Ho usato Tailscale per 2 anni nel homelab. Poi sono migrato a NetBird — ecco perché

3 subnet, un Pi come firewall e VPN senza cloud — networking homelab reale

3 bridge Proxmox, un Raspberry Pi 5 come gateway con nftables e AIWALL IDS, NetBird VPN mesh per accesso remoto. Come funziona la rete del mio homelab — con i limiti che non nascondo.

Per due anni, Tailscale ha fatto il suo lavoro senza che me ne accorgessi. Setup in dieci minuti, tre dispositivi connessi, CGNAT bypassato. Fine.

Poi ho iniziato a fare cose più serie. Tre subnet separate su Proxmox, quattordici container, un gateway Raspberry Pi. E Tailscale ha iniziato a sembrarmi stretto — non perché non funzionasse, ma perché ogni decisione sulla mia rete passava da server che non controllo.

Ho migrato a NetBird in dodici minuti. Ho tenuto entrambi attivi per tre mesi. Questo post è quello che ho imparato.

Nota: NetBird è uno sponsor di homelabz.cc. Questo confronto si basa su tre mesi di uso reale di entrambi nella stessa infrastruttura.

Tailscale vs NetBird: cosa hanno in comune

Entrambi costruiscono reti mesh cifrate sopra WireGuard. Ogni nodo parla direttamente con gli altri dove possibile (peer-to-peer), e usa relay solo quando la connessione diretta non è praticabile — CGNAT, firewall restrittivi, NAT simmetrico.

Il risultato pratico è lo stesso: i tuoi dispositivi si vedono come se fossero sulla stessa LAN, ovunque si trovino, senza aprire porte sul router.

La differenza è tutto il resto.

Tailscale: il punto di forza è la semplicità, e non è poco

Tailscale è il prodotto più rifinito di questa categoria. Installi il client, fai login con Google o GitHub, e in cinque minuti hai una rete privata funzionante. MagicDNS assegna nomi agli host automaticamente. Taildrop condivide file tra dispositivi. Tailscale Funnel espone servizi locali su internet con un URL pubblico.

La documentazione è eccellente. I client esistono per ogni piattaforma immaginabile, comprese le estensioni browser e le app mobile. Il piano gratuito copre fino a 6 utenti, dispositivi illimitati.

Per un team piccolo che vuole accesso remoto senza un sysadmin dedicato, Tailscale è probabilmente la scelta giusta ancora oggi. Per prototyping rapido, per connettere un laptop di lavoro alla rete di casa, per casi d'uso semplici — è imbattibile sulla curva di setup.

Il limite è strutturale: il control plane è proprietario e gira su server Tailscale. Non puoi self-hostarlo ufficialmente. Ogni handshake, ogni coordinamento tra nodi, ogni chiave di autenticazione passa da loro. Headscale esiste come alternativa community, ma non è supportata ufficialmente e porta con sé complessità propria.

Per la mia infra con 14 container e 3 subnet su Proxmox, questo era il nodo del problema.

NetBird homelab: controllo totale, costo zero se self-hosted

NetBird è open source (BSD-3-Clause per il client, AGPLv3 per i componenti server) e self-hostabile completamente — management server, signal server, relay TURN inclusi. Nessun componente obbligatorio su infrastruttura terza.

Su Linux usa il modulo kernel WireGuard invece dell'implementazione userspace di Tailscale. La differenza in termini di throughput è marginale nella maggior parte degli scenari homelab, ma è indicativa dell'approccio: dove possibile, NetBird usa il layer più efficiente disponibile.

Il modello di accesso è più vicino a una segmentazione di rete reale. Definisci gruppi (es. proxmox-nodes, laptop, raspberry-pi), assegni peer ai gruppi, e scrivi policy che stabiliscono quali gruppi comunicano tra loro. È più lavoro rispetto al default permissivo di Tailscale, ma insegna a ragionare in termini di ruoli e superfici di attacco — che è esattamente quello che vuoi se stai costruendo un homelab serio.

Da febbraio 2026, NetBird v0.65 include un reverse proxy integrato. Questo cambia sostanzialmente il confronto con Tailscale Funnel: puoi esporre servizi con domini custom, autenticazione configurabile e controllo completo del traffico — tutto su infrastruttura tua.

Il setup si fa una volta sola — gestione del management server e configurazione OIDC (io uso Authentik, già presente nel homelab). Dopo non tocchi più nulla, e la tua rete non dipende da nessuno.

Quando ho migrato da Tailscale a NetBird, ci ho messo dodici minuti per la migrazione vera e propria — esclusa la configurazione iniziale del management server, che avevo già fatto.

Confronto diretto: 8 criteri che contano per il homelab

Quando scegliere quale

Scegli Tailscale se:

• Vuoi qualcosa che funzioni in dieci minuti senza toccare nulla
• Stai connettendo pochi dispositivi personali senza requisiti di segmentazione
• Usi Windows o macOS come piattaforma principale (i client sono più rifiniti)
• Stai prototipando e hai bisogno di condividere accesso con altri velocemente

Scegli NetBird se:

• Vuoi che la tua rete privata non dipenda da infrastruttura di terzi
• Hai già un homelab con più subnet e vuoi policy di accesso granulari
• Usi Linux come piattaforma principale
• Hai già un provider OIDC (Authentik, Keycloak, qualsiasi) o sei disposto a configurarne uno
• Il costo a lungo termine conta (NetBird self-hosted è gratuito)

La mia risposta diretta

Dopo tre mesi con entrambi attivi: uso NetBird per tutto ciò che riguarda la mia infra produttiva. I 14 container su Proxmox, le tre subnet, il gateway Pi — tutto su NetBird, su management server mio.

Tengo Tailscale installato su un laptop per casi specifici: accesso rapido da una macchina su cui non ho configurato il client NetBird, o condivisione veloce con qualcuno che non gestisce infrastruttura.

Non è una gara. Sono due strumenti con priorità diverse. Tailscale ottimizza per la semplicità. NetBird ottimizza per il controllo. Se stai costruendo un homelab serio — se hai Proxmox, container, VLAN, e ti importa dove vivono le tue chiavi — NetBird è la risposta più coerente.

Se stai iniziando oggi e vuoi connettere il laptop di casa al NAS, Tailscale ti risolve il problema prima che tu finisca di leggere questo articolo.

Entrambe le cose sono vere allo stesso tempo.