Hacker News Digest

Tailcat — это утилита от Tailscale, которая позволяет устанавливать зашифрованные соединения между машинами по принципу netcat, но используя только данные плоскости Tailscale (magicsock и DERP), минуя её контрольную плоскость. Это означает, что для работы не нужен аккаунт Tailscale, root-доступ или изменение системных настроек — всё работает в пользовательском пространстве. Трафик шифруется end-to-end через WireGuard, а начальное соединение устанавливается через DERP-релеи (по умолчанию — бесплатные, rate-limited от Tailscale), после чего magicsock пытается перейти на прямое P2P UDP-соединение, если NAT позволяет.

Один запуск tailcat на сервере генерирует одноразовый токен подключения, который клиент использует для установки канала. После этого можно передавать stdin/stdout, пробрасывать локальные TCP-порты (например, --serve=8080) или даже запускать auth-free SSH-сервер через --serve=no-auth-ssh. Утилита также поддерживает пинг с указанием пути (DERP или прямой) и флагом --until-direct для ожидания оптимального маршрута. Проект полностью open source, но без гарантий стабильности API, CLI или работы публичных DERP-релеев — всё предоставляется «как есть». Tailcat возник как эксперимент «derpcat» в 2023 году, был выделен в отдельный модуль и открыт в августе 2026 на конференции TailscaleUp.

**Tailcat** Tailcat — практическое воплощение принципа end-to-end connectivity: использует инфраструктуру Tailscale (magicsock, DERP) без зависимости от её control plane, что позволяет устанавливать P2P-соединения без root-доступа и аккаунтов. Механизм: односторонний обмен ключами через Meow-сообщения по DERP, затем стандартный CallMeMaybe для прямого соединения — полноценная интеграция с внутренними механизмами Tailscale, а не просто обёртка. **Инфраструктура и ограничения** Tailscale сознательно выделил отдельные DERP-серверы для публичного использования с ограничением скорости, чтобы поддерживать открытость без влияния на основную инфраструктуру (Brad Fitzpatrick). Этот rate-limit также ограничивает пригодность Tailcat для C2-каналов (@MajesticHobo2). **Практические сценарии** Tailcat работает в пользовательском пространстве и не требует root-доступа, что делает его удобным для CI/CD, облачных VM и ограниченных систем. Решает проблему P2P-соединений без настройки портов и NAT — особенно ценно в условиях CGNAT и ограниченного IPv6 (@pbohun). Примеры применения: Minecraft-моды, SSH-серверы на systemd, замена WebSocket-прокси в Mosh для прямой работы с UDP-трафиком (@ekarulf). Nix-окружение в репозитории отражает внутреннюю практику Tailscale, где Nix — стандарт разработки, а не опциональный инструмент (@ronef). **Сравнение с аналогами** Tailcat напоминает Magic Wormhole, но расширяет идею с передачи файлов на произвольные TCP-соединения, сохраняя простоту, но без human-readable session IDs (@doomrobo). Среди аналогов — Wush и Iroh, использующие Tailscale или WireGuard; Tailcat выделяется простотой и прямой интеграцией с magicsock без дополнительных зависимостей. **Споры и альтернативы** Часть пользователей (@gz5) считает, что Tailcat недостаточно радикален: если цель — устранить проприетарность, нужно полностью отказаться от Tailscale DERP, как в NetBird, ZeroTier или OpenZiti. Другие (@LarsKrimi) сомневаются в надёжности самого Tailscale, хотя это не опровергает работоспособность Tailcat. Альтернатива от @maisem: запуск кастомного клиента Tailscale, подключающегося к двум tailnet одновременно (tailmix), решает проблему доступа к домашней сети из офисной без Tailcat. **Документация и принцип** Различие control/data plane в официальной документации Tailscale помогло разобраться в архитектуре (@forrestthewoods) — важность документации для новичков подтверждается. Идея Tailcat соответствует end-to-end принципу (@MajesticHobo2): интернет не должен предоставлять встроенные механизмы для NAT, шифрования или идентификации — эти функции должно приносить приложение.

Microsoft столкнулась с крупнейшей в истории DDoS-атакой на облачную платформу Azure, достигшей пика в 15 терабит в секунду. Атака использовала сеть из 500 000 IP-адресов, что делает её одной из самых масштабных и сложных для отражения. Атака была направлена на клиентов Azure в Европе и продолжалась около двух часов, используя комбинацию протоколов UDP и DNS-запросов для перегрузки инфраструктуры.

Microsoft удалось успешно отразить атаку, не затронув работу клиентов, благодаря автоматизированным системам защиты и масштабируемости Azure. Компания отметила, что это новый рекорд по мощности DDoS-атак, подчеркивающий растущую сложность киберугроз. Эксперты связывают увеличение масштаба атак с ростом числа уязвимых устройств в IoT-сетях и использованием более совершенных ботнетов.

• Aisuru — ботнет DDoS-сервис с избирательной атакующей направленностью (в основном онлайн-игры), избегающий государственных и военных объектов, резко вырос после взлома серверов прошивок роутеров.
• Основные мотивы атак — игровые конфликты (реванш за баны, манипуляция рынками внутриигровых товаров), возможна вымогательская деятельность или отвлечение внимания для скрытых атак.
• Ключевая уязвимость — массовое использование небезопасных IoT-устройств (особенно роутеров), критика OpenWRT за недостаточную защиту серверов сборки и отсутствие глобального регулирования.
• Атаки характеризуются короткими (40 сек) но рекордными по мощности пиками (до 10+ Тбит/с), что указывает на коммерческий характер услуг ботнета.

TCP — невидимый герой интернета, обеспечивающий надежную передачу данных вопреки его ненадежности. В то время как IP-адрес доставляет пакеты на нужный компьютер, TCP через порты направляет их правильным приложениям, как письма в квартиры одного здания. Протокол скрывает от разработчиков хаос сети: потерю, повреждение, дублирование и переупорядочивание пакетов, позволяя приложениям просто работать.

Ключевые механизмы TCP — контроль потока и перегрузки — предотвращают коллапс сети. Контроль потока через буфер приема и "окно" определяет, сколько данных может обработать получатель. Контроль перегрузки избегает повторной отправки потерянных пакетов, усугубляющих congestion collapse. В 1986 году интернет замедлился до 40 бит/с из-за этой проблемы. TCP с механизмами "back off" спасает сеть от саморазрушения, позволяя нам наслаждаться стабильным соединением.

• TCP считается оптимальным решением для надежного потока данных над ненадежным дейтаграммным уровнем, но имеет ограничения: маленькое окно для современных скоростей и проблемы с безопасностью.
• Альтернативы (SCTP, QUIC, RUDP) обсуждаются как решения для мультиплексирования потоков и улучшения производительности, но сталкиваются с проблемами поддержки и сложности.
• Технически возможно создание собственных протоколов поверх IP, но маршрутизаторы и NAT часто требуют TCP/UDP или блокируют другие протоколы.
• Простота TCP объясняется ограничениями старых компьютеров, а управление перегрузкой тогда было неочевидным решением.
• HTTP/3 (QUIC) набирает популярность как замена TCP для веба, но его сложность вызывает опасения.

Опубликована подробная диаграмма стека сети Linux, созданная Hrvoje Horvat из Ericsson Nikola Tesla. Диаграмма охватывает все уровни сетевого стека: виртуализацию и контейнеры, сокеты, TCP/UDP и нижние уровни с GRO, RPS, RFS и GSO, планировщик сети, NetFilter, управление трафиком, драйверы устройств и функции, ускоренные сетевой картой. Каждый раздел содержит советы по оптимизации и статистику.

Диаграмма доступна в формате PDF (5.4 МБ) и является частью книги "Operativni sustavi i računalne mreže - Linux u primjeni". На момент публикации материал получил 515 просмотров и 380 загрузок. Работа распространяется под лицензией Creative Commons Attribution 4.0 International, что позволяет свободно использовать и распространять диаграмму при обязательном указании автора.

• Диаграмма показывает, как пакет проходит через iptables и Netfilter, что вызвало обсуждение о сложности и важности визуализации в Linux.
• Участники обсуждали, что такие диаграммы редко охватывают контейнеры и виртуализацию, и что отсутствие обновлений может сделать их устаревшими.
• Были вопросы о доступности этих диаграм на разных языках и о том, где можно найти больше информации о книге, из которой они были взяты.
• Также обсуждались вопросы о том, как эти диаграммы могут быть использованы в образовательных целях и о том, что делает их такими полезными для понимания сложных систем.
• В конце, обсуждалось, что такие диаграммы могут быть трудны для чтения в формате PDF и что было бы полезно иметь SVG версию.

Firefox переписывает свой стек UDP для QUIC на Rust, чтобы использовать современные системные вызовы и повысить производительность. Около 20% HTTP-трафика браузера уже идёт через HTTP/3 поверх QUIC/UDP, а старый код на NSPR не поддерживает многопакетные операции вроде sendmmsg или аппаратное ускорение сегментации (GSO/GRO).

Новый движок построен на основе библиотеки quinn-udp и показывает впечатляющие результаты: в CPU-нагруженных сценариях пропускная способность выросла с менее 1 Гбит/с до 4 Гбит/с. Основная сложность заключалась в поддержке старых версий ОС, включая Android 5. Проект также усиливает безопасность благодаря использованию memory-safe языка и тесной интеграции с существующей Rust-реализацией QUIC во Firefox.

• Увеличение пропускной способности UDP до 4 Гбит/с и снижение нагрузки на CPU благодаря оптимизациям в библиотеке quinn-udp
• Критика скорости в 4 Гбит/с как недостаточной для высокоскоростных сетей и обсуждение ограничений системных вызовов и шифрования
• Вопросы о работе механизмов GSO/GRO для UDP и обработки пакетов, приходящих не по порядку
• Обсуждение поддержки проектов с открытым исходным кодом, в частности, вклад Mozilla в Quinn кодом, но не финансированием
• Дебаты о целесообразности использования самоподписанных сертификатов в HTTP/3 для LAN и соображения безопасности