Acceso remoto fácilmente: Cómo integrar Tailscale en Proxmox VE

Quienes administramos nuestro propio homelab o infraestructura casera conocemos bien el dilema de acceder a nuestros servicios desde fuera de casa. Las opciones tradicionales suelen implicar abrir puertos en el router (con los riesgos de seguridad que conlleva), lidiar con IP dinámicas mediante servicios DDNS o configurar y mantener servicios VPN complejos como OpenVPN o WireGuard "a mano".

Por suerte, existe una solución que combina la máxima seguridad con una simplicidad pasmosa: Tailscale.

En este artículo repasamos qué es esta herramienta, por qué es la opción ideal para tu servidor casero y cómo integrarla en un entorno Proxmox VE para acceder a tu hipervisor y a todos tus contenedores y máquinas virtuales de forma rápida, eficiente y sin abrir un solo puerto.

¿Qué es Tailscale y por parte qué cambia el juego?

Tailscale es una red privada virtual (VPN) de tipo mesh (malla) basada en el protocolo WireGuard. A diferencia de las VPN tradicionales centrales (donde todo el tráfico viaja hacia un servidor principal que actúa de cuello de botella), Tailscale conecta tus dispositivos directamente entre sí (peer-to-peer).

¿Por qué destaca para un servidor casero?

• Cero puertos abiertos: Funciona mediante NAT traversal. No necesitas configurar el port forwarding de tu router ni exponer la IP de tu hogar a escaneos maliciosos.

• Seguridad de nivel WireGuard: Todo el tráfico entre tus dispositivos viaja cifrado de extremo a extremo.

• Red de malla (Mesh): Si tu laptop y tu servidor están en la misma red local, el tráfico va directo a velocidad gigabit. Si estás fuera, se conectan directamente por la vía más rápida disponible.

• Asignación de IPs fijas y MagicDNS: Cada dispositivo recibe una IP única dentro de tu red privada (en el rango 100.x.y.z) y un nombre de dominio resolver accesible (ej: proxmox.tu-red.ts.net).

Estrategias para integrar Tailscale en Proxmox VE

A la hora de usar Tailscale con Proxmox VE existen dos enfoques principales:

1. Instalar Tailscale directamente en el Host (Proxmox VE): Ideal si quieres administrar el hipervisor y la interfaz web del nodo Proxmox de forma directa.
2. Desplegar Tailscale en un Contenedor LXC independiente (Subnet Router): La opción preferida si buscas mantener el hipervisor limpio o quieres dar acceso remoto a toda la subred local (incluyendo otros contenedores LXC, VMs, NAS, switches o dispositivos que no pueden ejecutar el cliente de Tailscale).

A continuación, repasamos la configuración recomendada usando la estrategia del Subnet Router o la instalación directa.

Método 1: Instalación directa en el nodo Proxmox VE

Si lo que buscas es una configuración rápida para acceder a la CLI y al panel web de administración de Proxmox (https://IP:8006), puedes instalar el cliente de Tailscale directamente en el sistema base de Proxmox (que al fin y al cabo es Debian).

Paso 1: Instalación del paquete

Conéctate por SSH o mediante la consola web a tu nodo Proxmox y ejecuta el script oficial de instalación:

curl -fsSL https://tailscale.com/install.sh | sh

Paso 2: Iniciar y vincular

Inicia el servicio e interactúa con el proceso de autenticación:

tailscale up

El sistema te mostrará un enlace único en la terminal. Cópialo, ábrelo en tu navegador e inicia sesión con tu cuenta de Tailscale para autorizar el nodo.

Una vez autorizado, verás tu servidor Proxmox en el panel de administración (Admin Console) de Tailscale y podrás acceder a la interfaz web ingresando a https://tu-ip-tailscale:8006.

Método 2: Enrutador de Subred (Subnet Router) en un LXC (Recomendado)

Si tienes múltiples contenedores LXC o máquinas virtuales (Docker, Immich, Mastodon, servidores de archivos, etc.) y no quieres instalar el agente de Tailscale en cada uno de ellos, la mejor práctica es convertir un ligero contenedor LXC en un Subnet Router.

De esta forma, al conectarte a Tailscale desde tu celular o laptop fuera de casa, podrás acceder a cualquier IP local (192.168.1.x) como si estuvieras en el sillón de tu casa.

Paso 1: Crear un LXC Unprivileged en Proxmox

1. Crea un contenedor LXC ligero (Debian o Alpine) con 512 MB de RAM y 1 vCPU.

2. En las opciones del contenedor, asegúrate de habilitar el uso del dispositivo TUN:

3. Dirígete a LXC > Resources / Options o edita la configuración del contenedor en el host (/etc/pve/lxc/ID.conf) agregando las siguientes líneas si fuera necesario:

lxc.cgroup2.devices.allow: c 10:200 rwm
lxc.mount.entry: /dev/net/tun dev/net/tun none bind,create=file

Paso 2: Habilitar el reenvío de IP (IP Forwarding)

Dentro del contenedor LXC, habilita el reenvío de paquetes IPv4 e IPv6:

echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

Paso 3: Instalar e iniciar Tailscale anunciando la subred

Instala Tailscale dentro del LXC y arráncalo indicando la subred local de tu hogar (por ejemplo, 192.168.1.0/24):

tailscale up --advertise-routes=192.168.1.0/24

Paso 4: Aprobar las rutas en la consola de Tailscale

1. Inicia sesión en el Tailscale Admin Console.
2. Busca el dispositivo LXC recien agregado y ve a Edit route settings.
3. Aprueba la ruta de la subred (192.168.1.0/24) anunciada.

¡Listo! Ahora, cuando actives Tailscale en tu teléfono o laptop fuera de tu red doméstica, podrás escribir en el navegador 192.168.1.X:8006 para Proxmox o ingresar a cualquier puerto de tus contenedores LXC/VMs sin tocar nada más.

Ventajas técnicas de este esquema

. Eficiencia y baja latencia: Al basarse en el protocolo WireGuard integrado en el kernel de Linux, el impacto en el rendimiento de la CPU y la RAM de tu servidor Proxmox es prácticamente imperceptible.

. Integración con MagicDNS: Puedes olvidarte de recordar direcciones IP numéricas. Con MagicDNS habilitado, basta con navegar a http://nombre-contenedor para acceder a tus servicios.

. Autenticación en dos pasos (2FA): Al delegar el acceso en tu proveedor de identidad de Tailscale (GitHub, Google, Microsoft), proteges la entrada a tu Proxmox con autenticación multifactor sin necesidad de configurar complejos plugins de PAM o Keycloak.

Integrar Tailscale en un servidor Proxmox VE es una de las mejoras de usabilidad y seguridad más grandes que puedes hacerle a tu infraestructura doméstica. Nos permite eliminar la exposición pública innecesaria, simplifica drásticamente la gestión de acceso remoto y nos otorga la tranquilidad de tener una red Mesh cifrada, rápida y confiable al alcance de un clic.