Tailscale, la conocida compañía de redes privadas virtuales basadas en WireGuard, ha presentado tailcat, una nueva herramienta de código abierto que funciona como un 'netcat sobre WireGuard' pero sin necesidad de contar con una cuenta en Tailscale ni con su plano de control. El anuncio, publicado en el repositorio oficial de GitHub de la compañía bajo el lema 'Tailscale without Tailscale, by Tailscale', marca un giro interesante en la estrategia de la empresa, al liberar una parte de su tecnología para usuarios que nunca interactuarían con su plataforma comercial.
Tailcat reutiliza el data plane de Tailscale —internamente llamado 'magicsock'— que establece túneles punto a punto cifrados con WireGuard entre dos máquinas. Utiliza la red de relés DERP como canal lateral de comunicación para atravesar NAT y como reserva de último recurso si el NAT traversal falla. La diferencia clave respecto al producto principal es que toda la metadata de conexión se intercambia fuera de banda, por cualquier medio que el usuario prefiera: correo electrónico, mensaje de texto, DNS o incluso un código QR.
El funcionamiento es directo. Una de las partes ejecuta tailcat en modo servidor (listener) y obtiene un token corto de conexión. La otra parte pasa ese token al cliente de tailcat para conectarse. Todo el tráfico entre ambos extremos viaja cifrado de extremo a extremo con WireGuard. La conexión inicial arranca a través de los relés DERP de Tailscale y, cuando es posible, magicsock negocia una ruta directa peer-to-peer mediante UDP. Según la documentación, no se requiere una cuenta de Tailscale, ni acceso root o de administrador en la máquina, ya que tailcat es una herramienta que opera en espacio de usuario sin alterar tablas de enrutamiento ni configuraciones DNS del sistema.
Entre las funcionalidades destacadas se incluyen: reenvío de puertos TCP locales ('tailcat --serve=8080'), un servidor SSH sin autenticación en Linux y macOS ('tailcat --serve=no-auth-ssh'), la posibilidad de actuar como nodo de salida para que el cliente acceda a la red del servidor ('tailcat --serve=exit-node'), un proxy SOCKS5 ruteado sobre el túnel ('tailcat socks'), y una utilidad de ping que informa si cada paquete llegó vía DERP o por conexión directa, con la opción '--until-direct' para insistir hasta lograr un camino directo. Los tokens también funcionan como nombres de host en URLs, lo que permite integrarlos con curl y otras herramientas CLI.
Un aspecto técnico relevante es la gestión de claves. Por defecto, cada ejecución del servidor genera una clave efímera en memoria, produciendo una dirección que nadie ha visto antes; al cerrar el proceso, la clave se descarta y la dirección muere para siempre. Los usuarios que necesiten direcciones persistentes pueden generar claves guardadas en disco mediante 'tailcat genkey', con el inconveniente de que quien haya recibido esa dirección podrá reconectarse en futuras sesiones a menos que se restrinja con '--allow'. Tailcat también soporta publicar tokens como registros TXT en DNS, permitiendo usar nombres de dominio en lugar de tokens opacos.
Los relés DERP pueden ser los gratuitos con límite de tasa que ofrece Tailscale por defecto, o bien servidores privados que el propio usuario puede desplegar a partir del código abierto disponible en el repositorio de Tailscale. Esto último es importante para organizaciones con requisitos de soberanía de datos o que necesiten evitar dependencias de infraestructura de terceros.
Desde un punto de vista estratégico, el lanzamiento resulta llamativo. Tailscale ha construido su negocio sobre una plataforma gestionada que simplifica enormemente el despliegue de redes WireGuard. Al abrir una variante que prescinde de su plano de control, la compañía podría estar buscando ampliar su base de desarrolladores, atraer a entusiastas y demostrar la robustez de su capa de datos. También podría interpretarse como un movimiento para posicionarse en el ecosistema más amplio de herramientas de conectividad segura, compitiendo en cierto modo con utilidades clásicas como netcat o ssh, pero con cifrado moderno y NAT traversal automático.
En conclusión, tailcat se presenta como una utilidad ligera, versátil y de código abierto que acerca la potencia del data plane de Tailscale a usuarios que no quieren —o no pueden— depender de la plataforma comercial. Su adopción en flujos de trabajo de DevOps, administración de sistemas o incluso en entornos educativos podría crecer rápidamente dada la simplicidad de uso. Queda por ver cómo evoluciona la comunidad en torno al proyecto y si Tailscale decide monetizar algún aspecto Premium, como relays DERP de mayor capacidad, o si mantiene tailcat como un proyecto puramente comunitario.