VPN, proxy y filtros

Conflicto entre Tailscale y otra VPN en el Mac

Tailscale da a cada dispositivo una dirección en 100.64.0.0/10. Otra VPN puede bloquear el tráfico de Tailscale o usar las mismas direcciones.

Se aplica a: la versión actual de Tailscale para macOS, en macOS 13 Ventura y posteriores. Los comandos de rutas funcionan en todas las versiones actuales de macOS.Revisado: 29 de octubre de 2026

Síntomas

  • Los dispositivos de Tailscale dejan de responder cuando se conecta la otra VPN.
  • La otra VPN deja de funcionar cuando se conecta Tailscale.
  • Algunas direcciones 100.x.y.z van a la red equivocada.
  • Un nodo de salida deja de funcionar cuando hay una segunda VPN activa.

Causas probables

  • Reglas de firewall estrictas en la VPN. Tailscale indica que la mayoría de las VPN bloquean el tráfico que no pasa por ellas. Esto puede descartar el tráfico de Tailscale.
  • Un solapamiento de direcciones. Una VPN que también usa el rango CGNAT, de 100.64.0.0 a 100.127.255.255, choca con las direcciones de Tailscale.
  • Nodos de salida. Tailscale indica que los nodos de salida solo admiten una VPN a la vez.
  • Rutas de subred solapadas. Dos túneles pueden reclamar el mismo rango de red local. El Mac envía el tráfico solo a uno de ellos.

Cómo comprobarlo

  1. Muestra el estado de tus conexiones de Tailscale. Con la versión de la App Store, usa la ruta completa de la CLI.

    tailscale status

  2. Prueba un dispositivo solo a través de Tailscale. Sustituye el nombre por el de tu dispositivo.

    tailscale ping my-server

  3. Muestra qué interfaz lleva el tráfico hacia una dirección de Tailscale.

    route -n get 100.101.102.103

  4. Muestra todas las rutas. Busca dos interfaces utun con los mismos rangos.

    netstat -rn

  5. Obtén un informe sobre la red que hay bajo el túnel.

    tailscale netcheck

Cómo solucionarlo

  1. Desconecta la otra VPN. Comprueba que Tailscale funciona por sí solo.

  2. Pregunta al proveedor de la otra VPN si puede excluir 100.64.0.0/10 y fd7a:115c:a1e0::/48 de su túnel.

  3. Añade también tus rutas de subred de Tailscale a esa lista de exclusiones.

  4. No uses un nodo de salida de Tailscale mientras haya otra VPN activa.

  5. Si los rangos de direcciones se solapan, pide al administrador de tu red que cambie uno de ellos.

  6. Si nada funciona, usa una sola VPN a la vez.

Con Kilobat

  1. La comprobación de la conexión de Kilobat indica la interfaz de cada ruta, como Wi-Fi o una VPN. Compara la ruta directa con el túnel.

    kilobat why my-server.example.ts.net

  2. Lista las interfaces VPN y sus contadores.

    kilobat interfaces --json

  3. Si un servicio alojado debe llegar a una dirección de Tailscale, añade --context provider. Así Kilobat indica que la dirección es privada.

    kilobat why http://100.101.102.103:8080 --context provider

Preguntas

¿Dónde está la CLI de Tailscale en un Mac?

La versión de la App Store la incluye en /Applications/Tailscale.app/Contents/MacOS/Tailscale. La versión independiente puede instalar tailscale en /usr/local/bin.

¿Por qué Tailscale usa direcciones 100.x.y.z?

Tailscale usa el rango CGNAT 100.64.0.0/10 para las direcciones de los dispositivos. Otras VPN pueden usar el mismo rango.

Fuentes

Fuentes revisadas el 29 de octubre de 2026. Las páginas man son las que se instalan con macOS; abre una con man <name> en Terminal.