Есть ли оверлейные меш сети по типу tailscale, но с обфускацией?
Ситуация следующая. С одной стороны, есть домашний сервер за NAT, к которому нужен удаленный, но при этом защищенный доступ. С другой стороны, есть несколько пользователей, у каждого из которых есть своя впс, через которую им нужно прогонять весь трафик. С обеими задачами могут справиться оверлейные меш сети, но проблема в том, что они подпадают под блокировки и их либо совсем блочат, либо сильно режут - в первую очередь мобильные операторы.
Я перепробовал tailscale, netbird, nebula, zerotier, openziti (и zrok), yggdrasil, и из них всех хоть с какой-то приемлемой скоростью заработал только netbird, хотя все равно слишком медленно и нестабильно. В то же время shadowsocks + cloak (плагин обфускации) или туннелирование через ssh работают отлично.
Потому вопрос: есть ли какие-нибудь оверлейные меш сети с поддержкой обфускации? Многие из перечисленных решений под капотом работают на wireguard и я знаю, что есть его форк AmneziaWG со встроенной обфускацией, но я так и не нашел меш сетей, основанных на нем.
на амнезии p2p сетей нету
а в чем была проблема с nebula ? у меня она работает даже в тех странах, где блокировки еще хуже чем у нас...
главное чтоб хотя б 1 релей был доступен
да и скорость у неё вполне себе хорошая
Не знаю, в чем может быть дело, но по мобильной связи либо вообще не работает (как будто клиент не может установить туннель с пирами), либо очень медленно. Подозреваю, что конкретно мой мобильный оператор режет вообще весь подозрительный трафик, потому что yggdrasil, например, тоже у меня режется, а у других нет.
Самое странное при этом, что netbird основанный на wireguard работает довольно сносно...
Да, это класс ZTNA (Zero Trust Network Access), и self-hosted вариантов с открытым кодом несколько.
Ближайший к вашему запросу — OpenZiti: контроллер и edge-роутеры ставятся на свою инфраструктуру (в отличие от Tailscale, где координация живёт в облаке вендора). Модель такая: identity — это сертификат на устройство и на сервис, соединение всегда исходящее, поэтому NAT и отсутствие белого IP не важны, а сам сервис в интернет не публикуется вообще.
Про обфускацию честно: отдельного «запутывания пакетов» там нет, но оно и не нужно в том же смысле — наружу видно только TLS-соединение вашего роутера на 443 порту, то есть трафик неотличим от обычного HTTPS до вашего же хоста. Точку присоединения вы контролируете сами: IP, порт и хостинг меняются за минуты, а не через поддержку вендора.
Ограничение, о котором стоит знать: ни одна overlay-сеть не гарантирует работу в канале, где режут всё, кроме белого списка. И ни одна не заменяет нормальную маршрутизацию, если проблема в самом канале.
Альтернативы в том же классе: NetBird (self-hosted control plane, WireGuard в основе), Headscale как своя координация для Tailscale-клиентов. Их минус относительно OpenZiti — доступ выдаётся «в сеть», а не «к сервису»: чтобы ограничить человека одним хостом, придётся отдельно городить правила фаервола.
Сложный
