На этой неделе XDA опубликовали статью об обходе платного удалённого потокового вещания Plex с помощью Tailscale, и обсуждение тут же превратилось в совсем другое: долгий список пользователей, разочарованных тихими изменениями в Tailscale. Снижение лимита устройств на бесплатном плане, направление новых аккаунтов на провайдеров SSO и повышение цены при переходе на платный тариф подтолкнули стабильный поток пользователей домашних лабораторий и небольших команд к поиску альтернатив. Хорошая новость в том, что категория mesh-VPN значительно созрела, и несколько альтернатив Tailscale готовы к работе в боевых условиях на Windows, macOS и Linux.
Мы протестировали 7 альтернатив Tailscale в небольшой лаборатории (десктоп на Windows, MacBook с Apple Silicon и два узла Linux) на практических сценариях, которые люди действительно используют: удалённый SSH, общие файлы, самостоятельно размещённые медиа-серверы и экземпляр Plex за CGNAT. Каждый вариант оценивался по времени настройки, надёжности обхода NAT, вариантам идентификации и стоимости реального развёртывания вместо демонстрации.
Быстрое сравнение
| Приложение | Лучше всего подходит для | Бесплатный план | Начальная цена | Выделяющаяся функция |
|---|---|---|---|---|
| NetBird | Open-source mesh-VPN в стиле Tailscale с хостированным вариантом | Да (5 пользователей, самостоятельное размещение без ограничений) | Платный план на пользователя | Полная паритетность самостоятельного размещения с интерфейсом SaaS |
| ZeroTier | Кросс-платформенная оверлей-сеть с виртуальной сетью уровня 2 | Да (до 10 узлов) | Платный план на пользователя | Эмуляция сети уровня 2 для устаревших приложений локальной сети |
| Headscale | Самостоятельно размещённая контрольная плоскость для клиента Tailscale | Да (бесплатно, только самостоятельное размещение) | Бесплатно | Полная замена координатора Tailscale |
| Nebula | Open-source mesh-VPN Slack для масштабной работы | Да (бесплатно, только самостоятельное размещение) | Бесплатно | Протестировано в боевых условиях на тысячах узлов |
| Cloudflare Zero Trust | Туннели с распознаванием идентификации для команд на Cloudflare | Да (до 50 пользователей) | Платный план на пользователя | Не требуется клиент для HTTP-сервисов |
| Twingate | Бесконечный удалённый доступ с ориентированным на политику пользовательским интерфейсом | Да (до 5 пользователей) | Платный план на пользователя | Политики уровня ресурсов вместо широких подсетей |
| WireGuard | DIY-туннель между двумя известными точками доступа | Да (бесплатно, самостоятельное размещение) | Бесплатно | Наименьшая поверхность атаки и модуль ядра, на котором построены все остальные |
Почему люди переходят от Tailscale
Бесплатный план по-прежнему подходит для большинства личных настроек, но правила вокруг него изменились тихо. На какое-то время провайдеры идентификации стали единственным способом создания нового аккаунта, что раздражало пользователей, которые просто хотели локального входа для домашнего сервера. Лимит устройств на Personal был снижен, затем частично восстановлен, затем объединён с Personal Plus, и сообщения были достаточно запутанными, чтобы несколько веток Reddit весь год гадали, что считается «устройством».
Также есть зависимость от SaaS. Плоскость данных Tailscale работает на основе WireGuard между одноранговыми узлами, но контрольная плоскость размещена на хостинге, что означает обмен ключами и политика доступа находятся на серверах Tailscale. Для домашней лаборатории это нормально. Для развёртывания без доступа в интернет или под управлением соответствия это невозможно, и единственный способ выхода — это Headscale, который Tailscale поддерживает, но не продаёт.
Ценообразование — третья точка давления. Переход с бесплатного плана на первый платный уровень крут для двухпользовательского консультационного агентства, и уровень Personal Plus неудачно располагается между бесплатным планом и командным SKU. Несколько небольших команд сказали нам, что они перешли с Tailscale не потому, что продукт был плохой, а потому что самый дешёвый непрямой вариант стоил дороже, чем самостоятельное размещение NetBird или ZeroTier на VPS стоимостью $5.
7 лучших альтернатив Tailscale для десктопа
NetBird — лучший open-source клон Tailscale
NetBird — это ближайший аналог Tailscale, который вы можете полностью самостоятельно размещать без потери аккуратной веб-консоли. Архитектура отражает разделение Tailscale между контрольной плоскостью (SignalServer и Management) и плоскостью данных WireGuard, а десктопные клиенты на Windows, macOS и Linux выглядят и работают так, как ожидают пользователи Tailscale. Хостированный план существует для команд, которые не хотят самостоятельно запускать контрольную плоскость, а сборка самостоятельного размещения — это точно такой же код.
Где он не справляется: SCIM и логирование аудита находятся на платном хостированном плане, что важно, если они вам нужны для соответствия. Обход NAT хорош в большинстве случаев, но симметричные NAT иногда всё ещё откатываются на ретрансляцию.
Ценообразование:
- Бесплатно: 5 узлов на хостированном плане, без ограничений на самостоятельное размещение
- Платно: плата за пользователя в месяц на хостированном плане Business
- vs Tailscale: дешевле в масштабе, и самостоятельное размещение — это тот же продукт, а не урезанный вариант
Загрузить: netbird.io
Итоговая строка: Выберите NetBird, если вы хотите пользовательский интерфейс Tailscale без отказа от возможности самостоятельного размещения контрольной плоскости на собственном VPS.
ZeroTier — лучшая бесплатная оверлей-сеть для устаревших приложений локальной сети
ZeroTier предшествует Tailscale на годы и принимает другой подход: он эмулирует виртуальный Ethernet на уровне 2, что означает, что программное обеспечение, которое ожидает трансляцию локальной сети (старые общие файлы, некоторые игровые серверы, определённые мосты домашней автоматизации) работает так, как оно работало бы на настоящем коммутаторе. Бесплатный план охватывает до 10 узлов на сеть и 1 сеть на контроллер, чего достаточно для большинства домашних лабораторий и небольших команд разработчиков.
Где он не справляется: Десктопный интерфейс работает, но выглядит устаревшим рядом с Tailscale. Производительность через каналы с высокой задержкой нормальна для SSH и передачи файлов, но отстаёт от mesh-VPN на основе WireGuard по пропускной способности.
Ценообразование:
- Бесплатно: до 10 узлов на сеть, неограниченные сети для личного использования
- Платно: план Business на пользователя
- vs Tailscale: дешевле для разовых небольших сетей, более гибко для использования уровня 2
Загрузить: zerotier.com
Итоговая строка: Выберите ZeroTier, если у вас есть приложение, которое предполагает плоскую локальную сеть, или если 10 узлов на бесплатном плане — это действительно всё, что вам нужно.
Headscale — лучшая самостоятельно размещённая замена контрольной плоскости Tailscale
Headscale — это открытая переделка сервера координации Tailscale. Клиенты Tailscale на Windows, macOS и Linux по-прежнему подключаются, семантика маршрутизации и ACL всё ещё выполняется, и вы сохраняете аккуратные приложения без зависимости SaaS. Для команд, которые уже доверяют клиенту Tailscale, но хотят полного контроля над идентификацией и политикой, это самый чистый выход.
Где он не справляется: По умолчанию нет графического интерфейса для управления узлами. Сообщество создало веб-интерфейсы, но официальная поверхность — это CLI. Синтаксис ACL следует за HuJSON Tailscale, который мощный, но имеет кривую обучения.
Ценообразование:
- Бесплатно: open-source, без лицензионных сборов
- Платно: ничего, кроме VPS, на котором вы его запускаете
- vs Tailscale: бесплатно при любом количестве узлов, с компромиссом, что вы управляете контрольной плоскостью
Загрузить: github.com/juanfont/headscale
Итоговая строка: Выберите Headscale, если вам нравится клиент Tailscale и вы хотите его оставить, но вы не можете или не будете зависеть от хостированных серверов Tailscale.
Nebula — лучшая mesh-VPN, созданная для масштабирования
Nebula произошла от Slack и была построена для количества узлов, которые сам Slack запускал. Модель идентификации на основе сертификатов и ориентация на политику от хоста к хосту делают её лучше подходящей для флотов серверов, чем для пользователя рабочего стола, который возит ноутбук между кофейнями. Производительность отличная на Linux, а клиенты macOS и Windows наверстали упущенное за прошлый год.
Где он не справляется: Настройка более сложна, чем Tailscale или NetBird. Вы генерируете CA, подписываете сертификаты хостов и редактируете YAML. Нет хостированной контрольной плоскости, на которую можно было бы положиться, и история пользовательского интерфейса — это «используйте CLI».
Ценообразование:
- Бесплатно: open-source, без лицензионных сборов
- Платно: ничего, кроме инфраструктуры, которую вы запускаете
- vs Tailscale: бесплатно и быстрее на Linux, сложнее начать
Загрузить: github.com/slackhq/nebula
Итоговая строка: Выберите Nebula, если вы подключаете серверы вместе в масштабе и хотите mesh, который был доказан в боевых условиях при одном из самых крупных развёртываний в дикой природе.
Cloudflare Zero Trust — лучшие туннели с распознаванием идентификации для команд
Cloudflare Zero Trust (ранее Cloudflare Access плюс Tunnel) подходит к проблеме со стороны приложения, а не со стороны сети. Вместо mesh между всеми одноранговыми узлами вы публикуете отдельные сервисы через туннель Cloudflare, затем размещаете идентификацию и политику перед каждым. Для HTTP-сервисов пользователи вообще не устанавливают клиент, что является правильным ответом для команд, которые должны поддерживать подрядчиков и партнёров.
Где он не справляется: Это не peer-to-peer mesh. Трафик проходит через граничный сервер Cloudflare, что нормально для браузерных приложений, но добавляет задержку для использования в стиле SSH. Бесплатный план ограничивает пользователей до 50, но начинает ограничивать функции, которые действительно используют небольшие команды.
Ценообразование:
- Бесплатно: до 50 пользователей
- Платно: план Standard на пользователя
- vs Tailscale: лучше для HTTP-сервисов и приложений, обращённых к клиентам, слабее для общей сетевой работы рабочего стола
Загрузить: cloudflare.com
Итоговая строка: Выберите Cloudflare Zero Trust, если ваши общие ресурсы в основном веб-приложения или API и вы хотите доступ только для браузера без VPN-клиента на каждом устройстве.
Twingate — лучший удалённый доступ, ориентированный на политику
Twingate ближе к Tailscale по форме, но больше полагается на политику уровня ресурсов. Вместо предоставления доступа к подсети /24 вы предоставляете доступ к определённому ресурсу по имени с условиями для атрибутов провайдера идентификации, состояния устройства и времени. Для команд операций, которые должны удовлетворять проверяющих, это чисто отображается на элементы управления SOC 2.
Где он не справляется: Нет варианта самостоятельного размещения. Бесплатный план ограничивает пользователей до 5 и ограничивает количество ресурсов, что подходит для побочного проекта, но не для реальной команды. Соединители требуют инфраструктуры с обеих сторон.
Ценообразование:
- Бесплатно: до 5 пользователей, 2 сети
- Платно: план Teams на пользователя
- vs Tailscale: более строгая модель политики, нет возможности самостоятельного размещения
Загрузить: twingate.com
Итоговая строка: Выберите Twingate, если вам нужна политика названного ресурса и доступ с распознаванием идентификации для небольшой команды, и вас не беспокоит, что контрольная плоскость размещена на хостинге.
WireGuard — лучший DIY-туннель между известными точками доступа
WireGuard — это протокол, который питает большинство приложений выше. Используемый напрямую, это самый экономичный вариант в списке: уровень ядра на Linux, быстрый на Windows и macOS, с одним файлом конфигурации на узел и ничего больше для запуска. Нет пользовательского интерфейса и нет сервиса координации. Вы сами справляетесь с обменом ключами, обычно через scp или инструмент конфигурации.
Где он не справляется: Без обхода NAT. Без обнаружения. Без идентификации. Если вы хотите добавить или повернуть узел, вы редактируете конфиг каждого другого узла. Это нормально для двух или трёх точек доступа; это разваливается на пятнадцать.
Ценообразование:
- Бесплатно: open-source, без лицензионных сборов
- Платно: ничего
- vs Tailscale: меньшая поверхность и более низкие накладные расходы, нет управления mesh
Загрузить: wireguard.com
Итоговая строка: Выберите сырой WireGuard, если у вас есть фиксированный набор точек доступа, вам нравится редактировать файлы конфигурации и вы хотите наименьшую возможную поверхность атаки.
Как выбрать
Выберите NetBird, если вы хотите ежедневный опыт Tailscale и возможность самостоятельного размещения без потери веб-консоли. Это наиболее прямая замена.
Выберите Headscale, если ваша команда уже привыкла к клиенту Tailscale и единственное, что вас отталкивает, — это зависимость от серверов Tailscale.
Выберите ZeroTier, если вам нужна виртуальная локальная сеть для приложения, которое ожидает трансляцию, или если 10 узлов на бесплатном плане — это действительно всё, что вам нужно.
Выберите Cloudflare Zero Trust, если большая часть того, что вы делитесь, — это HTTP и вы хотите доступ только для браузера для подрядчиков.
Выберите Twingate, если у вас есть проверяющие, которые спрашивают о политике названного ресурса и состоянии устройства.
Оставайтесь на Tailscale, если ваша команда небольшая, ваши узлы в основном личные устройства и цена уровня Personal Plus подходит вашему бюджету. Продукт по-прежнему самый простой в настройке, и полировка имеет значение, когда нужно подключать нетехнических пользователей.
FAQ
NetBird действительно альтернатива Tailscale или просто форк?
NetBird — это отдельная кодовая база, которая приходит к подобной форме, потому что оба продукта находятся поверх WireGuard. Клиенты не принадлежат Tailscale, контрольная плоскость не принадлежит Headscale, и сборка самостоятельного размещения включает ту же веб-консоль, что и хостированный план.
Могу ли я запустить клиентов Tailscale с Headscale?
Да. Headscale реализует API координации Tailscale, поэтому официальные клиенты Tailscale на Windows, macOS, Linux, iOS и Android подключаются к серверу Headscale так же, как они подключаются к хостированной контрольной плоскости. Вы указываете им URL вашего сервера при входе.
ZeroTier медленнее, чем Tailscale?
Пропускная способность в целом сопоставима для передачи один в один. Tailscale, как правило, выигрывает при потоковой передаче в стиле WireGuard, ZeroTier, как правило, выигрывает при приложениях, которым нужна трансляция уровня 2. Для SSH, передачи файлов и потоковой передачи медиа в домашней сети оба чувствуют себя одинаково при нормальном использовании.
Какова самая дешёвая альтернатива Tailscale для небольшой команды?
Для трёх-пяти пользователей бесплатный план Cloudflare Zero Trust охватывает больше функций идентификации, чем любой из остальных. Для сетевой работы mesh на том же бюджете самостоятельное размещение NetBird на небольшом VPS выходит дешевле, чем любой платный уровень Tailscale.
Могу ли я запустить самостоятельно размещённую mesh-VPN за CGNAT?
Да, с узлом ретрансляции на VPS с общедоступным IP. NetBird и Headscale включают логику ретрансляции. Nebula нужен маяк на общедоступном IP. WireGuard один не будет пересекать CGNAT без общедоступного узла.
