Tornando o Tailscale Mais Rápido

Artigo original ↗ Discussão no Hacker News ↗

O trabalho recente do Tailscale para tornar seu mesh VPN baseado em WireGuard mais rápido reacendeu o debate sobre os trade-offs entre um dataplane em user-space, multiplataforma, e alternativas em nível de kernel ou aceleradas por hardware. Comentários destacam que, embora o Tailscale se sobressaia pela facilidade de configuração, onboarding de dispositivos e travessia de NAT em comparação com WireGuard autogerenciado ou IPsec, ele ainda tem dificuldade para explorar totalmente links multigigabit e pode aumentar o uso de bateria em dispositivos móveis. Também há interesse ativo em direções futuras como melhores estratégias de relay, criptografia pós-quântica e acelerada por hardware, e suporte mais rico para roteadores, microcontroladores e modelos de acesso sem app.

Foco na plataforma e trabalho de dataplane

  • As notas da discussão destacam que o post do blog enfatiza Linux/Android porque muitas otimizações em nível de pacote são específicas do sistema operacional e essas plataformas expõem os recursos necessários.
  • Mudanças arquiteturais como multiqueue e otimizações de memória são consideradas geralmente aplicáveis a outros sistemas operacionais.

Desempenho, userspace vs kernel

  • Vários comentaristas argumentam que o Tailscale é “lento”, citando dificuldade em ultrapassar 1 Gbps em clientes desktop e cerca de 10 Gbps no Linux em testes sintéticos.
  • Críticos dizem que redes em userspace com cópias extras e trocas de contexto têm um limite inerente e pedem WireGuard no kernel ou abordagens zero-copy estilo DPDK/XDP.
  • Outros contra-argumentam que cópias de memória e syscalls não são os principais gargalos; escolhas de protocolo e implementação importam mais.
  • Um representante da Tailscale responde que o kernel não é automaticamente mais rápido; em certo momento, o WireGuard em userspace deles superou a versão do kernel, e caminhos de alto desempenho no estilo DPDK também são, na verdade, userspace.

WireGuard vs Tailscale vs alternativas

  • Alguns usuários trocam o Tailscale por WireGuard puro, citando melhor estabilidade, velocidade percebida e simplicidade, dadas as integrações com roteadores e a configuração simples de chaves.
  • Outros fazem o movimento oposto, elogiando o Tailscale pelo onboarding trivial, registro dinâmico de dispositivos (incluindo jobs de CI), integração fácil com DNS e por contornar NAT e limitações de encaminhamento de portas (por exemplo, em casas de parentes).
  • Cloudflare Tunnels é mencionado como uma alternativa “sem app” para alguns casos de uso.

Criptografia, aceleração por hardware e pós-quântica

  • Há debate sobre se o Tailscale deveria divergir do ChaCha20/Poly1305 do WireGuard para AES-GCM, aproveitando offload de hardware da NIC para 100–400+ Gbps.
  • Surgem preocupações de que se afastar do design cuidadosamente analisado do WireGuard faz perder garantias formais; outros argumentam que trocar cifras pode preservar as propriedades centrais.
  • O IPsec é visto por alguns como excessivamente complexo e historicamente temperamental; outros observam que ele pode ser usado com um plano de controle simplificado e forte aceleração por hardware.
  • O suporte pós-quântico é discutido: alguns defendem que WireGuard v2 ou um dataplane atualizado é inevitável; outros mencionam PSKs como um paliativo limitado “resistente a quantum”.

Relays, roteamento e DERP

  • Reclamações sobre a latência do DERP e desejo por relaying mais flexível.
  • O recurso de peer relay existe, mas atualmente exige que o peer relay não esteja atrás de NAT; comentaristas querem um uso mais oportunista de peers atravessáveis por NAT como relays ad hoc.

UX do cliente, bateria e peculiaridades de plataforma

  • Vários comentários relatam alto uso de bateria no iOS e ao usar exit nodes; usuários querem deixar o Tailscale conectado continuamente sem grande drenagem.
  • O desempenho do exit node no Apple TV é relatado como ruim; o sistema operacional encerra agressivamente apps em segundo plano, limitando o que o Tailscale pode fazer.
  • Há alguma confusão/reclamação sobre apps Android serem excluídos dos caminhos de VPN; outros observam que o Android permite que apps optem por sair, e “bloquear conexões sem VPN” pode mitigar vazamentos.
  • Privacidade de DNS: pedido de suporte a DoH; o Tailscale observa que usar um servidor DNS do tailnet já mantém as consultas DNS privadas sobre o túnel, enquanto DoH adiciona complexidade de TLS.

Casos de uso avançados/de borda e pedidos de recursos

  • Pedidos por:
    • Melhor história para suporte a microcontroladores/IoT.
    • Configuração mais fácil de proxy/sidecar multi-node quando os dispositivos não podem rodar Tailscale diretamente (hoje, muitas vezes, exige um contêiner por dispositivo proxied).
    • Descrição mais clara de “queues” e “depth” nos diagramas de rede do blog.
  • Alguns usuários pedem explicitamente para o Tailscale não “enshitify”, refletindo forte entusiasmo, mas também preocupação com a direção de longo prazo do produto.