La nueva Internet según Tailscale
(tailscale.com)- Tailscale quiere crear una nueva capa 3 del modelo OSI, donde todos los dispositivos se conecten directamente y de forma segura, para que los desarrolladores no queden atrapados en arquitecturas centradas en la escalabilidad innecesaria
- Considera que muchos programas en realidad no necesitan escalar a gran escala, pero que Kubernetes, el despliegue de contenedores y la recopilación de logs en la nube se volvieron la opción predeterminada, haciendo más lentos el desarrollo y la operación
- La escasez de IPv4, NAT, los firewalls, las IP dinámicas y la estructura de certificados TLS separan a clientes y servidores, y colocan a proveedores de nube centralizados como AWS en el centro de la conectividad
- Tailscale busca dar a cada dispositivo un certificado, una dirección IP, un nombre DNS, cifrado de extremo a extremo e identidad, para conectarlos de forma segura incluso detrás de firewalls y convertir todos los dispositivos en pares
- La transferencia de archivos de Taildrop basada en HTTP PUT muestra que se pueden reducir las capas intermedias de la nube, pero para que surja un ecosistema de apps así primero se necesita una adopción suficiente
El punto de partida de la visión de Tailscale
- Tailscale no ha hablado públicamente demasiado de una visión más amplia que sus funciones de corto plazo, pero algunas empresas compran Tailscale no solo por sus capacidades actuales, sino por la conectividad que podrá habilitar en el futuro
- La inquietud inicial no era convertirse en una empresa de networking, sino el deterioro de la experiencia de desarrollo cuando los desarrolladores intentan escalar incluso aquello que no necesita escalar
- La generación que recuerda la experiencia de las LAN de los años 90 forma parte del contexto de la fundación de Tailscale, y esa experiencia sirve como punto de comparación frente a la complejidad tecnológica actual
- El rendimiento de las computadoras, la accesibilidad de la programación, las tiendas de apps, los sistemas de pago y los gráficos mejoraron, pero se considera que muchas tareas cotidianas de los desarrolladores que antes eran fáciles ahora se volvieron más difíciles
El overhead de desarrollo creado por la escalabilidad innecesaria
- A los desarrolladores modernos se los entrena para pensar en una escala de 1.000 millones de usuarios incluso antes de escribir la primera línea de código, y las elecciones de algoritmos y arquitectura tienden a priorizar la posibilidad de escalar
- Si se aplica mal la notación big-O, puede parecer que una tabla hash siempre es más rápida que un arreglo, pero con unas 10 entradas un arreglo puede ser más rápido y simple
- Elegir una estructura escalable puede producir un sistema más lento y más difícil de construir si en realidad nunca se escala
- El caso de atender 500.000 pageviews mensuales con Kubernetes equivale aproximadamente a 0,2 requests por segundo, y se compara con el hecho de que incluso las computadoras lentas de los años 90 podían iniciar programas en Perl o Python en milisegundos y procesar más requests que eso
- Builds largos, builds de Docker, subidas a repositorios de contenedores, despliegues que tardan de decenas de segundos a minutos y logs que llegan tarde se agrupan como overhead nacido de la premisa de que “todo debe escalar”
- Tailscale se posiciona como una herramienta para crear con facilidad trabajos de cola larga que no necesitan escalar, como dashboards o generadores de memes, en los que todos los desarrolladores gastan una parte considerable de su tiempo
Cómo la Internet actual aumenta la complejidad
- Mucha complejidad se considera no esencial, sino el resultado de aplicar soluciones complejas a problemas que podrían resolverse de manera simple
- Un sistema de logs consiste en transmitir texto de un lugar a otro, pero el resultado puede verse 5 minutos después
- Un sistema de orquestación es un programa que ejecuta otros programas, algo que el kernel de Unix lleva décadas resolviendo en milisegundos
- El networking es esencial para el software moderno, pero la Internet actual dificulta muchos problemas
- Tailscale no busca ocultar los problemas agregando una capa por encima del stack OSI existente, sino crear una nueva capa 3 del modelo OSI basada en supuestos distintos
Centralización de la nube y la renta de la conectividad
- Al observar quién puede cobrar renta en la industria tecnológica se ven los cuellos de botella, y se considera que en la distribución de software actual AWS ocupa esa posición
- La nube ofrece recursos de cómputo escalables, pero se compara con que incluso una MacBook de gama media puede manejar 10 o 100 veces más transacciones por segundo desde su SSD que un disco local en la nube
- La razón por la que una computadora propia difícilmente puede convertirse en servidor es la ubicación y la conectividad
- Hay firewalls, NAT, IP dinámicas y enlaces de red asimétricos
- Se pueden configurar manualmente port forwarding, IP estáticas y enlaces de Internet redundantes, pero eso requiere mucho trabajo y conocimiento especializado
- Al final se termina pagando a un proveedor de hosting que tenga direcciones IP y ancho de banda, y una empresa seria elegirá un gran proveedor al que pueda confiarle el acceso al hardware
- La idea de que “a nadie lo despiden por comprar AWS” se vincula con la antigua frase sobre IBM
El gatekeeper que pasó del sistema operativo a HTTPS
- IBM podía cobrar renta en la computación centralizada, y Microsoft alteró ese esquema con la computación distribuida basada en PCs
- Se considera que el mundo actual, centrado en la nube y los celulares, volvió a ser centralizado
- Los dispositivos del escritorio y el bolsillo son de nivel supercomputadora según los estándares de hace 20 años, pero si AWS se cae se vuelven ladrillos inutilizables
- Aunque existan múltiples instancias de servidores y sistemas de consenso distribuido, la mayoría se ejecuta sobre proveedores de nube centralizados
- En los años 90, el sistema operativo determinaba la compatibilidad y conexión entre programas, pero después de la web se volvieron más importantes JavaScript y la posibilidad de conectarse por HTTPS
- HTTPS tiene por defecto una estructura centralizada de cliente y servidor
- El servidor tiene una IP estática, un nombre DNS, un certificado TLS y puertos abiertos
- El cliente por lo general no tiene esos elementos
- Si el servidor desaparece, el cliente no puede hacer nada
- Por problemas de seguridad y escasez de direcciones IPv4 se agregaron firewalls y NAT, y la conexión quedó como una estructura unidireccional que va del cliente al servidor
La New Internet de Tailscale
- Durante los últimos 5 años, Tailscale ha construido su producto como solución a este problema
- Cada dispositivo tiene un certificado, una dirección IP, un nombre DNS, cifrado de extremo a extremo e identidad, y sortea firewalls de forma segura
- Todos los dispositivos pueden ser pares conectados entre sí, no roles fijos de servidor y cliente
- Tailscale considera que hace esto sin sumar latencia ni overhead
- Los usuarios de Tailscale ya experimentan un entorno que elimina varias capas complejas, y en el que Internet se comporta de una forma más cercana a lo que originalmente se esperaba de ella
La simplificación que muestra Taildrop
- Taildrop es un pequeño ejemplo de la arquitectura que Tailscale hace posible
- Con Tailscale ya instalado, el núcleo de Taildrop es un solo HTTP PUT
- El emisor envía una solicitud HTTP al receptor
- Avisa que “envía el archivo X”
- Transfiere el archivo
- En la Internet tradicional, como el dispositivo receptor está detrás de un firewall y no tiene puertos abiertos ni identidad, se necesitaba subir el archivo a la nube y luego volver a descargarlo
- El enfoque a través de la nube crea varias capas adicionales
- Genera costos de egreso de red, almacenamiento y CPU de servidor
- Hay que decidir cuándo borrar archivos que no fueron descargados
- El servidor debe mantenerse online incluso cuando no se usa
- Como empleados de la nube podrían acceder teóricamente a los archivos, se necesita cifrado
- Para cifrar se necesita intercambio de claves entre emisor y receptor
- Para avisar al receptor que hay un archivo en espera, puede hacer falta un sistema de notificaciones push específico de cada plataforma
- Taildrop permite transferencias de archivos gratuitas porque desaparece este overhead de costos, lo que se conecta con el contexto del plan gratuito de Tailscale
Por qué se necesita adopción
- Taildrop es un ejemplo pequeño, pero funciona como prueba de existencia de una categoría de programas que podrían volverse 10 veces más fáciles con Tailscale
- La falta de conectividad genera centralización, y la centralización obliga a pagar renta incluso por programas pequeños, creando arquitecturas lentas, complejas y difíciles de depurar
- Para que existan apps que funcionen solo sobre Tailscale, tiene que haber suficiente gente usando Tailscale
- Si no hay suficiente adopción, surge un problema del huevo y la gallina en el que nadie crea esas apps
- Por eso Tailscale dedica mucho esfuerzo a ofrecer un plan gratuito y, al mismo tiempo, a funciones empresariales que faciliten la adopción en el trabajo y los despliegues en toda una empresa Fortune 500
Objetivo y posición actual
- Internet es para todos, y aunque en el pasado hubo varias internetworks, se considera que ganó la Internet más diversa e inclusiva
- La New Internet también debe poder ser usada por desarrolladores en casa, desarrolladores en universidades, empleados de empresas y, en última instancia, por todas las personas
- Actualmente, aproximadamente 1 de cada 30.000 personas en el mundo usa la New Internet, es decir, Tailscale
- Tailscale plantea como objetivo no detenerse hasta que todo el mundo pueda usarla
- Al recordar la época en que se ridiculizaba a Microsoft por su objetivo de poner una computadora en cada escritorio, y cuando TCP/IP era una función opcional adicional que había que comprar a terceros, se destaca que el mundo tecnológico puede cambiar rápidamente incluso en 30 años
1 comentarios
Opiniones en Hacker News
El problema eterno de empresas como Tailscale, Cloudflare y Google es que, al resolver en lugar de Internet problemas que Internet originalmente debería haber resuelto por sí misma —por ejemplo, conexiones seguras simples de extremo a extremo—, aparece un incentivo para que ese problema siga existiendo.
Lo que Internet necesita es algo como IPv6 con una infraestructura de clave pública como la que ofrece DNSSEC y cifrado automático con IPsec, pero si algo así se implementara de forma ampliamente compatible, el negocio de Tailscale se vendría abajo.
Al final, sus negocios dependen de que el problema siga existiendo.
Republicación: https://news.ycombinator.com/item?id=38570370
IPv6 salió en 1998, y durante los 21 años hasta que Tailscale se lanzó en 2019, tampoco se implementó lo que se describe.
¿Quién lo impidió entonces y quién lo impide ahora? Google, Cloudflare y Tailscale recibieron dinero, o algo equivalente al dinero como datos personales, porque resolvieron problemas reales.
Cuesta estar de acuerdo con una especie de aceleracionismo inverso según el cual hay que empeorar Internet para todos para que aparezca una solución verdaderamente buena.
No es Tailscale lo que impide que surja esa solución, sino la enorme cantidad de trabajo necesaria para construirla; y si no hubiera existido WireGuard, probablemente tampoco habría existido Tailscale.
Con la aparición de Tailscale también apareció Headscale, que se vuelve otro peldaño más para construir ese “algo” del que hablas.
Dicho en pocas palabras, la estructura consiste en que Tailscale se sienta en medio mientras los dispositivos se encuentran entre sí.
Hay otras formas de hacerlo. El DNS dinámico, que asigna un nombre permanente a un dispositivo que solo tiene una IP temporal, existe desde hace décadas, aunque no goza de muy buena reputación.
También se podría usar un conjunto de nodos de coordinación que se conocen entre sí y una lista pública de nodos. Aunque la lista quede desactualizada, basta con un nodo vivo para conectarse y actualizarla; Kademlia, que es la base de la red Ethereum y de algunos sistemas de intercambio de archivos, funciona así.
También es posible un punto intermedio que separe búsqueda y transferencia. Peertube encuentra, mediante búsqueda web normal, archivos para transmitir por HTTP desde servidores, mientras que la transferencia real se hace de forma distribuida: los espectadores actuales se envían bloques entre sí, por lo que escala bien aunque un video se vuelva viral.
Así que es perfectamente posible hacerlo de una forma en la que nadie pueda cortar el suministro de oxígeno desde el medio.
Los protocolos VPN antiguos o métodos de autenticación como RADIUS tienen agujeros de seguridad graves y aun así son difíciles de arreglar por compatibilidad, y eso que funcionan a una escala muchísimo menor que todo Internet.
Dice mucho que la industria esté resolviendo el problema de la osificación de TCP abandonando TCP y reimplementándolo sobre UDP.
El servicio de ubicación también se puede autoalojar si uno quiere, así que no es obligatorio usar el servicio.
Salvo por DNSSEC, se parece bastante a lo que se pedía.
Ese valor no desaparece porque exista IPsec.
Empieza con una larguísima queja contra el control centralizado que extrae rentas, y en sí misma es una queja válida.
Pero luego se mete en discusiones aparte, como si la computación cliente-servidor tiene sentido o si es la causa de la búsqueda de rentas, y termina llegando a la conclusión de que “mañana habrá una división entre quienes tienen Tailscale y quienes no”.
Suena a: murió el rey, viva el nuevo rey.
Es tan pequeña y simple que hasta yo, que no soy programador, puedo arreglarla.
Como no todo el mundo tiene en Internet una IP accesible directamente y sin firewall, también se puede usar cliente-servidor para lograr peer-to-peer.
Tal vez haya que montar un “supernodo” en un servidor de una empresa de hosting, pero si se usa solo como servidor de rendezvous, el tráfico no pasa por ahí y el costo es bajo.
Siempre sospecho mucho de las empresas que intentan competir con lo “gratis”: deja de usar software gratuito y págannos a nosotros; a cambio le agregamos 100 funciones innecesarias.
Como Slack, esta estrategia empresarial puede tener éxito a corto plazo, pero ese tipo de suscripciones no va conmigo.
Creo que el punto central no es cliente-servidor frente a peer-to-peer, sino propietario frente a no propietario.
Si no se convierten en un gigante del nivel de Microsoft en menos de 10 años, creo que eso será difícil de recibir bien.
En su momento era una herramienta realmente excelente y fácil para diseñar y configurar redes privadas personales. Permitía con facilidad compartir archivos, jugar por LAN local, colaborar en desarrollo e incluso hacer streaming de medios.
El futuro del peer-to-peer parece estar más cerca no tanto de Tailscale, sino de una variante autoalojada de Hamachi que agrupe de forma general nodos detrás de distintos NAT y ASN, y que entienda técnicas de evasión de NAT, STUN/TURN y turtle routing.
Una herramienta que permita a usuarios remotos unirse fácilmente sin una gateway VPN central sería una capacidad potente en el entorno moderno.
Sería bueno que todos aprendiéramos y aplicáramos Iceberg Articles: https://john.kozubik.com/pub/IcebergArticle/tip.html
En la práctica usamos Tailscale en sistemas de producción. Los servidores están físicamente cerca o en otras ubicaciones controladas, y cientos de usuarios a cientos de kilómetros de distancia trabajan todos mediante Tailscale.
Hay que decir dos cosas. Tailscale es sorprendente y realmente bueno. Este sistema no podría haber existido sin Tailscale, o habríamos necesitado al menos 10 personas más en el equipo para operarlo 24/7.
Pero hay que bajar las expectativas. No es tan bueno como “Internet”. La latencia se dispara periódicamente, la conexión se corta de vez en cuando y MagicDNS se detiene literalmente como por arte de magia o entra en conflicto con el sistema.
Como tenemos muchos usuarios, ya pasamos por casi todos los problemas posibles, y mañana podría aparecer otro nuevo.
Aun así, creo en Tailscale y en su visión. Es un enfoque completamente nuevo que te da control sobre el hardware, a la vez que reduce costos y aumenta la seguridad.
Nuestro primer servidor grande de producción fue una laptop Linux de 4 núcleos.
Yo también uso bien Tailscale para autoalojamiento interno, pero nunca se me ocurrió usarlo para un servicio público de producción, así que me da curiosidad la configuración.
Me gusta Tailscale, pero este artículo da escalofríos.
Internet tuvo éxito porque se construyó sobre estándares y fue completamente libre.
En Tailscale, WireGuard es open source y también existen cosas como Headscale, pero ¿la estructura de “todos tienen una IP” no depende de que Tailscale posea un enorme espacio de direcciones IP?
Si hay que esperar a una adopción completa de IPv6, o depender de IPv4 centralizado, servidores y cosas propietarias, se ve un poco hipócrita.
No tiene paridad completa de funciones con Tailscale, pero soporta la mayoría de las funciones actuales y mejora todos los días.
Si no recuerdo mal, uno de los desarrolladores principales trabaja en ello con sueldo de Tailscale.
Lo uso en mi infraestructura personal autoalojada y funciona muy bien. Configurar una URL personalizada del servidor de control también fue relativamente fácil en Windows y Android.
También uso taildrop y expongo contenedores Docker a la tailnet; Headscale funciona lo suficientemente bien como para que valga la pena probarlo.
El espacio IP necesario solo tiene que ser del tamaño del foso más grande, y solo puedes conectarte a un foso a la vez.
Me gusta Tailscale, pero este artículo se lee demasiado autocelebratorio.
Es un producto de VPN mesh con servicios adicionales encima, y en sí mismo es excelente, pero no es una idea nueva ni única.
¿Por qué esta solución tendría que ser la nueva Internet y no alguna de las otras alternativas?
En cualquier caso, no quiero depender de una sola empresa para toda la infraestructura de Internet. Por eso seguiré usando la Internet tradicional, aunque sea compleja.
Los grandes problemas son más sociales que técnicos, y una tecnología nueva no los va a resolver.
Tomando las redes sociales como ejemplo, puedo imaginar un mundo donde Facebook/Twitter/TikTok/YouTube/Reddit/HN funcionen con la fluidez de BitTorrent.
La app en mi computadora participa en la red “Facebook”, mis amigos ven que estoy en línea a través de sus propias instancias de la app, y mi feed y mi muro se sirven directamente desde mi dispositivo.
Es una arquitectura en la que 2 personas, 1000 personas o millones de personas se comunican directamente, sin un servidor central.
BitTorrent, Soulseek, Bitcoin y otras redes peer-to-peer ya demostraron que es posible.
Pero si quieres que sea tan fluido como entrar a facebook.com, aparecen problemas técnicos por todas partes. La primera gran barrera es una conexión peer-to-peer fluida que no requiera port forwarding, DNS dinámico ni conocimientos avanzados de redes, seguridad y administración de sistemas.
Qué hacer si un nodo está offline; cómo manejar latencia y carga cuando tienes que conectarte a miles, decenas de miles o millones de equipos para traer un feed; cómo cachear; cómo empujar actualizaciones y notificaciones; cómo se comunican nodos muy antiguos entre sí; dónde se almacenan los datos; cómo manejar descubrimiento y seguridad: todo eso son problemas técnicos.
La mayoría se puede resolver, pero llegar a una experiencia tan fácil que cualquiera pueda usarla como un servicio centralizado requiere un enorme esfuerzo para resolverlos uno por uno.
El Fediverse lleva más de 10 años resolviendo una pequeña parte de este problema, pero incluso hoy hace falta un administrador de sistemas bastante competente para ofrecer una experiencia similar, o un poco peor, que twitter.com.
¿No se suponía que Yggdrasil iba a ser la nueva Internet? https://yggdrasil-network.github.io
Si no, ¿por qué específicamente Tailscale y no Netbird, Nebula, Netmaker u otro competidor?
El artículo está muy bien escrito, pero deja una sensación rara de que se acerca algo como una adquisición, transición, spin-off o cierre. Eso de “esto recién empieza” también suena como famosas últimas palabras.
Para equilibrar, como usuario de Tailscale estoy satisfecho y me impresionó que simplemente funcione sin que tenga que preocuparme demasiado.
Pero aunque funciona bien, hay que tener en cuenta que todavía es un proyecto de investigación.
Realmente disfruto y agradezco usar el servicio de Tailscale, pero este artículo no me llegó
También me gustan los discursos inspiradores de un CEO para unir al equipo, y coincido en que en la computación hay una cantidad absurda de fricción y complejidad para los desarrolladores, pero Tailscale también tiene su propia fricción y no va en una dirección que resuelva en absoluto el problema de fondo
Hace unas semanas invité a mi padre a mi tailnet para intentar arreglarle un problema de la computadora con escritorio remoto. Él aceptó la invitación y en la interfaz web del dominio de TS aparecía el dispositivo, pero no se le podía hacer ping
Ahora mi padre odia Tailscale y, como yo le había dicho que era genial, mi credibilidad también bajó. A sus ojos, le hice perder el tiempo con algo que “no funciona bien”
Es bastante contraintuitivo. La función de organización no es para ese uso; en su lugar, cada persona debe crear su propio tailnet y conectarlos entre sí
Referencia: https://github.com/tailscale/tailscale/issues/10731
Para este tipo de uso, herramientas como TeamViewer o AnyDesk son las adecuadas
Creo que el autor diagnosticó mal el problema, y que la solución propuesta no elimina la centralización, solo la oculta
AWS es caro no por IPv4 ni por los centros de datos, sino principalmente por el software, los servicios administrados y la capacidad de agregar servidores rápidamente
Si una “empresa seria” no quiere pagarle a AWS o a una compañía similar, puede alquilar un rack y colocar sus propios servidores en colocation, y muchas empresas de hecho lo hacen
No estoy de acuerdo con que los certificados hayan creado centralización. Los certificados no dividen entre quienes tienen y quienes no tienen, ni son comparables con tener o no un mainframe
Que HTTPS se haya vuelto prácticamente obligatorio no hizo que la gente tuviera su propio dominio o subdominio; eso ya ocurría por conveniencia
Otro punto de centralización que aparece es DNS, pero Tailscale no evita DNS en absoluto. MagicDNS también depende de la raíz de ICANN, y el plano de control de Tailscale también
Si lo único que necesitas es un subdominio gratuito, hay muchos lugares que lo ofrecen
Si estás detrás de CGNAT, una tailnet tampoco es particularmente menos centralizada, porque el tráfico tiene que pasar por servidores DERP
Si el volumen de tráfico pasa de Gbps a Tbps, dudo que Tailscale pueda seguir ofreciendo eso gratis
Estoy de acuerdo en que una solución similar a Tailscale ayuda en el último caso que queda para acceder a computadoras detrás de NAT, y podría llegar a decenas de millones de usuarios
Pero eso por sí solo no alcanza para reclamar el título de nuevo Internet
El artículo también señala que esa suposición es incorrecta
Por supuesto, esta idea no es nueva
IPv6 estaba pensado para dar conectividad de extremo a extremo a todo el mundo, e IPsec originalmente iba a ser un componente obligatorio de IPv6 para otorgar una identidad criptográfica a cada host de Internet
Usar IPv6 junto con WireGuard permite obtener privacidad, seguridad y rendimiento. La desventaja es la complejidad de configuración
Tailscale está parado sobre hombros de gigantes. IPv4, WireGuard, el NAT punching de Samy Kamkar, OpenSSH y seguramente muchos más
Su ventaja es que los combinó y que su interfaz de administración es, en general, sencilla
Dicho eso, lo que se dice sobre las autoridades certificadoras también aplica a Tailscale. Ambos terminan ofreciendo un servicio propietario usando software libre y de código abierto
Aun así, no es un gran problema porque casi todo está construido sobre software libre y de código abierto, también existe Headscale, y Tailscale parece verlo con buenos ojos
Es una desventaja, pero no la principal, y en la práctica casi no hay dependencia del proveedor. Desde el punto de vista del negocio y del soporte, incluso podría ser una ventaja
La premisa del artículo era realmente buena hasta el último párrafo, donde tuve que volver a leer
Es cierto que Tailscale vuelve a hacer que Internet sea fácil, pero todavía tienes que depender de un arrendador
En Internet eso no era necesario, y aún hoy no lo es estrictamente. Aunque muchas cosas se hayan centralizado, incluso hoy, con solo un enlace, puedes conectarte a cualquier servidor del mundo
La respuesta en contra es el autohosting de Headscale, mencionado también en otros lugares: https://github.com/juanfont/headscale
Con solo cambiar algunas configuraciones funciona con el cliente estándar de Tailscale, y yo mismo lo uso