Tailscale DERP
Designated Encrypted Relay for Packets — sieć przekaźników Tailscale, która przekazuje zaszyfrowany ruch, gdy dwa węzły nie mogą nawiązać bezpośredniego połączenia WireGuard (twardy NAT/zapora). Przekaźnik widzi tylko zaszyfrowane dane; to rozwiązanie awaryjne, nie punkt podsłuchu.
Problem: mesh VPN chce bezpośrednich tuneli peer-to-peer, ale symetryczny NAT, CGNAT i restrykcyjne zapory czasem uniemożliwiają dziurkowanie NAT-a. Wtedy serwer DERP służy jako przekaźnik, dzięki czemu połączenie zawsze działa (choć z większym opóźnieniem). Tailscale zawsze próbuje najpierw połączenia bezpośredniego (przez dziurkowanie w stylu STUN) i w razie potrzeby przechodzi na DERP, często tymczasowo, do czasu znalezienia ścieżki bezpośredniej. Ponieważ ruch jest szyfrowany end-to-end przez WireGuard, przekaźnik nie widzi treści. DERP jest otwartoźródłowy i można go hostować samodzielnie. Ilustruje praktyczną rzeczywistość: przechodzenie przez NAT nie zawsze się udaje, więc przekaźnik jest potrzebny jako gwarancja.