Tailcat è un'utility da riga di comando "netcat-style" che permette di stabilire delle connessioni point-to-point sicure senza gli attriti tipici dei flussi di lavoro aziendali.
Tailcat, infatti, elimina totalmente gli account, i flussi di login basati sul browser o la gestione centralizzata delle identità (tailnets). Ciò permette di creare tunnel crittografati in pochi secondi ed è quindi ideale per i task dove la configurazione di una VPN rappresenterebbe un ostacolo insormontabile. Bisogna però comprendere che, Tailcat rappresenta un "remix" radicale di Tailscale, non è una semplice "versione ridotta" del prodotto principale.
Data Plane come alternativa al Control Plane in Tailcat
L'agilità di Tailcat è il risultato della rimozione completa di un piano di controllo centralizzato. In una rete Tailscale standard il piano di controllo funge da autorità di coordinamento che assegna indirizzi IP, gestisce l'autenticazione e distribuisce le policy. Tailcat opera invece esclusivamente sul piano dati (data plane).
L'assenza di un server di coordinamento centrale ha come conseguenza che l'architettura di Tailcat è IP-less. Senza un registro di indirizzi persistente, o un sistema DHCP-like nell'overlay, le macchine non possiedono indirizzi IP interni. La connettività si basa così interamente sulla mappatura tra chiavi pubbliche e indirizzi Tailcat temporanei.
Il data plane di Tailcat eredita comunque le caratteristiche di base del core di Tailscale e si fonda su tre pilastri:
- WireGuard: protocollo di tunneling per crittografia e performance di livello elevato.
- NAT Traversal: algoritmi per le connessioni peer-to-peer per superare firewall e router senza configurazioni manuali.
- Tailcat Relays (DERP): una rete di tipo Designated Encrypted Relay for Packets che funge da fallback quando la connessione diretta non è possibile.
Nonostante la mancanza di un controllo centralizzato, il transito dei dati avviene secondo i più alti standard di sicurezza crittografica.
Listen, Share, Connect
Tailcat trasforma la complessità del networking in un workflow lineare che, per praticità, possiamo suddividere in tre fasi:
- Listen: l'esecuzione del comando sulla macchina di destinazione genera un indirizzo univoco e una coppia di chiavi. Queste ultime possono essere effimere, come da impostazione di default, o persistenti su richiesta.
- Share: l'indirizzo generato funge da token d'accesso. Data la sua natura deve essere trattato con la stessa riservatezza di una password o di una chiave SSH privata.
- Connect: il client remoto utilizza l'indirizzo per avviare l'handshake.
Durante la fase di connessione, i client si scambiano i cosiddetti messaggi "MEOW". Attraverso lo scambio di questi pacchetti e delle chiavi pubbliche, i nodi si auto-codificano in una "network map" locale e sostituiscono la funzione di mappatura che solitamente spetta al piano di controllo centralizzato.
Vi è poi è la possibilità di definire una allowlist, opzionale, basata sulle chiavi. Anche in assenza di un amministratore l'utente può restringere l'accesso specificando quali chiavi pubbliche sono autorizzate a connettersi.
Quando utilizzarlo e integrazione con l'AI
Tailcat incarna la filosofia Unix del "fare una sola cosa e farla bene", specialmente attraverso il supporto al piping di dati via STDIN/STDOUT. Ciò permette di integrare il tunnel direttamente nelle pipeline di automazione. È poi possibile inviare file o flussi di log attraverso il tunnel usando i pipe standard della CLI, con Tailcat che diventa un componente per script e task automatizzati.
Per quanto riguarda invece l'integrazione con l'Intelligenza Artificiale, come è noto gli agenti AI operano spesso in sandbox isolate e devono accedere a risorse remote per i test e le verifiche. Poiché un agente non può gestire autenticazioni Multi-Factor o login via browser, Tailcat fornisce un accesso sicuro, temporaneo e programmabile che non richiede l'inserimento permanente dell'agente nella rete aziendale.
Si possono traferire file e dati via CLI senza configurare server FTP o SSH, è possibile accedere rapidamente a sandbox di sviluppo senza modificare le policy di un firewall aziendale e si ha il supporto al Tunneling istantaneo per il debugging di job in pipeline isolate durante il ciclo di build.
Tutte ipotesi di lavoro che, naturalmente, prevedono una valutazione attenta sul fronte della compliance.
Conclusioni: Tailscale o Tailcat?
L'assenza di un piano di controllo implica una mancanza di auditability centralizzata e di governance a lungo termine. È poi fondamentale distinguere tra "assenza di account" e "anonimato": Tailcat non è un servizio anonimo. Le chiavi pubbliche rappresentano l'identità dei nodi e i relay Tailcat ospitati registrano i metadati delle connessioni.
Per le organizzazioni che hanno delle preoccupazioni riguardo alla privacy dei metadati, o che registrano delle prestazioni limitate sui relay pubblici, la soluzione risiede nell'implementazione di server custom DERP. Tailcat permette infatti di puntare a istanze DERP private, con il pieno controllo sui log e sulle prestazioni del traffico relay.
Si può quindi scegliere Tailscale per le reti persistenti, dove l'identità certa, l'audit dei log e le policy centralizzate sono dei requisiti non negoziabili. Tailcat è utile invece per connessioni temporanee e automatizzate, dove si cerca rapidità e la gestione di un account rappresenterebbe, di fatto, un ostacolo.
