有点想和 zerotier/tailscale 碰一碰了

[lanthora]

小工具 Candy 最初做出来的时候没想跟这两个庞然大物比较.现在貌似可以放在一起讨论了.

功能:

• P2P 或客户端中继使用全加密的 UDP 协议, 服务端中继使用 WSS 协议
• Mesh 网络利用其他客户端选择延迟最低的链路中继
• 服务端统一配置各客户端路由,进行多局域网组网
• 多线程加速高带宽的网络环境

运行环境:

• Windows: 命令行版本和 GUI 版本.(推荐 GUI)
• macOS: homebrew 和 GUI 版本.(推荐 homebrew 版本, GUI 还不成熟)
• Linux: archlinuxcn 仓库, guru 仓库, ubuntu/debian 安装包. openSUSE 15.5/15.6/Tumbleweed. 以及几乎市面上可以买到的所有 linux 设备的单文件可执行程序(例如 mips, riscv, 龙芯)

提问: 有哪些你在使用的 zerotier/tailscale 的核心功能我这个软件还不支持.

[laminux29]

没公网 IPv4 时，zerotier/tailscale 有免费额度。这才是它们的核心竞争力。

如果都有公网 IPv4 ，更好的选择是企业级 VPN 方案。

如果收费，淘宝上一堆自建端口映射的服务，比这两玩意稳定。

[0o0O0o0O0o]

没试用，只能说出两点肉眼可见的无法取代：移动端，打磨这个应该很费精力； E2EE 承诺，这个我在文档里只找到一句"用 UDP 建立和使用对等连接过程中,也存在特定格式的消息,这些消息全程加密"，这很没有什么说服力，毕竟这个项目不像同行依赖于成熟的 wireguard(-go)，并且我认为这个特性是很难在后期新增的，而对我来说组网工具是很需要建立信任的东西。

别的很多都是可以慢慢堆上去的特性细节就不提了。

我能看到的亮点是加入了混淆，但这只是我作为墙内用户的一种偏好，它实际上是否合理还需要让专业的人评价一下。

以上只是我浏览几分钟后的想法。

[ferock]

中继怎么建？

[wheat0r]

zerotier 为例，可以自建，也可以不自建，还可以只建一点，灵活度太好了。
全自建的方案终归只会有很少的人会用。
我一直在用 zerotier ，并且只自建 moon ，因为我不信任自己组网的可靠性。

[adrianzhang]

有意思的是介绍里的 anti-censorship
想想 naiveproxy 区分于其他工具的特点，不知道你的这个工具有这样的特点吗？

[lanthora]

@0o0O0o0O0o
移动端有必要搞，但是自己精力有限，就一直拖着了
E2EE 确实没有，全加密只是为了过墙的，不依赖 wg 也是因为你后面提到的墙内用户的偏好，因为不这样出国组网就可能用不了

[lanthora]

@ferock 在网络环境好(有公网 IP 或者 NAT1)的地方部署一个普通的客户端

[lanthora]

@adrianzhang 没有像 naiveproxy 那么明确的方案，只是在设计流量的时候绕过了目前已知的防火墙规则

[lanthora]

@wheat0r 其实我这个也有一个公开服务端可以用，只是目前大部分用户都在自建所以没提

[adrianzhang]

@lanthora 最近这些天，WireGuard 协议被大规模干扰，原因是 CF Warp 翻墙（基于 WG ）,连带 Tailscale （同样基于 WG ）也倒霉。有些人可能说他们的还能用，那只不过棒子还没打到头上。Zerotier 似乎没人说有问题，但如果开始管制则也难保。如果想做到抗审查，很重要一点是，能不能把特征消除。

[mercury233]

tcp only ，用于避免运营商对 udp 的 qos

[Tink]

可以做备用

[lanthora]

@adrianzhang 没有特征本身也是一种特征,这个只能走一步看一步.

[adrianzhang]

@lanthora #13 这里说的没特征是模仿其他必要协议的流量

[lanthora]

@adrianzhang em...你可以稍微看一下现在已有的实现效果..没有必要去专门模仿其他协议,这个协议本身就是很大众的,至少从最外层看是这样的.

[adrianzhang]

@lanthora 好的。很乐意试试

[yingyueqingquan]

我是在国内组网使用的，没出国外，同时使用 wireguard 和 candy ，candy 的 windows 命令行客户端不是很稳定，一天会掉线几次，一有报错就自动退出，感觉没有重新协商上线机制，我用的 nssm 保活，在 docker 服务端看到重上线。同时 wireguard 就没有问题。

[yingyueqingquan]

candy 优势在于不像 wireguard 容易被抓包软件和 dpi 识别出是 vpn ，模拟了 wss 流量。另外好像 candy 不能把流量转发出去，只能在几个 vpn 节点的 ip 间流传？我当时在 windows 和另一个 openwrt 节点互相添加了对方路由，但是访问不了对方。

[smallparking]

tailscale 的 acl 我是刚需，不知道你这个有没有

[lanthora]

@yingyueqingquan 看样子你应该是一个很早期的用户了,你提到的问题应该都已经解决了.

客户端的设计的是如果没法正常收到心跳就退出进程.现在的 GUI 能够做到再不退出进程的情况下重连,如果是用命令行的话,可以用 --restart=x 参数,x 指重连的时间间隔.也可以不退出进程了

candy 不是在模拟 wss 流量,它就是真正的 wss 流量.

最近的版本也能把流量转发出去了.就是最上面提到的多个局域网组网,可以在最新版本的服务端里看到相关的参数.

[lanthora]

@smallparking 访问控制相关的功能,有加的想法,不过还没找到合适的方案,后面实现的时候可以学习一下 tailscale.

[ferock]

服务端怎么查看客户端列表？

[molezznet]

确实 tailscale 有时打洞有点问题，好像以前还和 warp 用冲突（ linux ）

[dongzhuo777]

zerotier 和 tailscale 最大优势就是方便组网+打洞。如果只是单纯的打洞，这两个成功率都不高。。

[MFWT]

P2P 且有一方是 NAT1 情况下的 TCP 传输（参考 natter 、natmap 之类的）
我目前是用 natter+Shadowsocks （ UoT ）+tun2socks ，总觉得不太优雅

[lanthora]

@MFWT TCP 可以考虑,只不过还没有看到必要性,UDP 丢包问题在我这里没有那么严重

[MFWT]

@lanthora 我这边比较严重些，比如说 Tailscale ，挂 SMB 看流媒体（ 10Mbps 码率，宽带上行 30Mbps ）会有严重丢包，放几秒卡一下那种，加大缓冲区只能说缓解但不能根治。采用上面那个方案之后就不卡了

不过我不确定，因为上面那个方案是纯四层的（不像普通 VPN 那样传输三层数据包，包括完整的 TCP/udp 包头在内），会不会受到这个因素的影响

[lanthora]

@MFWT 那你可以试试 Candy, 如果也有同样的问题就可以挂个 issue, 有机会了就可以把这个功能在做出来.

[8E9aYW8oj31rnbOK]

易用性吧，

我常用 zerotier ，我只需要在他网站上创建一个私网配置的 id ，然后使用客户端加入这个 id ，就可以尝试打洞。v2 里有大佬做了如何自建 moon 服务器，打洞不成就走转发。

我一直没用过 tailscale ，因为部署太麻烦了，不如 zerotier 直接方便，而且 zt 也够用的。

[lanthora]

@Leonkennedy2 易用性得靠时间慢慢打磨了,有这方面的计划,但是精力不够

[firekirin67]

这个多局域网组网需要区分不同的网段比较麻烦 这个可以改进吗

[lanthora]

@firekirin67 说说你想要的效果是什么样子的.这样一句描述猜不出来你想要的是什么,可以去 github 上挂 issue

[firekirin67]

@lanthora 理解错了

[firekirin67]

有看到你这个项目挂了 EasyTier 的链接 你这个和 EasyTier 有什么关系呢

[lanthora]

@firekirin67 功能上类似的项目,如果这个项目不满足需求就可以看看挂上的其他项目.