Le mesh VPN come Tailscale hanno un componente centrale: il server di coordinamento (control plane) che gestisce identità, chiavi e ACL, dicendo ai dispositivi come trovarsi. Nel Tailscale ufficiale, quel server è gestito da loro – comodo, ma significa che un pezzo della tua rete privata dipende da (e passa la fiducia a) un'infrastruttura terza.
Headscale è l'implementazione open source e self-hostabile di quel control plane: ospiti tu il server di coordinamento, i client Tailscale ufficiali si connettono al tuo server invece che al loro, e ottieni la stessa mesh WireGuard – ma con il control plane interamente in casa. Zero dipendenza da un servizio esterno, sovranità completa sulla tua rete privata.
È la mossa per chi ama Tailscale (l'esperienza è ottima) ma non vuole che nemmeno i metadati della sua rete (chi si connette a cosa) passino da terzi. Su un piccolo LXC Proxmox gira col nulla. L'alternativa nello stesso spirito è Netbird (mesh self-hostabile completa, control plane incluso). Il compromesso onesto rispetto al Tailscale gestito: la magia del NAT traversal e dei relay DERP va configurata da te, e sei responsabile della disponibilità del control plane. Per chi ha già un homelab, è un self-host a basso costo e alto valore di indipendenza.