Het probleem is altijd hetzelfde: je hebt een homelab thuis, een VPS bij Hetzner, misschien een tweede laptop in Brussel — en je wil dat die machines met elkaar praten alsof ze op hetzelfde LAN zitten. Vroeger bouwde je een hub-and-spoke VPN met WireGuard, een publiek IP, en uur werk aan configs. Tegenwoordig zijn er mesh-VPN's die dat automatiseren: geen centrale server die je zelf moet onderhouden voor de routing, geen handmatig keypair-uitwisselen, directe peer-to-peer verbindingen waar dat kan.

De drie populairste opties voor zelfhobbyisten en kleine teams zijn Tailscale, NetBird en Headscale. Ze werken allemaal op WireGuard. Ze lossen allemaal NAT-traversal op. Maar de filosofie, de prijsstelling en de mate van controle over je eigen infrastructuur verschillen fundamenteel.

Hoe mesh-VPN en DERP werken

Een traditionele VPN heeft één centraal knooppunt — alle verkeer loopt erdoorheen. Een mesh-VPN verbindt elk apparaat rechtstreeks met elk ander apparaat. Dat geeft minder latency en geen single point of failure, maar vereist dat elk apparaat de publieke sleutels en adressen van alle andere peers kent. Daarvoor dient de coordination server: een centrale dienst die de sleutels distribueert, maar het dataverkeer zelf niet aanraakt.

Wanneer twee nodes achter een NAT zitten die directe verbinding blokkeert, komt de relay in beeld. Bij Tailscale heet die relay DERP — Designated Encrypted Relay for Packets. Elke verbinding start altijd via een DERP-server; ondertussen probeert Tailscale via hole-punching een directe P2P-verbinding te maken. Lukt dat (in meer dan 90% van de gevallen), dan valt de DERP-server weg en communiceren de nodes rechtstreeks. Lukt het niet, blijft DERP als fallback actief. Het verkeer via DERP is WireGuard-versleuteld — de relay-server kan er niet in kijken.

NetBird gebruikt een vergelijkbaar mechanisme: een eigen STUN/TURN-infrastructuur voor NAT traversal, ook gebaseerd op het ICE-protocol (Interactive Connectivity Establishment). Het verschil: bij NetBird kun je ook de relay zelf hosten als je dat wil. Bij Tailscale kun je dat pas met een Headscale-omgeving of bij de Premium-plannen met eigen DERP-servers.

Tailscale: het gemak met een prijskaartje

Tailscale is de meest gepolijste optie. Je installeert de client, je logt in met je Google- of GitHub-account, en binnen vijf minuten zijn je eerste apparaten verbonden. MagicDNS regelt automatisch dat mijnserver bereikbaar is in plaats van een IP-adres. Subnet routers laten je een bestaand LAN blootstellen aan je tailnet zonder alle apparaten individueel te installeren. Exit nodes werken als een klassieke VPN-gateway voor al je internetverkeer.

Het gratis Personal-plan biedt ondersteuning voor maximaal drie gebruikers en 100 apparaten — ruim genoeg voor een homelab. Maar zodra je met een klein team werkt of zakelijke functies nodig hebt, wordt het snel duurder:

• Personal (gratis) — 1 gebruiker, 100 apparaten, MagicDNS, subnet routers, exit nodes
• Starter — $6/gebruiker/maand (jaarlijks) — meerdere gebruikers, ACL-policies, logboeken
• Premium — $18/gebruiker/maand (jaarlijks) — SSO/SAML, audit logging, prioriteitsondersteuning, custom DERP

Tailscale herhaalt haar tarieven regelmatig. In 2023 introduceerde ze "Pricing v3", in 2024 volgde "v4" waarbij Personal Plus werd opgeheven en het gratis plan wat royaler werd. Wie vandaag instapt, moet er rekening mee houden dat die structuur binnen een jaar opnieuw kan wijzigen — iets wat Tailscale zelf ook niet ontkent.

"De coordination server is de kern van Tailscale's businessmodel. Zolang je die niet zelf host, ben je afhankelijk van hun prijsbeslissingen."

Tailscale's client is open source (BSD-licentie), maar de coordination server — het brein van het netwerk — is proprietary en draait uitsluitend in Tailscale's cloud. Dat is precies de reden waarom Headscale bestaat.

Headscale: Tailscale zonder de cloud

Headscale is een open source reimplementatie van Tailscale's coordination protocol, geschreven in Go en beschikbaar onder de BSD 3-licentie. Je draait het op een eigen server — een kleine VPS volstaat — en richt je tailnet in zonder enige afhankelijkheid van Tailscale's infrastructuur. Het cruciale voordeel: je gebruikt gewoon de officiële Tailscale-clients op al je apparaten. Linux, macOS, Windows, iOS, Android — alles werkt, want Headscale spreekt hetzelfde protocol.

De installatie vergt meer technische kennis dan Tailscale's click-and-go. Je host zelf:

• De Headscale-server (coördineert sleuteldistributie en policies)
• Optioneel: eigen DERP-servers voor relay-verkeer in jouw regio

Headscale is nadrukkelijk bedoeld voor single-tailnet gebruik: één netwerk per instantie, geschikt voor een persoon of een kleine open source-organisatie. Multi-tenant of enterprise-features zijn buiten scope. De CLI is de primaire beheerinterface — er bestaan community-GUIs zoals Headplane, maar die ondersteunen niet alle features.

Wat Headscale (nog) mist ten opzichte van Tailscale SaaS: Tailscale Funnel (services publiek blootstellen via Tailscale's DNS), Tailscale Serve, dynamische ACL-evaluatie op basis van OIDC-groepen, en network flow logs. Voor wie die features niet nodig heeft, is Headscale een volwaardig alternatief — en volledig gratis.

NetBird: open source met eigen control plane

NetBird is anders dan de twee vorige opties: het is geen fork of reimplementatie, maar een volledig eigen zero-trust netwerktool gebouwd op WireGuard. De coordination server, het signaliseringskanaal, de relay-infrastructuur, het dashboard — alles is open source en zelf te hosten via Docker Compose. Tegelijkertijd biedt NetBird een cloud-SaaS-variant voor wie niet wil beheren.

De gratis cloud-tier is vrijgevig: 5 gebruikers en 100 machines, geen creditcard vereist. Dat is vergelijkbaar met Tailscale Personal, maar NetBird's gratis plan bevat ook SSO via OIDC (koppeling met Google Workspace, Okta of ZITADEL) — iets waarvoor je bij Tailscale naar Premium moet. De betaalde tiers:

• Free — €0 — 5 gebruikers, 100 machines, SSO (OIDC), MFA
• Team — $6/gebruiker/maand — onbeperkte gebruikers, IdP-groepssync, access logging
• Business — $12/gebruiker/maand — device posture checks, MDM/EDR-integraties, activity streaming
• Self-hosted — gratis — geen licentiekosten, geen gebruikerslimieten, alleen serverkosten

Het self-hosted model is financieel het aantrekkelijkst voor grotere installaties: je betaalt geen per-gebruikersprijs, alleen de resources van je eigen server. Een kleine VPS bij Hetzner (ARM64, 4 GB RAM) is meer dan voldoende voor een team van twintig mensen.

Vergelijking in één oogopslag

Veelgestelde vragen

Kan ik Headscale gebruiken zonder zelf een DERP-server te draaien?

Ja. Headscale kan standaard de publieke DERP-servers van Tailscale gebruiken als fallback voor relay-verkeer. Je kunt ook je eigen DERP-nodes toevoegen voor lagere latency of als je volledig onafhankelijk wil zijn van Tailscale's infrastructuur. Voor een typisch homelab is de publieke DERP-infrastructuur goed genoeg.

Wat is het verschil tussen NetBird en Headscale als ik alles zelf wil hosten?

Headscale is een reimplementatie van Tailscale's coordination protocol: je gebruikt de officiële Tailscale-clients, maar je eigen server. NetBird heeft zijn eigen clients én zijn eigen control plane. NetBird vereist meer te installeren (management server, signaal, relay, dashboard), maar geeft je ook meer: een volledig eigen ecosysteem dat niet afhankelijk is van Tailscale's protocol of licentiebeleid.

Is Tailscale veilig als het verkeer via hun DERP-servers loopt?

Ja, in de zin dat Tailscale's DERP-servers encrypted WireGuard-pakketten doorsturen zonder ze te kunnen ontcijferen — de private keys verlaten nooit het apparaat. De vertrouwenskwestie zit niet in versleuteling, maar in het feit dat Tailscale's coordination server weet welke apparaten in je netwerk zitten en welke policies gelden. Voor bedrijven met strikte compliance-eisen is dat een reden om voor een self-hosted optie te kiezen.

Welke optie is het beste voor een thuisgebruiker met 5–10 apparaten?

Tailscale Personal (gratis) is de makkelijkste keuze: in vijf minuten operationeel, geen server te onderhouden. Als je al een altijd-aan server of VPS hebt en geen cloudafhankelijkheid wil, is Headscale een goed alternatief. NetBird is interessanter voor kleine teams die SSO gratis willen, of voor organisaties die later kunnen opschalen naar een self-hosted configuratie zonder van platform te wisselen.

Verandert Tailscale haar gratis plan regelmatig?

Tailscale heeft haar prijsstructuur meermaals aangepast — van v1 tot v4 in een paar jaar tijd. Het gratis plan is tot nu toe steeds blijven bestaan (of royaler geworden), maar de exacte limieten en welke functies gratis zijn, kunnen wijzigen. Wie dat risico wil vermijden, kiest voor een volledig self-hosted optie.