GetPublicIP vs Cloudflare Tunnel vs Tailscale: ¿cuál es mejor para alojar tus propios servicios?
Si alojas tus propios servicios detrás de CGNAT o de un proveedor de internet restrictivo, necesitas una forma de que tu servidor sea accesible desde internet. Las tres soluciones más populares son GetPublicIP, Cloudflare Tunnel y Tailscale, pero funcionan de maneras radicalmente distintas y cada una tiene sus ventajas e inconvenientes.
En resumen: Cloudflare Tunnel es gratis, pero solo gestiona tráfico HTTP/HTTPS y termina tu SSL. Tailscale es una VPN en malla privada que no te da una IP pública. GetPublicIP te da una dirección IP pública dedicada real, con acceso a todos los puertos y protocolos.
Comparativa rápida
| Característica | GetPublicIP | Cloudflare Tunnel | Tailscale |
|---|---|---|---|
| IP pública dedicada | Sí | No | No |
| Alojamiento de correo / SMTP | Sí | No | No |
| Todos los puertos (TCP + UDP) | Sí | Solo HTTP/HTTPS | Solo dentro de la tailnet |
| Terminación SSL/TLS | Ninguna; tu tráfico pasa sin modificar | Cloudflare termina el SSL | De extremo a extremo dentro de la tailnet |
| Acceso público | Completo (IP pública real) | Sí, mediante proxy inverso | Limitado: Funnel (solo HTTPS) |
| Protocolos admitidos | Todos (TCP, UDP, ICMP) | HTTP/HTTPS (Spectrum para TCP, de pago) | Todos dentro de la tailnet |
| DNS inverso (rDNS) | Sí | No | No |
| Precio | 8,99 USD/mes por IP | Gratis | Gratis (personal, hasta 3 usuarios) |
| Dificultad de instalación | Baja: instala WireGuard e importa la configuración | Baja: instala cloudflared | Baja: instala el cliente de Tailscale |
Qué hace cada servicio
GetPublicIP
GetPublicIP te asigna una dirección IPv4 e IPv6 pública real y dedicada que llega a tu servidor por un túnel VPN de WireGuard cifrado. Tu servidor recibe el tráfico exactamente igual que si la IP pública estuviera configurada directamente en tu máquina: todos los puertos, todos los protocolos, sin modificar ni inspeccionar tus paquetes en absoluto. Funciona detrás de CGNAT, aunque cambies de operador, y admite conmutación por error automática.
Cloudflare Tunnel
Cloudflare Tunnel (antes Argo Tunnel) crea una conexión solo de salida desde tu servidor hasta la red de borde de Cloudflare mediante el daemon cloudflared. Cloudflare hace de proxy inverso: recibe las peticiones HTTP/HTTPS entrantes de tu dominio, termina la conexión TLS en sus servidores de borde, inspecciona el tráfico y después lo reenvía a tu servidor de origen por el túnel. No obtienes una dirección IP pública. En el plan gratuito, el tráfico se limita a los protocolos HTTP y HTTPS.
Tailscale
Tailscale es una VPN en malla basada en WireGuard que conecta tus dispositivos en una red privada (tailnet). Es excelente para conectar tus propios dispositivos entre sí de forma segura, por ejemplo, para acceder a tu servidor de casa desde tu portátil. Sin embargo, no está pensada para servicios públicos. Tailscale Funnel puede exponer un servicio al público, pero se limita al tráfico HTTPS y pasa por la infraestructura de Tailscale.
SSL/TLS y privacidad
Esta es una de las diferencias más importantes, y a menudo se pasa por alto.
Cloudflare Tunnel termina tu SSL
Cuando usas Cloudflare Tunnel, Cloudflare descifra tu tráfico HTTPS en sus servidores de borde, lo inspecciona y lo vuelve a cifrar antes de reenviarlo a tu origen. Eso significa que Cloudflare puede ver en texto plano el contenido de cada petición y cada respuesta que pasa por tu túnel. Cloudflare usa esta capacidad para funciones como su WAF, la detección de bots y la caché, pero implica que un tercero tiene acceso a tu tráfico sin cifrar.
Para algunos usuarios esto es aceptable. Para otros (sobre todo quienes alojan sus propios servicios por motivos de privacidad, tienen un servidor de correo personal o manejan datos sensibles), es motivo suficiente para descartarlo.
Tailscale cifra de extremo a extremo (dentro de tu red)
Tailscale usa el cifrado de WireGuard entre tus dispositivos. El tráfico se mantiene cifrado y privado dentro de tu tailnet. Sin embargo, si usas Tailscale Funnel para exponer un servicio al público, el tráfico pasa por los servidores de retransmisión DERP de Tailscale, lo que añade latencia y hace que tu tráfico atraviese su infraestructura.
GetPublicIP nunca ve tu tráfico en texto plano
GetPublicIP lleva el tráfico por un túnel WireGuard cifrado directamente hasta tu servidor sin terminar el SSL/TLS. Nunca desciframos, inspeccionamos ni modificamos tus paquetes. Tú implementas tu propio cifrado SSL/TLS de extremo a extremo y mantienes el control total de tu privacidad y tu seguridad. Los paquetes llegan a tu servidor exactamente como se enviaron, con total visibilidad de las IP de origen y de los datos originales del tráfico.
Correo y SMTP
Si quieres alojar tu propio servidor de correo (Mailcow, Mail-in-a-Box, Postfix/Dovecot o similares), el servicio de túnel que elijas importa mucho.
Cloudflare Tunnel: no admite correo
Cloudflare bloquea el puerto 25 (SMTP) y no hace de proxy del tráfico de correo a través de los túneles. No puedes tener un servidor de correo público detrás de un Cloudflare Tunnel. Es una limitación fundamental de su arquitectura: en el plan gratuito, Cloudflare Tunnel solo gestiona tráfico HTTP y HTTPS. El complemento Spectrum admite TCP, pero es de pago, de nivel empresarial, y sigue sin admitir correo en el puerto 25.
La propia documentación de Cloudflare indica que no hace de proxy del tráfico SMTP salvo que se configure Spectrum, e incluso entonces el puerto 25 está restringido.
Tailscale: no admite correo público
Tailscale es una red en malla privada. Aunque en teoría podrías tener un servidor de correo accesible dentro de tu tailnet, no hay forma de recibir correo desde internet a través de Tailscale. Tailscale Funnel solo admite HTTPS, no SMTP, IMAP ni ningún otro protocolo de correo.
GetPublicIP: correo con todas las funciones
GetPublicIP te da una dirección IP pública dedicada real con todos los puertos disponibles, incluidos el 25 (SMTP), el 465 (SMTPS), el 587 (submission) y el 993 (IMAPS). Puedes configurar el DNS inverso (rDNS / registros PTR) desde la consola de gestión, algo esencial para que tu correo llegue a su destino: la mayoría de los servidores de correo que lo reciben comprueban que la IP de envío tenga un registro PTR válido.
Esto convierte a GetPublicIP en la única opción de esta comparativa que permite tener un servidor de correo público y totalmente funcional en tu casa o tu oficina.
Acceso a puertos y protocolos
| Función | GetPublicIP | Cloudflare Tunnel | Tailscale |
|---|---|---|---|
| HTTP (80) | Sí | Sí | Funnel (solo HTTPS) |
| HTTPS (443) | Sí | Sí | Funnel |
| SSH (22) | Sí | Con Access (desde el navegador) | Dentro de la tailnet |
| SMTP (25) | Sí | Bloqueado | No |
| Puertos TCP personalizados | Sí, todos los puertos | No (Spectrum, de pago) | Dentro de la tailnet |
| UDP | Sí | No | Dentro de la tailnet |
| ICMP (ping) | Sí | No | Dentro de la tailnet |
| Servidores de juegos | Sí | No (requiere UDP) | Solo dentro de la tailnet |
| VoIP / SIP | Sí | No (requiere UDP) | Solo dentro de la tailnet |
| Servidor DNS | Sí | No | Solo dentro de la tailnet |
Si tu caso de uso va más allá de HTTP/HTTPS (servidores de juegos, DNS, correo, VoIP, servicios TCP personalizados o cualquier protocolo basado en UDP), Cloudflare Tunnel no te sirve. Tailscale funciona con estos protocolos dentro de tu red privada, pero no puede exponerlos al público.
GetPublicIP admite todos los puertos y todos los protocolos porque recibes una dirección IP pública real. No hay proxy inverso ni pasarela de capa de aplicación: el tráfico se enruta en la capa de red, igual que si tuvieras una IP fija de tu operador.
Precios
| Plan | GetPublicIP | Cloudflare Tunnel | Tailscale |
|---|---|---|---|
| Plan gratuito | No | Sí, solo HTTP/HTTPS | Sí, 3 usuarios, 100 dispositivos |
| De pago | 8,99 USD/mes por IP | Gratis (Spectrum: precios empresariales) | Desde 6 USD/usuario/mes |
| Qué incluye | IPv4 + IPv6 públicas dedicadas, todos los puertos, todos los protocolos, rDNS, conmutación por error, firewall, consola de gestión | Proxy inverso HTTP/HTTPS, WAF, protección DDoS, caché | VPN en malla, Funnel (HTTPS), MagicDNS, ACL |
| Contratos | No, cancela cuando quieras | No | No |
En precio, Cloudflare Tunnel es difícil de superar: es realmente gratis para casos de uso HTTP/HTTPS, sin límites de uso. Si solo necesitas exponer una aplicación web, es una opción excelente.
El plan gratuito de Tailscale es generoso para uso personal (hasta 3 usuarios y 100 dispositivos). Para equipos, los precios empiezan en 6 USD por usuario al mes.
GetPublicIP cuesta 8,99 USD al mes por dirección IP, sin contratos. Aunque no es gratis, obtienes capacidades que ni Cloudflare ni Tailscale ofrecen a ningún precio: una IP pública real, acceso a todos los puertos y protocolos, la posibilidad de alojar correo, rDNS y conmutación por error de la conexión.
Cuándo usar cada uno
Usa Cloudflare Tunnel si:
- Solo necesitas exponer aplicaciones web (HTTP/HTTPS)
- Que sea gratis es tu prioridad y no necesitas correo, UDP ni puertos personalizados
- Quieres protección DDoS y WAF integrados
- No te importa que Cloudflare termine tu SSL e inspeccione tu tráfico
- No necesitas una dirección IP pública real
Usa Tailscale si:
- Necesitas acceso privado entre tus propios dispositivos (teléfono, portátil, servidor en casa)
- Quieres una VPN en malla sin configuración
- No necesitas exponer servicios a internet
- Quieres compartir el acceso con personas concretas dentro de tu tailnet
Usa GetPublicIP si:
- Necesitas una dirección IP pública real y dedicada
- Quieres alojar tu propio servidor de correo con DNS inverso
- Necesitas acceso a todos los puertos y protocolos (TCP, UDP, ICMP: todos los puertos)
- Quieres privacidad total: sin terminación SSL ni inspección del tráfico
- Necesitas conmutación por error de la conexión: conservas tu IP aunque cambies de operador
- Tienes servidores de juegos, VoIP, DNS o servicios TCP/UDP personalizados
- Estás detrás de CGNAT y necesitas una solución que funcione como una IP fija de tu operador, pero sin depender del operador
¿Puedo combinar estos servicios?
Sí, muchas personas que alojan sus propios servicios usan más de uno. Una configuración habitual es:
- GetPublicIP para tus servicios públicos (servidor web, correo, servidor de juegos) que necesitan una dirección IP real y acceso a todos los puertos
- Tailscale para el acceso remoto privado a tus dispositivos (entrar por SSH en tu servidor desde el teléfono, acceder a paneles de administración de forma privada)
Estos dos servicios se complementan bien. GetPublicIP se encarga de la parte pública, mientras que Tailscale se encarga del acceso privado entre dispositivos.
Preguntas frecuentes
¿Puedo alojar un servidor de correo con Cloudflare Tunnel?
No. Cloudflare Tunnel bloquea el puerto 25 (SMTP) y en el plan gratuito solo hace de proxy del tráfico HTTP/HTTPS. No puedes tener un servidor de correo público detrás de un Cloudflare Tunnel. GetPublicIP es la única opción de esta comparativa que permite alojar correo con todos los puertos necesarios y DNS inverso.
¿Cloudflare Tunnel me da una dirección IP pública?
No. Cloudflare Tunnel funciona como proxy inverso: tu dominio apunta a las direcciones IP de Cloudflare, no a la tuya. Compartes el espacio de direcciones IP de Cloudflare con millones de sitios web más. GetPublicIP te da una IP pública dedicada que es solo tuya.
¿Puede Tailscale exponer mi servidor a internet?
Tailscale Funnel puede exponer servicios HTTPS al público, pero se limita a HTTPS, pasa por los servidores de retransmisión de Tailscale y tiene límites de ancho de banda que no se publican. No está pensado para alojar servicios públicos en producción. Para tener acceso público completo con todos los protocolos, necesitas una IP pública real de un servicio como GetPublicIP.
¿GetPublicIP es una VPN?
GetPublicIP usa un túnel VPN de WireGuard para llevar una dirección IP pública dedicada hasta tu servidor, pero no es una VPN de privacidad como NordVPN o Mullvad. Hace justo lo contrario: en lugar de ocultar tu IP, te da una IP pública para que tu servidor sea accesible desde internet. Tu conexión a internet actual sigue funcionando con normalidad para el tráfico saliente.
¿Cuál es la mejor opción para autoalojar detrás de CGNAT?
Los tres se saltan el CGNAT, pero resuelven problemas distintos. Cloudflare Tunnel sirve para webs HTTP/HTTPS. Tailscale sirve para el acceso privado a tus dispositivos. GetPublicIP sirve para cualquier caso de uso que necesite una IP pública real: alojamiento web, correo, servidores de juegos, VoIP o cualquier otro protocolo. Consulta nuestra guía completa para alojar tus propios servicios detrás de CGNAT si quieres más detalles.