NetBird en cada dispositivo.

Para activar el enrutamiento de subred, marca un peer como router en el panel y luego, en ese peer:

netbird routes add 192.168.0.0/24 --peer-id <PEER_ID>

Paso 5: verifica la conectividad y el DNS

NetBird registra el hostname de cada peer en su resolvedor DNS interno. Prueba desde cualquier peer conectado:

ping proxmox.netbird.cloud   # or whatever your domain suffix is
netbird status

La salida de netbird status muestra todos los peers, sus IPs (del rango CGNAT 100.64.x.x por defecto) y la latencia. Las conexiones directas aparecen como P2P y las que pasan por relay como relayed: una vez que el paso por NAT funciona, casi siempre se usa P2P.

Para la interfaz de gestión en particular, instala la extensión de navegador de NetBird o entra al panel directamente desde un peer de la malla.

Rendimiento: NetBird vs Tailscale en la práctica

Como ambos usan WireGuard, el rendimiento es muy parecido. Valores orientativos para un host de Proxmox como un Beelink GTi13 Ultra, una laptop con Wi-Fi 6 y el relay TURN en un VPS barato:

• P2P directo (misma red o NAT limpio): latencia por debajo de 1 ms en LAN y un rendimiento cercano al de WireGuard puro, limitado sobre todo por tu red y tu CPU
• Por relay (doble CGNAT o firewall estricto): suma latencia según dónde esté el relay (en un VPS barato, del orden de decenas de milisegundos) y el ancho de banda queda limitado por ese VPS

Frente a Tailscale en el mismo hardware: prácticamente idéntico en conexiones directas. Tailscale gana algo en velocidad de relay porque su infraestructura DERP está distribuida por todo el mundo, mientras que tu TURN autoalojado está en un solo lugar. Si tienes usuarios en distintos continentes, corre varias instancias TURN en distintas regiones.

Hardware recomendado para cada nodo

Algunos productos que encajan bien en este setup:

• Mini PC Beelink GTi13 Ultra: para el host de Proxmox y el plano de gestión de NetBird. Muy silencioso, con Intel i9-13900H, maneja todo.
• Switch administrable TP-Link TL-SG108E de 8 puertos: etiquetado de VLANs para aislar los segmentos de red que anuncian las rutas de NetBird.
• Raspberry Pi 5 (8 GB): peer/router de NetBird liviano y siempre encendido para la red de casa cuando el servidor principal está apagado.
• microSD SanDisk Extreme Pro de 128 GB: para la Pi que funciona como router de subred.
• NVMe Crucial P3 Plus de 500 GB: disco de arranque rápido para el host de Proxmox.
• Access point Ubiquiti UniFi U6 Pro: AP Wi-Fi 6 para peers inalámbricos confiables.
• UPS APC Back-UPS 600VA: mantiene vivos el host de Proxmox y el switch durante cortes breves; no hay nada peor que perder el acceso VPN porque la luz parpadeó.
• Hub USB-C Anker de 10 Gbps: útil para agregar NVMe o NICs extra al mini PC.

Advertencias y detalles

Renovación de certificados: Traefik renueva Let's Encrypt automáticamente, pero tu dominio de NetBird necesita un certificado válido o los clientes móviles rechazarán la API de gestión. Asegúrate de que el puerto 443 sea accesible desde internet, o usa el desafío DNS de Cloudflare en lugar del desafío HTTP.

Actualizaciones: docker compose pull && docker compose up -d en /opt/netbird. NetBird publica versiones con bastante frecuencia (v0.72 en junio de 2026): suscríbete a sus releases en GitHub para estar al día.

Respaldos: la única pieza con estado es la base de datos de gestión en /var/lib/docker/volumes/netbird_management_data. Respáldala con tu trabajo de respaldo habitual de Proxmox o con un cron que la copie a tu NAS.

Clientes móviles y URL de gestión personalizada: si configuras la app de iOS o Android, escribe la URL de gestión antes de iniciar sesión: hay un engranaje en la pantalla de inicio de sesión. Es fácil pasarlo por alto.

Los certificados autofirmados no sirven para el móvil: los clientes de NetBird para iOS y Android validan TLS de forma estricta. Usa un dominio real con Let's Encrypt o certificados con proxy de Cloudflare.

¿Deberías cambiarte desde Tailscale o Headscale?

Si ya usas Headscale, el argumento para migrar a NetBird es fuerte: obtienes un panel nativo, un relay TURN como corresponde y manejo de ACLs sin editar un archivo de configuración. El esfuerzo operativo es similar.

Si usas Tailscale y tienes un setup más grande (varios usuarios, SSO, registros de auditoría), el pulido de Tailscale sigue estando por delante. El panel de NetBird es bueno, pero la experiencia de uso de Tailscale sigue siendo la referencia. Dicho esto, para alguien que maneja solo su homelab y quiere sus máquinas conectadas sin depender de la nube, NetBird autoalojado es la mejor opción a largo plazo.

La verdadera ganancia es la soberanía de datos: la topología de tu red, tus ACLs y las llaves de tus dispositivos nunca salen de tu infraestructura. Para cualquier cosa que toque infraestructura interna o trabajo con clientes, vale los diez minutos extra de configuración.

Aviso: este artículo contiene enlaces de afiliado. Si compras a través de ellos, puedo ganar una pequeña comisión sin costo extra para ti.