XDA publicó un artículo sobre reemplazar todos los servicios de Cloudflare en un homelab, y los comentarios se convirtieron en un largo hilo de personas que construyen silenciosamente estrategias de salida. Los cortes de Cloudflare este año, el lento endurecimiento de los límites del plan gratuito y la fricción de confianza alrededor de la nube naranja han llevado a los operadores de homelab y pequeños equipos a mirar más en serio las alternativas. Probamos siete alternativas a Cloudflare en los cuatro servicios en los que más depende la gente: CDN, DNS público, tunelización segura y WAF frente a servicios alojados por cuenta propia.
Las pruebas se ejecutaron en Windows 11, macOS Sequoia y Ubuntu 24.04, detrás de una conexión CGNAT para que pudieramos probar adecuadamente la travesía de NAT y la confiabilidad del túnel. Cada selección a continuación ganó su lugar por ser práctica de ejecutar, no solo posible de instalar.
Comparación rápida
| Aplicación | Mejor para | Plan gratuito | Precio inicial/mes | Característica destacada |
|---|---|---|---|---|
| Bunny.net | CDN de pago por uso | No, mínimo $1 | $0.005/GB | Precios por región |
| Fastly | Sitios con cálculo intensivo en edge | Crédito de prueba $50 | Personalizado | Control a nivel VCL |
| Pangolin | Reemplazo de túnel alojado por cuenta propia | Sí, completamente | Gratis | WireGuard + autenticación en un binario |
| Tailscale Funnel | Exposición pública de un servicio | Sí | Gratis | Integrado en Tailnet existente |
| NextDNS | DNS público con filtrado | 300k consultas/mes | $1.99 | Perfiles por dispositivo |
| BunkerWeb | WAF frente a servicios alojados por cuenta propia | Sí | Gratis | Basado en Nginx, modular |
| Akamai | CDN empresarial + edge | No | Personalizado | Cobertura edge más grande |
Por qué la gente abandona Cloudflare
Tres razones siguen apareciendo en los hilos:
- Exposición a cortes. Cuando Cloudflare se cae, tus DNS, CDN, túneles y WAF caen con él. Los operadores que distribuyen esto entre proveedores se recuperan más rápido.
- Expansión del alcance del plan gratuito. Las características que eran gratuitas se han movido detrás de planes pagos, y las cuotas gratuitas de Workers han disminuido. La línea entre “está bien para hobby” y “necesitas Pro” sigue moviéndose.
- Privacidad y decoración de tráfico. Algunos homelabs prefieren no terminar TLS en un tercero. Los túneles alojados por cuenta propia y las rutas directas de CDN a origen evitan esto.
Las opciones a continuación cubren esas razones. Ninguno de ellos reemplaza el stack completo de Cloudflare por sí solo, que es el punto: distribuir servicios entre proveedores es la protección.
Las alternativas a Cloudflare
Bunny.net, el CDN de pago por uso
Bunny.net es el CDN al que la gente cambia primero porque los precios son por GB según la región y el panel está construido para un ingeniero en lugar de un equipo. Las Zonas de Almacenamiento cubren el almacenamiento de origen, las Zonas de Extracción manejan la entrega de CDN, y los Magic Containers ejecutan cómputo edge. Para un sitio estático o una pequeña carga de SaaS, la factura mensual llega al precio de un café.
Donde falla: el stack de seguridad es más delgado que el de Cloudflare. La mitigación de bots es básica, y no hay equivalente a Bot Management de Cloudflare más allá de reglas simples.
Precios:
- Por GB según región, comenzando en $0.005/GB en América del Norte y Europa.
- Gasto mínimo mensual de $1.
Migrando desde Cloudflare: apunta los registros DNS a las Pull Zones de Bunny y actualiza el nombre de host de origen. Sin herramientas especiales. Deja un par de horas para propagación global y calentamiento de caché.
Descargar: Panel de Bunny.net
En conclusión: el primer cambio correcto para cualquiera que ejecute sitios estáticos, entrega de imágenes o un pequeño API público detrás de Cloudflare hoy.
Fastly, el edge para equipos que quieren control
Fastly es el CDN que usan los grandes editores cuando necesitan empujar lógica al edge. VCL te da scripting en cada capa de la solicitud, Compute@Edge ejecuta workers de Rust o JavaScript, y el caché está construido para purga instantánea a escala. La prueba gratuita (crédito de $50) es generosa para ejecutar una carga de trabajo real a través de ella.
Donde falla: la plataforma espera que sepas lo que haces. El panel no tiene opinión, y la factura puede aumentar rápidamente si configuras incorrectamente los TTL de caché.
Precios:
- Crédito de prueba de $50.
- Precios personalizados para tráfico sostenido.
Migrando desde Cloudflare: las Page Rules y Workers no se traducen directamente a VCL o Compute@Edge. Espera un proyecto de migración real, no solo un cambio de DNS.
Descargar: Consola de Fastly
En conclusión: la opción cuando creces fuera de plataformas CDN con opinión y necesitas escribir tu propia lógica de caché.
Pangolin, el reemplazo de túnel alojado por cuenta propia
Pangolin es la alternativa de código abierto a Cloudflare Tunnel que los foros de homelab siguen recomendando. Agrupa WireGuard, autenticación basada en identidad y una pequeña interfaz de gestión en un contenedor. Lo ejecutas en un VPS con IP pública, registras tus servicios posteriores, y Pangolin se encarga del resto. La configuración es aproximadamente un archivo docker compose y un registro DNS.
Donde falla: aún necesitas un VPS. Si tu objetivo era evitar ejecutar infraestructura, Pangolin mueve el trabajo en lugar de eliminarlo. Los proveedores de autenticación son más pequeños que Cloudflare Access.
Precios:
- Gratis, código abierto, alojado por cuenta propia.
Migrando desde Cloudflare: Cloudflare Tunnel se asigna limpiamente a un cliente newt de Pangolin. Reemplaza la instalación de cloudflared con el agente de Pangolin, actualiza DNS, y tus túneles se ejecutan en tu VPS.
Descargar: Pangolin en GitHub
En conclusión: la opción de código abierto para reemplazar Cloudflare Tunnel sin renunciar al patrón de nombre de host público.
Tailscale Funnel, el camino de menor resistencia
Tailscale Funnel expone el puerto de un nodo Tailscale único a internet público sobre HTTPS, con autenticación opcional a través de Tailscale Serve. Si ya ejecutas Tailscale para acceso remoto, Funnel es una casilla de distancia de publicar un servicio alojado por cuenta propia. Sin VPS adicional, sin registros DNS adicionales, sin proveedor de autenticación separado.
Donde falla: solo un servicio por nodo por defecto, y no puedes fácilmente colocarlo con un dominio personalizado en el ápice. El rendimiento está limitado por tu carga de inicio.
Precios:
- Gratis en el plan gratuito de Tailscale.
Migrando desde Cloudflare: intercambia tu Cloudflare Tunnel por tailscale funnel en el nodo objetivo. Actualiza DNS al subdominio ts.net asignado o colócalo detrás de tu propio proxy inverso.
Descargar: Descargar Tailscale
En conclusión: el cambio más perezoso si ya ejecutas una Tailnet. Difícil de superar para un único servicio alojado por cuenta propia.
NextDNS, el reemplazo de DNS de Cloudflare de nivel consumidor
NextDNS reemplaza 1.1.1.1 con perfiles por dispositivo, listas negras, listas blancas y análisis. La configuración es por dispositivo o por red, las aplicaciones cubren cada plataforma que le importa a la gente, y el nivel gratuito maneja un hogar.
Donde falla: el nivel gratuito se limita a 300,000 consultas por mes, que un hogar activo puede exceder. Algunas características empresariales (retención de registros, control multi-inquilino) están detrás de planes pagos.
Precios:
- Gratis hasta 300,000 consultas por mes.
- Los planes Pro comienzan alrededor de $1.99 por mes para consultas ilimitadas.
Migrando desde Cloudflare: cambia el solucionador de tu enrutador de 1.1.1.1 a tu endpoint de NextDNS. Las aplicaciones se instalan por dispositivo para soporte DoH o DoT.
Descargar: Configuración de NextDNS
En conclusión: la opción para reemplazar el DNS público de Cloudflare a nivel de hogar u oficina pequeña con una superficie de configuración real.
BunkerWeb, el WAF que se ejecuta en tu caja
BunkerWeb es el WAF basado en Nginx de código abierto que se coloca frente a tus servicios alojados por cuenta propia. Agrupa ModSecurity, listas de bots malos, limitación de velocidad y autenticación JWT en un contenedor. La interfaz web te permite gestionar reglas sin editar archivos de configuración, que es la diferencia entre usarlo y no.
Donde falla: estás ejecutando Nginx, con todo el peso operacional que eso conlleva. La renovación de certificados SSL, rotación de registros y límites de recursos son tu problema.
Precios:
- Gratis, código abierto.
- Plan Pro pagado con plugins adicionales.
Migrando desde Cloudflare: las Page Rules no se asignan. Reproduce tus protecciones (limitaciones de velocidad, bloqueos de país, reglas de bots) como reglas de BunkerWeb, luego apunta DNS a tu nodo edge.
Descargar: BunkerWeb en GitHub
En conclusión: la opción cuando quieres un WAF real frente a servicios alojados por cuenta propia sin enviar tráfico a través de un tercero.
Akamai, la opción empresarial
Akamai es el CDN en el otro extremo de la escala de tamaño. El alcance edge es el más grande de la industria, el conjunto de seguridad (Kona Site Defender, Bot Manager) es pesado, y los precios son acordes. Para un homelab, esto es excesivo. Para una empresa regulada que quiere algo diferente a Cloudflare para su edge pública, Akamai es la opción obvia.
Donde falla: precios dirigidos por ventas. La incorporación se mide en semanas, no en tardes.
Precios:
- Personalizado, dirigido por ventas.
Migrando desde Cloudflare: un SE de Akamai te escribirá un plan de migración. Espera un proyecto estructurado.
Descargar: Centro de control de Akamai
En conclusión: la respuesta correcta cuando la organización tiene un departamento de adquisiciones y un regulador a satisfacer.
Cómo elegir
Para un homelab, empareja Bunny.net o sin CDN en absoluto con Pangolin o Tailscale Funnel y NextDNS. Eso distribuye tus huevos entre pequeños proveedores y hace que cada pieza sea reemplazable.
Para un pequeño SaaS, cambia CDN a Bunny.net, deja DNS donde está (o cambia a NextDNS para el perfil del equipo), y elige BunkerWeb si quieres un WAF real.
Para una empresa que reemplaza Cloudflare a escala, Fastly o Akamai son los pares realistas. Elige Fastly si quieres escribir código en edge. Elige Akamai si quieres una relación con proveedor que satisfaga una revisión de adquisiciones.
Quédate en Cloudflare si tu stack ya depende de Workers, R2 y Zero Trust juntos, y de lo contrario tendrías que reconstruir tres stacks de proveedores. El riesgo de proveedor único es un costo real, pero también lo es fragmentar el stack.
FAQ
¿Hay una alternativa gratuita a Cloudflare para túneles? Sí. Pangolin y Tailscale Funnel se ejecutan gratis. Pangolin necesita un VPS, Funnel se ejecuta encima de cualquier Tailnet.
¿Cuál es la alternativa CDN de Cloudflare más barata? Bunny.net, por un amplio margen. Los precios por GB comienzan en medio centavo en América del Norte y Europa, y no hay compromiso requerido más allá del mínimo mensual de $1.
¿Puedo reemplazar el WAF de Cloudflare sin pagar? BunkerWeb cubre el caso de código abierto. Ejecuta Nginx con reglas ModSecurity y listas de bots malos, y el nivel gratuito cubre todo lo que la mayoría de los autohostadores necesitan.
¿Debo mover DNS de Cloudflare también? Solo si te importa diversificar la exposición a cortes o quieres filtrado por dispositivo. NextDNS es la opción obvia para hogares. Para DNS empresarial, dnsimple y Route 53 son vecinos comunes.
¿Qué hay sobre las alternativas de Cloudflare Workers? Fastly Compute@Edge y Bunny Magic Containers son los pares más cercanos. Fastly es más maduro, Bunny es más amigable para cargas de trabajo pequeñas.
¿Vale la pena reemplazar completamente Cloudflare? Para la mayoría de homelabs, no, porque el costo de tiempo supera los ahorros. Para equipos que dependen de la independencia de tiempo activo, la respuesta es sí, y el patrón correcto es reemplazar un servicio a la vez.
