Tailscale DERP
Designated Encrypted Relay for Packets: la rete di relay di Tailscale che inoltra il traffico cifrato quando due nodi non riescono a stabilire una connessione WireGuard diretta (NAT difficile o firewall). Il relay vede solo dati cifrati; è un ripiego, non un punto di intercettazione.
Il problema: una VPN mesh vuole tunnel peer-to-peer diretti, ma NAT simmetrico, CGNAT o firewall rigidi a volte rendono impossibile l'hole punching. Allora si usa un server DERP come relay, così la connessione funziona sempre (anche se con latenza maggiore). Tailscale prova sempre prima la via diretta (con hole punching in stile STUN) e ripiega su DERP solo se serve, spesso in modo temporaneo finché non trova un percorso diretto. Poiché il traffico è cifrato end-to-end con WireGuard, il relay non vede alcun contenuto. DERP è open source e può essere ospitato in proprio. Mostra una realtà pratica: il NAT traversal non sempre riesce, quindi serve un relay come garanzia.