有点想和 zerotier/tailscale 碰一碰了

[lanthora]

小工具 Candy 最初做出来的时候没想跟这两个庞然大物比较.现在貌似可以放在一起讨论了.

功能:

• P2P 或客户端中继使用全加密的 UDP 协议, 服务端中继使用 WSS 协议
• Mesh 网络利用其他客户端选择延迟最低的链路中继
• 服务端统一配置各客户端路由,进行多局域网组网
• 多线程加速高带宽的网络环境

运行环境:

• Windows: 命令行版本和 GUI 版本.(推荐 GUI)
• macOS: homebrew 和 GUI 版本.(推荐 homebrew 版本, GUI 还不成熟)
• Linux: archlinuxcn 仓库, guru 仓库, ubuntu/debian 安装包. openSUSE 15.5/15.6/Tumbleweed. 以及几乎市面上可以买到的所有 linux 设备的单文件可执行程序(例如 mips, riscv, 龙芯)

提问: 有哪些你在使用的 zerotier/tailscale 的核心功能我这个软件还不支持.

[laminux29]

没公网 IPv4 时，zerotier/tailscale 有免费额度。这才是它们的核心竞争力。

如果都有公网 IPv4 ，更好的选择是企业级 VPN 方案。

如果收费，淘宝上一堆自建端口映射的服务，比这两玩意稳定。

[0o0O0o0O0o]

没试用，只能说出两点肉眼可见的无法取代：移动端，打磨这个应该很费精力； E2EE 承诺，这个我在文档里只找到一句"用 UDP 建立和使用对等连接过程中,也存在特定格式的消息,这些消息全程加密"，这很没有什么说服力，毕竟这个项目不像同行依赖于成熟的 wireguard(-go)，并且我认为这个特性是很难在后期新增的，而对我来说组网工具是很需要建立信任的东西。

别的很多都是可以慢慢堆上去的特性细节就不提了。

我能看到的亮点是加入了混淆，但这只是我作为墙内用户的一种偏好，它实际上是否合理还需要让专业的人评价一下。

以上只是我浏览几分钟后的想法。

[ferock]

中继怎么建？

[wheat0r]

zerotier 为例，可以自建，也可以不自建，还可以只建一点，灵活度太好了。
全自建的方案终归只会有很少的人会用。
我一直在用 zerotier ，并且只自建 moon ，因为我不信任自己组网的可靠性。

[adrianzhang]

有意思的是介绍里的 anti-censorship
想想 naiveproxy 区分于其他工具的特点，不知道你的这个工具有这样的特点吗？

[lanthora]

@0o0O0o0O0o
移动端有必要搞，但是自己精力有限，就一直拖着了
E2EE 确实没有，全加密只是为了过墙的，不依赖 wg 也是因为你后面提到的墙内用户的偏好，因为不这样出国组网就可能用不了

[lanthora]

@ferock 在网络环境好(有公网 IP 或者 NAT1)的地方部署一个普通的客户端

[lanthora]

@adrianzhang 没有像 naiveproxy 那么明确的方案，只是在设计流量的时候绕过了目前已知的防火墙规则

[lanthora]

@wheat0r 其实我这个也有一个公开服务端可以用，只是目前大部分用户都在自建所以没提

[adrianzhang]

@lanthora 最近这些天，WireGuard 协议被大规模干扰，原因是 CF Warp 翻墙（基于 WG ）,连带 Tailscale （同样基于 WG ）也倒霉。有些人可能说他们的还能用，那只不过棒子还没打到头上。Zerotier 似乎没人说有问题，但如果开始管制则也难保。如果想做到抗审查，很重要一点是，能不能把特征消除。

[mercury233]

tcp only ，用于避免运营商对 udp 的 qos

[Tink]

可以做备用

[lanthora]

@adrianzhang 没有特征本身也是一种特征,这个只能走一步看一步.

[adrianzhang]

@lanthora #13 这里说的没特征是模仿其他必要协议的流量

[lanthora]

@adrianzhang em...你可以稍微看一下现在已有的实现效果..没有必要去专门模仿其他协议,这个协议本身就是很大众的,至少从最外层看是这样的.

[adrianzhang]

@lanthora 好的。很乐意试试

[yingyueqingquan]

我是在国内组网使用的，没出国外，同时使用 wireguard 和 candy ，candy 的 windows 命令行客户端不是很稳定，一天会掉线几次，一有报错就自动退出，感觉没有重新协商上线机制，我用的 nssm 保活，在 docker 服务端看到重上线。同时 wireguard 就没有问题。

[yingyueqingquan]

candy 优势在于不像 wireguard 容易被抓包软件和 dpi 识别出是 vpn ，模拟了 wss 流量。另外好像 candy 不能把流量转发出去，只能在几个 vpn 节点的 ip 间流传？我当时在 windows 和另一个 openwrt 节点互相添加了对方路由，但是访问不了对方。

[smallparking]

tailscale 的 acl 我是刚需，不知道你这个有没有

[lanthora]

@yingyueqingquan 看样子你应该是一个很早期的用户了,你提到的问题应该都已经解决了.

客户端的设计的是如果没法正常收到心跳就退出进程.现在的 GUI 能够做到再不退出进程的情况下重连,如果是用命令行的话,可以用 --restart=x 参数,x 指重连的时间间隔.也可以不退出进程了

candy 不是在模拟 wss 流量,它就是真正的 wss 流量.

最近的版本也能把流量转发出去了.就是最上面提到的多个局域网组网,可以在最新版本的服务端里看到相关的参数.