Unraid y Tailscale: conectar la caja completa o instalarlo en cada contenedor

Unraid permite dos formas de exponer servicios a Tailscale: conectar el servidor entero o instalar el agente dentro de cada contenedor a través de una extensión. Conectar el host crea un único nodo que expone todos los puertos de la red local; los servicios se acceden con la dirección del host + puerto. Instalar Tailscale dentro de un contenedor convierte a cada servicio en un nodo independiente, visible en la tailnet como un servicio propio.

Ventajas de montar en el host

• Menor sobre‑carga: el agente corre una sola vez, sin duplicar procesos ni sockets.
• Más sencillo de gestionar: la configuración de red, las reglas de firewall y el routing se centralizan.
• Compatibilidad garantizada con cualquier contenedor, sin depender de la capa de red del contenedor.

Ventajas de instalar en contenedores

• Visibilidad granular: cada servicio aparece como un nodo distinto, lo que facilita el monitoreo y la segmentación de acceso.
• No afecta la red del host: los contenedores pueden usar su propia interfaz de red sin interferir con la configuración del servidor.
• Permite deshabilitar Tailscale en contenedores que no lo necesitan, reduciendo el riesgo de exposición accidental.

Desventajas de la segunda opción

• Mayor complejidad: cada contenedor requiere su propia configuración, credenciales y actualización del agente.
• Consumo adicional de recursos: cada agente consume memoria y CPU, lo que puede ser relevante en un host con limitaciones.
• Riesgo de incompatibilidad con algunas aplicaciones que no soportan la capa de red de Tailscale dentro de un contenedor.

En la práctica, la mayoría de los usuarios de Unraid optan por conectar el host y exponer los puertos necesarios a través de la configuración del contenedor. Esto simplifica la administración y mantiene el rendimiento. La extensión de Tailscale que instala el agente en el contenedor es útil cuando se necesita una separación estricta de servicios o cuando se gestionan varios nodos en una misma caja que deben comunicarse de forma independiente.

Para decidir, evalúa:

1. ¿Necesitas que cada servicio sea un nodo independiente en la tailnet? Si es así, instala en el contenedor.
2. ¿Tu host tiene suficientes recursos para correr un único agente? Si la respuesta es sí, conecta el host.
3. ¿La seguridad requiere que los contenedores no compartan la misma red del host? Instalar en el contenedor puede ayudar.

En resumen, conectar el host suele ser suficiente y más sencillo, pero la opción de instalar en contenedores ofrece mayor granularidad y aislamiento cuando la arquitectura lo exige.