O Tailscale virou uma escolha comum para quem precisa acessar a própria rede de qualquer lugar. A experiência é consistente, os clientes funcionam em quase tudo e o plano gratuito atende bem ao uso pessoal. Só que o servidor responsável por coordenar toda a rede é fechado, roda na infraestrutura de uma empresa e impõe limites removidos apenas com uma assinatura. Quem acompanha o blog já viu por aqui o Tailscale libera Aperture para controlar agentes de IA. Por que não usar uma versão open source disso?
O que é o Headscale
O Headscale é uma implementação open source e auto-hospedada do servidor de controle do Tailscale. Em vez de depender da nuvem da Tailscale Inc. para registrar dispositivos, distribuir chaves, controlar usuários e aplicar políticas, o administrador roda esse componente na própria infraestrutura. Os clientes continuam sendo os mesmos aplicativos Tailscale, apontados para o servidor próprio com um comando como tailscale up –login-server.
O projeto nasceu em junho de 2020 nas mãos de Juan Font, é licenciado sob BSD 3-Clause e se tornou um dos repositórios mais populares do GitHub, com mais de 43 mil estrelas. O escopo é proposital: uma única rede (tailnet) para uso pessoal, homelab ou pequenas organizações. Não é uma réplica integral do serviço comercial. O projeto também não tem associação com a Tailscale Inc.
Tecnologia e compatibilidade
A base é o WireGuard, o protocolo VPN moderno usado também pelo Tailscale. A diferença está na topologia. Em vez de um túnel centralizado, que obriga o tráfego a passar por um servidor distante, o Headscale coordena uma malha de nós (mesh). Cada dispositivo conversa diretamente com os outros quando possível, com retransmissão via DERP apenas quando necessário. Essa topologia reduz a latência e melhora a tolerância a falhas, principalmente quando o servidor fica longe dos dispositivos.
Escrito em Go, o Headscale implementa o protocolo de controle do Tailscale e mantém compatibilidade com os clientes oficiais em Linux, Windows, macOS, Android, iOS, tvOS, FreeBSD e OpenBSD. A versão estável v0.29.3, lançada em julho de 2026, exige cliente Tailscale a partir da v1.80.0. Na prática, quem já usa Tailscale consegue trocar o servidor de coordenação sem abandonar os aplicativos que já conhece.
Recursos já existentes
O projeto implementa a maior parte da infraestrutura central do Tailscale. Entre os recursos estão:
- MagicDNS e servidores de nomes próprios, com suporte a split DNS e dual-stack IPv4/IPv6
- Subnet routers e exit nodes, com aprovação manual ou automática de rotas
- ACLs e Grants no formato huJSON, com testes de política
- Tags para dispositivos e autenticação por OpenID Connect (OIDC)
- Tailscale SSH com regras de aceite, negação e verificação
- Taildrop e Taildrive para transferência de arquivos entre nós
- Servidor DERP embutido e integração com STUN
- API REST, métricas Prometheus e TLS automático via Let’s Encrypt
O Headscale também conta com uma camada administrativa comunitária: o Headplane. A interface web reúne gestão de máquinas, rotas, ACLs e DNS em uma experiência próxima à do painel do Tailscale. Não é um produto oficial, mas é o front-end mais popular do ecossistema, com quase 3 mil estrelas no GitHub.
Recursos como Funnel, Serve e network flow logs ainda não foram implementados. O mesmo vale para postura de dispositivos e conjuntos de IP. Os mantenedores também não suportam nem incentivam a execução em containers. A forma recomendada é usar um pacote Debian ou um binário com systemd.
O que está por vir
A versão 0.30.0, ainda em desenvolvimento, aponta para uma API HTTP v2 com autenticação OAuth 2.0, remoção do gRPC antigo, suporte a Terraform e operador Kubernetes. O projeto quer se tornar uma plataforma de rede mais automatizável, mantendo a filosofia de quem opera tudo.
Para o público brasileiro, os números ajudam a dimensionar a escolha. O Tailscale cobra US$ 8 por usuário por mês no plano Standard (cerca de R$ 44) e US$ 18 no Premium (cerca de R$ 99), valores que pesam no orçamento de consultorias e pequenas empresas quando a equipe passa de seis pessoas. O plano gratuito, ampliado em abril de 2026 para seis usuários e dispositivos ilimitados, cobre o uso pessoal. Quem já administra VPS, DNS, TLS e backups encontra no Headscale uma forma de manter metadados e políticas sob controle, sem depender de assinatura recorrente em dólar.
Open source não é sinônimo de grátis: a operação, a atualização e a disponibilidade passam a ser responsabilidade de quem instala. Para quem já vive de infraestrutura própria, ter o plano de controle da rede na mão, sem depender de um fornecedor e sem mensalidade por usuário, é um argumento difícil de ignorar.
Fonte: GitHub – Headscale | GitHub – Headplane | Tailscale Pricing | DevOpsToolbox
