Сети: WireGuard, Tailscale, NAT и ретрансляторы DERP

Задача: машины за NAT не видят друг друга

У каждой машины дома адрес вида 192.168.1.x. Это private address (частный адрес): таких адресов в мире миллионы, и снаружи до него не дойти. Наружу весь дом выходит под одним public address (публичным адресом) от провайдера. Подмену делает маршрутизатор, это NAT (Network Address Translation, трансляция адресов): он переписывает обратный адрес исходящего пакета на внешний адрес и свой порт и запоминает соответствие, чтобы вернуть ответ нужной машине.

Главное свойство NAT для нас: маршрутизатор впускает пакет снаружи, только если изнутри перед этим ушёл пакет туда же. Незваный пакет он выбрасывает. Поэтому ноутбук дома и GPU-машина в офисе, каждая за своим NAT, сами друг до друга не достучатся: первый пакет каждой упрётся в чужой маршрутизатор. Классический ответ — открыть порт на маршрутизаторе (port forwarding). Он требует доступа к чужому маршрутизатору и оставляет порт открытым всему интернету.

WireGuard: туннель из пары ключей

WireGuard — протокол VPN (зашифрованного соединения), с 2020 года встроенный в ядро Linux 5.6. У каждой машины пара ключей: private key (закрытый) никогда не покидает машину, public key (открытый) можно раздавать кому угодно. Всё идёт по UDP, поэтому зашифрованный пакет для маршрутизатора — обычный UDP-пакет.

Конфигурация WireGuard — список соседей. Для каждого: его public key, endpoint (адрес и порт, где его искать) и AllowedIPs — какие адреса живут за ним. Пакет на адрес из AllowedIPs шифруется ключом этого соседа; пакет от соседа принимается, только если его адрес из того же списка. Шифры фиксированы: Curve25519 для обмена ключами, ChaCha20-Poly1305 для трафика, BLAKE2s для хеша, рукопожатие по схеме Noise. Выбирать нечего, поэтому и ошибиться в настройке негде.

Чего WireGuard не делает сам: не раздаёт ключи (их переписывают на каждую машину вручную), не знает, где сосед сейчас, и не проходит NAT. Для двух серверов с постоянными публичными адресами это не проблема. Для дюжины устройств за NAT, которые меняют сети, это работа на полный день.

Tailscale: control plane и data plane

Tailscale берёт WireGuard для самих пакетов и делит работу на две части.

• Control plane (управление) — сервер координации. Он как ящик для ключей: каждая машина кладёт туда свой public key и забирает ключи, адреса и правила остальных. Private key остаётся на машине. Трафика здесь почти нет.
• Data plane (данные) — сами пакеты. Они идут напрямую, каждый с каждым (mesh), а не через центр, как в классическом VPN «hub-and-spoke».

Сверху Tailscale даёт постоянные адреса из диапазона 100.64/10 (RFC 6598, он почти никогда не пересекается с домашними сетями), имена через MagicDNS (<машина>.<сеть>.ts.net) и правила доступа (ACL). Правила пишутся в одном месте, а проверяет их каждая машина сама, когда расшифровывает входящий пакет.

Hole punching и DERP: напрямую или через ретранслятор

Как пройти NAT без открытых портов? Через правило «впускаю ответ на свой пакет».

1. Каждая машина спрашивает сервер STUN: «с какого адреса и порта ты меня видишь?».
2. Машины обмениваются этими адресами через координацию.
3. Обе одновременно шлют пакеты друг другу. Пакет ноутбука открывает «дырку» в домашнем NAT, пакет GPU-машины — в офисном. Следующие пакеты каждый NAT принимает как ответ. Это hole punching (пробивка NAT).

Работает это, если NAT даёт машине один и тот же внешний порт для всех адресатов — endpoint-independent mapping, «простой» NAT. «Трудный» NAT выдаёт новый порт на каждого адресата, и адрес из STUN другому соседу не подходит. Против одного трудного NAT есть перебор портов; против двух трудных сразу пробивка почти безнадёжна.

На этот случай есть DERP (Designated Encrypted Relay for Packets) — ретрансляторы Tailscale в разных городах. Через DERP устройства обмениваются служебными пакетами для пробивки, а когда прямой путь не нашёлся, DERP пересылает уже зашифрованные пакеты WireGuard. Прочитать их он не может: ключей у него нет. Соединение обычно начинается через DERP и, если пробивка удалась, переходит на прямой путь.

Пример с числами, Алматы. Ближайшие ретрансляторы в Европе: до Франкфурта 94 мс, до Варшавы 120 мс. Ноутбук дома и GPU-машина в другом здании того же города: первые ответы tailscale ping идут через DERP в Варшаве за 180–240 мс, после пробивки — напрямую за 3–5 мс. Это в 40–80 раз быстрее. Для SSH разница заметна, а для копирования весов модели на 15 ГБ решающая. Поэтому вопрос «напрямую или через relay» — первый, когда связь между своими машинами медленная: tailscale status пишет direct или relay "waw" у каждого соседа.

Кому мы доверяем: Tailnet Lock и Headscale

Ключи раздаёт сервер координации, и машины ему верят. Если его взломают, он может подсунуть public key чужой машины, и наши машины примут её как свою.

Tailnet Lock закрывает эту дыру: новая машина входит в сеть, только если её ключ подписан одной из доверенных машин сети, и подпись проверяет каждая машина сама. Цена (документация Tailscale, 12.10.2026): нужно минимум две подписывающие машины, Android подписывать не может; при включении выдают 10 секретов отключения, и если потерять все, сеть не восстановить; Lock несовместим с device approval.

Headscale — открытый сервер координации, который ставят у себя вместо сервера Tailscale. Клиенты те же, меняется только адрес управления. По списку возможностей на 12.10.2026 есть MagicDNS, ACL, tags, exit nodes, subnet routers, Taildrop, Tailscale SSH и встроенный DERP. Funnel и Serve пока открытые задачи, Tailnet Lock в списке нет. Одна сеть, для себя или маленькой команды.

Решение инженера здесь — про доверие и эксплуатацию, а не про скорость: данные в обоих случаях идут напрямую. С Tailscale ты доверяешь компании и можешь закрыть риск через Tailnet Lock. С Headscale доверяешь своему серверу, а его обновления, резервные копии и доступность становятся твоей работой.