Tailscale DERP
Designated Encrypted Relay for Packets — la red de relés de Tailscale que reenvía tráfico cifrado cuando dos nodos no logran establecer una conexión WireGuard directa (NAT o firewall difíciles). El relé solo ve datos cifrados; es un respaldo, no un punto de escucha.
El problema: una VPN mesh quiere túneles peer-to-peer directos, pero un NAT simétrico, CGNAT o firewalls estrictos a veces hacen imposible perforar el NAT. Entonces se usa un servidor DERP como relé para que la conexión siempre funcione (aunque con mayor latencia). Tailscale siempre intenta primero la vía directa (mediante una perforación similar a STUN) y recurre a DERP cuando hace falta, a menudo de forma temporal hasta encontrar una ruta directa. Como el tráfico va cifrado de extremo a extremo con WireGuard, el relé no ve ningún contenido. DERP es de código abierto y se puede autoalojar. Ilustra la realidad práctica: la travesía de NAT no siempre tiene éxito, así que hace falta un relé como garantía.