La pregunta habitual al montar un laboratorio: «¿Y cómo accedo desde fuera de casa?». Una VPN mesh como Tailscale puede resolverlo sin publicar directamente tus servicios, pero no sustituye a una política de acceso, autenticación y actualizaciones.

El problema

Tienes un servidor de IA en casa. Quieres usarlo desde el trabajo, de vacaciones, del móvil. Las opciones clásicas:

Abrir puertos del router → el internet entero llamando a tu puerta. NO.
VPN clásica (WireGuard manual) → funciona, pero configurar peers, IPs fijas, keys… es un parto.
Servicios de tunneling → dependes de un tercero con límites.

La solución: VPN mesh

Tailscale (construido sobre WireGuard) crea una red privada donde tus dispositivos pueden verse con identidades y políticas comunes. Cada máquina suele recibir una IP del tipo 100.x.y.z. El tráfico viaja cifrado; cuando existe una conexión directa entre pares no necesita pasar por un relay, pero debes comprobar la topología y las políticas de tu red.

Lo que NO hay que hacer: abrir puertos, configurar DNS dinámico, pelear con NAT.

Instalación (5 minutos por máquina)

# Linux
curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up

# Windows/Mac: instala la app y loguéate

Repite en todas tus máquinas (server, sparks, portátil, móvil). Todas aparecerán en tu panel y se verán entre sí. Magia.

Configuración de ejemplo

Dispositivo	IP Tailscale	Rol
servidor-1	100.64.10.10	apps + proxy
nodo-a	100.64.10.11	inferencia
nodo-b	100.64.10.12	inferencia o reserva
portátil	(dinámica)	acceso administrativo
móvil	(dinámica)	cliente autorizado

SSH a una máquina autorizada puede funcionar igual dentro y fuera de casa si MagicDNS y las ACL están bien configuradas.
El móvil puede usar una API interna por la IP de Tailscale, pero no abras el endpoint por comodidad: añade autenticación y limita quién puede verlo.
El acceso público a webs (como esta) va aparte: Cloudflare → nginx en el server. Lo público se sirve con nginx; lo privado (APIs, SSH, paneles) solo por Tailscale.

Los trucos que valen oro

MagicDNS: activa nombres (ssh gx10-1 en vez de IPs).
Tags y ACLs: el móvil de tu pareja no necesita ver las sparks. Políticas por dispositivo.
Subnet router: en el server, tailscale up --advertise-routes=192.168.X.0/24 (la subred de tu casa) expone tu LAN completa (con cuidado).
Exit node: convierte una máquina en salida a internet — úsalo para navegar desde el móvil “como si estuvieras en casa”.

El veredicto

Tailscale simplifica una VPN doméstica, pero el tiempo de setup y el nivel de seguridad dependen de tus dispositivos y políticas. Revisa ACLs, claves, actualizaciones, logs y qué servicios quedan accesibles antes de darlo por terminado.

Si quieres el montaje completo —servidor, red privada, publicar webs sin abrir puertos y usar agentes de IA desde el móvil— está en la serie Remoto.