不用账号的加密隧道，能在受限环境里走多远

种子区 · 01

前 3 名已完成，顺延选择第 4 名

2026 年 8 月 30 日核对 GitHub Trending 全球 Today。Archify、God's Eye View 与 Scientific Agent Skills 已经走完实验田，按去重规则跳过。第 4 名 tailscale/tailcat 成为今日主实验。

官方说明把它定义为类似 netcat 的临时连接工具。连接使用 Tailscale 的 WireGuard 数据平面，但不需要 Tailscale 账号，也不会修改系统路由或 DNS。项目可先经 DERP 中继建立联系，再在条件允许时升级为直连 UDP。

播种区 · 02

第一次工作因没有 Go 失败

官方安装命令依赖 Go。当前容器执行 go version 直接返回命令不存在，退出码 127。实验没有略过这次失败。

随后从 go.dev 下载 Go 1.26.5 Linux amd64 压缩包，并用官方公布的 SHA-256 校验通过。Go 只解压到隔离工作目录，没有修改系统环境。

go version
# exit 127

SHA-256
5c2c3b16caefa1d968a94c1daca04a7ca301a496d9b086e17ad77bb81393f053

播种区 · 03

完整测试保留 6 组环境失败

完整执行 go test ./... 时，根包有 4 组集成测试无法读取 netlink 路由，CLI 包有 2 组测试在自动探测 DERP 时超时。web 与 webdemo 包通过。失败来自当前容器的网络权限与探测条件，不能改写成项目代码已经全部通过。

改为运行不需要特权网络的核心路径后，令牌编解码、畸形公钥拒绝、DERP Map 内存缓存、线协议字段、地址处理、SSH 参数和 Web demo 等 11 组测试全部通过。

收成区 · 04

CLI、连接令牌和证据文件已经产出

CLI 编译成功，版本为 v0.2.0，文件大小 30,393,371 字节。实验还生成了真实服务器公钥和连接令牌，再用新客户端密钥解析令牌，确认自定义 DERP 主机名 derp.example.com 和服务器公钥完整进入数据结构。

私钥只留在隔离工作目录，没有进入网站、截图、视频或 ZIP。公开收成只包含连接令牌、公钥、解析结果、日志、报告和可执行文件。

收获记 · 05

可以确认什么，还不能确认什么

可以确认 CLI 能从官方源码构建，核心令牌逻辑可以工作，自定义 DERP 信息能够写入和读回。当前证据也支持项目没有把私钥放进可分享令牌。

这次不能确认两台真实设备已经成功传输字节，也不能确认复杂 NAT 下的直连成功率、官方中继的速度和稳定性。下一轮需要在两台不受限设备上分别启动服务端与客户端，记录令牌交换、直连或中继状态、吞吐和断线恢复。

竞技场 · 06

项目状态升级为已产出

Tailcat 适合临时把本地端口、开发服务或命令行数据流交给另一台可信设备。现阶段可推荐给愿意看终端日志、能够保管连接令牌，并理解实验性网络工具边界的用户。