Tailscale vs OpenVPN: cómo proteger el acceso a bases de datos en un equipo distribuido

Elegir entre Tailscale y OpenVPN para el acceso interno a bases de datos es una de esas decisiones de infraestructura que parecen menores hasta el día en que un puerto de Postgres termina expuesto a internet. Ambas herramientas pueden conectar a tu equipo distribuido con la misma red privada donde viven tus bases de datos, pero representan dos filosofías muy distintas: una VPN tradicional de concentrador contra una malla moderna basada en WireGuard. Este artículo las compara con honestidad, explica el modelo de seguridad de cada una y te da una guía concreta para proteger el acceso a bases de datos en un equipo remoto de ingeniería.

El problema: tu base de datos no debería estar en internet

La postura por defecto para cualquier base de datos interna, ya sea Postgres, MySQL, Redis o MongoDB, debería ser simple: sin dirección pública de escucha, sin puerto abierto en el grupo de seguridad, sin lista de IPs permitidas que alguien tenga que mantener a mano. En el momento en que un desarrollador trabaja desde casa, una cafetería o un coworking, necesitas una ruta privada desde su laptop hasta el servidor que corre la base de datos.

Hay tres formas comunes de resolverlo:

• Túneles SSH, que funcionan bien para una persona pero se vuelven inmanejables con un equipo
• Un concentrador de VPN tradicional como OpenVPN, donde todos se conectan a una misma puerta de enlace
• Una red superpuesta de malla como Tailscale, donde cada dispositivo se conecta de par a par

Los túneles SSH sirven como medida temporal, pero no escalan con las personas, y terminan como conocimiento compartido en una página de wiki que nadie actualiza. Así que la decisión real para un equipo que crece suele ser Tailscale contra OpenVPN.

Cómo lo resuelve OpenVPN

OpenVPN es el veterano. Lleva dos décadas endurecido en producción, corre en casi cualquier plataforma y casi todo ingeniero de redes lo ha configurado al menos una vez. La arquitectura es de concentrador: corres un servidor de OpenVPN (o un servidor de acceso administrado) en un host dentro de tu red, y cada cliente establece un túnel hacia ese servidor. El tráfico desde la laptop de un desarrollador hasta la base de datos pasa por el concentrador.

Sus fortalezas son reales:

• Maduro y probado en batalla, con un ecosistema enorme de guías, appliances e integraciones
• Funciona sobre el puerto TCP 443, así que casi siempre atraviesa firewalls restrictivos y redes de hoteles
• Control fino sobre el enrutamiento, el DNS que se empuja a los clientes y la configuración por cliente
• Autoalojado por defecto, así que ningún servidor de coordinación de terceros ve tus metadatos

Los costos aparecen en la operación. Administras una PKI: autoridad certificadora, certificados del servidor, certificados por cliente, listas de revocación. Rotar un certificado de cliente filtrado implica tocar la CRL y reiniciar o recargar el servidor. Incorporar a una persona nueva significa generar y entregar credenciales de forma segura. Y el concentrador en sí es un punto único de falla y un cuello de botella de ancho de banda, ya que todo el tráfico de la base de datos pasa por una sola máquina.

Cómo lo resuelve Tailscale

Tailscale es una VPN de malla construida sobre WireGuard. Cada dispositivo corre el agente de Tailscale, recibe su propia IP estable en el rango 100.64.0.0/10 y se conecta directamente con otros dispositivos de tu tailnet siempre que la travesía de NAT lo permita. En lugar de un concentrador, hay un servidor de coordinación que intercambia claves y ayuda a los pares a encontrarse; la ruta real de los datos va cifrada de extremo a extremo entre dispositivos.

Para el acceso a bases de datos en particular, este modelo resulta atractivo:

• Cada máquina de desarrollador y cada servidor de base de datos es un nodo de primera clase con identidad propia
• Las listas de control de acceso se definen de forma centralizada como política, mapeando usuarios y grupos a hosts y puertos
• MagicDNS le da a cada nodo un nombre legible, así que las cadenas de conexión se mantienen estables aunque las máquinas se muevan
• Puedes restringir el acceso exactamente al puerto 5432 de un solo host, en lugar de otorgar acceso amplio a toda la red

Las contrapartes también importan. El plano de coordinación es un servicio alojado, lo que significa que confías a un tercero los metadatos de tus nodos y la capa de identidad, aunque no el contenido de tu tráfico. Puedes autoalojar el plano de control con Headscale si eso es un requisito innegociable. Y WireGuard solo habla UDP, lo que puede ser un problema en redes que lo bloquean, aunque Tailscale recurre a servidores de retransmisión cuando las conexiones directas fallan.

Comparación directa

Una advertencia honesta: el rendimiento bruto y la latencia dependen mucho más de tu ruta de red que del protocolo en la mayoría de los despliegues reales. OpenVPN en modo UDP es suficientemente rápido para cargas de bases de datos, y las conexiones directas de Tailscale suelen ser excelentes. Donde las herramientas difieren en su enfoque es en la carga operativa, no en cifras de rendimiento.

Consideraciones de seguridad que importan más que la herramienta

Cualquiera que sea la VPN que elijas, la VPN en sí no es el límite de seguridad. Algunas prácticas importan más que la elección:

1. Mantén la base de datos escuchando solo en una interfaz privada. La VPN te da alcanzabilidad, no autorización.
2. Exige autenticación en la capa de la base de datos: contraseñas fuertes o certificados de cliente, cuentas por desarrollador en lugar de un rol compartido, y TLS para la conexión misma.
3. Delimita el acceso con precisión. Con OpenVPN, usa reglas de firewall del lado del servidor para que los clientes de la VPN solo lleguen al host de la base de datos en el puerto correspondiente. Con Tailscale, escribe ACLs que hagan lo mismo de forma declarativa.
4. Registra las conexiones. Tanto el registro de Postgres como los registros de la VPN te dan una pista de auditoría cuando alguien pregunta quién tocó producción a las 2 de la mañana.
5. Da de baja rápido. El día que alguien se va, su acceso debe morir en minutos, no en el próximo ciclo de rotación de certificados. Aquí es donde las mallas basadas en identidad tienen una ventaja genuina, porque desactivar a un usuario en tu proveedor de SSO se propaga de inmediato.

También vale decir lo que OpenVPN sigue haciendo bien: si tu organización exige una pila totalmente autoalojada sin dependencias de terceros, o necesitas atravesar redes hostiles por TCP 443, OpenVPN sigue siendo una opción defendible e incluso preferible.

Dónde encaja tu espacio de trabajo en este panorama

Una VPN resuelve la alcanzabilidad, pero los desarrolladores siguen necesitando un lugar sensato donde trabajar con esa base de datos una vez que pueden alcanzarla. Aquí es donde importa tu herramienta local, y donde Deska merece una mención como una opción honesta entre muchas.

Deska es una app de escritorio gratuita para Mac, Windows y Linux construida alrededor de un lienzo infinito donde acomodas paneles como quieras. Para el flujo de trabajo de acceso a bases de datos, lo relevante es que tu máquina es el nodo en la tailnet o el cliente de la VPN, y todo lo que corres permanece local. Un panel de terminal puede mantener tu sesión de psql o mysql a través de la VPN. Un panel de editor de código contiene la migración que estás por ejecutar, y un panel de navegador muestra el panel de administración interno. Como Deska es local first, tus archivos, sesiones y credenciales quedan en tu máquina en lugar de transitar por la nube de otra persona.

Dos funciones combinan especialmente bien con una red asegurada:

• Los paneles de terminal conservan tus sesiones en el lienzo, así que el túnel SSH o la sesión de psql conectada por VPN que configuraste ayer sigue donde la dejaste, visible junto a tus notas y tu editor.
• La app móvil se conecta a tu escritorio a través de un relevo seguro con emparejamiento directo entre dispositivos y sin puertos expuestos, así puedes revisar una migración larga desde tu teléfono sin abrir otro agujero en las mismas reglas de firewall que acabas de endurecer. Consulta acceso remoto para ver cómo funciona ese emparejamiento.

Nada de esto reemplaza la decisión de la VPN. La complementa: la VPN lleva los bytes de forma segura a tu máquina, y el espacio de trabajo decide si esos bytes terminan dispersos en once ventanas de aplicaciones o ordenados en una sola vista sobre la que puedes razonar. Si estás evaluando configuraciones, la guía de inicio toma unos minutos y el espacio de trabajo en sí es gratuito.

Preguntas frecuentes

¿Tailscale es más seguro que OpenVPN para acceder a bases de datos?

Difieren en su enfoque más que en su fortaleza fundamental. OpenVPN se apoya en certificados y en un concentrador endurecido que controlas por completo. Tailscale se apoya en la criptografía moderna de WireGuard, claves de nodo de vida corta e identidad ligada a tu proveedor de SSO. En la práctica, los resultados de seguridad dependen más de tus ACLs o reglas de firewall, de la autenticación de la base de datos y de la velocidad de baja de usuarios que del protocolo del túnel.

¿Puedo usar Tailscale sin confiar en los servidores de Tailscale?

Sí, con una salvedad. El servidor de coordinación solo maneja el intercambio de claves y el descubrimiento de pares; el tráfico de tu base de datos va cifrado de extremo a extremo entre dispositivos. Si quieres eliminar por completo el plano de control alojado, Headscale es una implementación open source y autoalojada del servidor de coordinación que funciona con los mismos clientes.

¿Sigo necesitando proteger la base de datos en sí detrás de una VPN?

Absolutamente. Una VPN controla quién puede alcanzar el puerto, no quién puede iniciar sesión. Mantén credenciales fuertes por usuario en la base de datos, habilita TLS en la conexión, restringe la interfaz de red en la que la base de datos escucha y registra las sesiones. Trata a la VPN como una capa, no como toda la defensa.

Prueba un espacio de trabajo hecho para este tipo de trabajo

Si tu equipo está endureciendo el acceso interno y quieres un espacio de trabajo local first donde terminales, editores y agentes de código con IA conviven en un solo lienzo, prueba Deska. Es gratuito para Mac, Windows y Linux, y tu código y tus sesiones nunca salen de tu máquina. Descarga Deska y comprueba cómo encaja en tu configuración.