Tailcat : des tunnels sécurisés en 10 secondes, sans compte

Comment ça marche

Tailcat isole les deux couches de Tailscale : il jette le plan de contrôle (comptes, gestion centralisée) et garde juste le plan de données (magicsock, WireGuard, DERP). Résultat : tu as l'équivalent technique d'un tunnel pair-à-pair très fiable, mais configuré à la main.

Un côté démarre le serveur et récupère un token unique (ex: tcomFwWCCcjS5nKNqAod034nWoJZW0LZqDhhC8U_dKdnDRYQ8uNGFpGQEu). L'autre côté passe ce token à la commande client — hop, c'est connecté.

Le trafic est chiffré bout-à-bout, démarre par un relay DERP (le service gratuit de Tailscale), puis magicsock essaie de trouver un chemin direct P2P en UDP si ton NAT le permet (ça marche dans 90% des cas). Si le chemin direct échoue, le relay prend le relais définitivement — tu as la connexion de toute façon.

Les usages

Partager du stdin/stdout :

# Serveur
$ tailcat
# 🐈 Server listening: tcomFwWCCcjS5nKNqAod034nWoJZW0LZqDhhC8U_dKdnDRYQ8uNGFpGQEu

# Client (autre machine)
$ echo hello | tailcat tcomFwWCCcjS5nKNqAod034nWoJZW0LZqDhhC8U_dKdnDRYQ8uNGFpGQEu

C'est netcat sur WireGuard. Tu pipes des données entre deux machines sans rien configurer.

Exposer des ports locaux :

$ tailcat --serve=8080,8443

Le client se connecte et peut faire curl http://localhost:8080 comme si le serveur était local.

SSH sans authentification :

$ tailcat --serve=no-auth-ssh
$ tailcat ssh [token]

Utile pour du débogage rapide entre collègues. Si tu veux garder SSH classique sécurisé, tu peux servir le port 22 et filtrer les clients avec --allow=[clé publique].

Proxy SOCKS5 :

$ tailcat socks [token]
$ curl http://localhost:8081 via the tunnel

Tout ce qui sort du proxy passe par le tunnel.

Gestion des clés : par défaut, chaque exécution génère une clé éphémère en mémoire (perdue à l'arrêt du processus). Tu peux aussi générer une clé persistante avec tailcat genkey pour que le token reste stable. Elle est sauvée en local, pas envoyée nulle part.

Les limites honnêtes

C'est un outil pour les équipes techniques, pas pour servir des utilisateurs finaux — les tokens sont sensibles (c'est l'équivalent d'une clé privée partagée). Les enregistrements DNS TXT aident un peu (tu publies le token dans un enregistrement A), mais ça ne remplace pas une vraie authentification.

Les tokens sont sensibles à la casse, donc ça casse dans les navigateurs. Et tu dépends toujours du réseau DERP gratuit de Tailscale (ou tu dois héberger le tien).

Pourquoi c'est utile

Tu évites des couches entières : pas de VPN lourd, pas de redirection de port, pas d'ouverture de pare-feu, pas de compte. Juste deux machines qui se parlent directement et en sécurité. Parfait pour du débogage distant, des démos, des transferts de données sensibles entre devs, ou des accès SSH d'urgence sans la bureaucratie.