tailcat es una herramienta de línea de comandos y biblioteca en Go, publicada como código abierto por Tailscale, que permite establecer túneles cifrados punto a punto entre dos máquinas usando el plano de datos de Tailscale —basado en WireGuard— pero sin depender del plano de control ni de una cuenta del servicio. Funciona como un netcat cifrado: uno de los lados ejecuta tailcat como servidor (listener) y obtiene un token de conexión corto; el otro lado utiliza ese token para conectarse. Todo el tráfico se cifra extremo a extremo con WireGuard, la conexión inicial arranca a través de la red de relés DERP y, cuando es posible, magicsock negocia una ruta UDP directa entre pares.
La herramienta no requiere privilegios de administrador ni modifica tablas de enrutamiento ni DNS del sistema, ya que opera en espacio de usuario. Puede reenviar puertos TCP locales, ejecutar servidores SSH sin autenticación, actuar como proxy SOCKS5, funcionar como nodo de salida y enviar pings para distinguir si la comunicación viaja por DERP o por ruta directa. Soporta claves efímeras (un solo uso, seguras por defecto) y claves persistentes guardadas en disco, así como publicación de tokens como registros DNS TXT para resolverlos por nombre.
Está dirigida a desarrolladores y administradores que necesiten conectividad ad hoc cifrada entre dos máquinas —por ejemplo, asistencia remota, reenvío de puertos sin abrir puertos de entrada o túneles SSH efímeros— sin desplegar una red Tailscale completa.