Wireguard hat man halt im Grunde Out-of-the-Box direkt bei der FritzBox, ohne weitere Abhängigkeit von jemand Dritten. Mehr wollte ich mit "von dem Anbieter abhängig" nicht sagen.
Ich denke auch, dass Tailscale ausreichend sicher ist - das liest sich alles sehr gut und im Netz findet man auch keine fundamental kritischen Berichte.
Paranoia habe ich keine, denke aber gerne vorher drüber nach, genau wie du das auch machst. Dann wird man nicht überrascht.
Wenn lokal hosten geht für Headscale, wäre das ja nochmal positiv. Ich war mir nicht sicher, ob man dafür eine feste externe IP braucht bzw. hatte es so verstanden, dass DynDNS wohl nicht reicht. Aber allzu tief habe ich mich da auch nicht eingelesen in Headscale. Sowas selber aufzusetzen wäre mir dann auch etwas zu viel des Guten. (Nachtrag: Headscale in diesem Abschnitt ergänzt, damit klarer ist, was ich meine).