Só um detalhe sobre velocidade: quando os dois lados estão atrás de NAT mais chato, a conexão direta às vezes não fecha e o tráfego vai pelo relay DERP do próprio Tailscale. Continua funcionando, mas aí fica bem longe do limite da sua internet. O tailscale ping <maquina> mostra se a resposta veio direto ou via DERP, e o tailscale status também marca isso.

E no Linux o Tailscale usa o wireguard-go, em espaço de usuário, e não o WireGuard do kernel. É rápido do mesmo jeito, só não passa pelo kernel como tá no post.