References: Gemini 2.5 Pro
本文对比一下 Tailscale、ZeroTier 和 WireGuard 这三个流行的虚拟网络/VPN 解决方案。
需要明确一点：
- WireGuard 是一个现代、快速、简单的 VPN 协议。它本身只负责建立安全的点对点隧道，不包含用户管理、密钥分发、NAT 穿透等便捷功能。
- Tailscale 和 ZeroTier 都是基于特定技术（Tailscale 基于 WireGuard，ZeroTier 有自己的协议）构建的完整解决方案或服务。它们旨在简化虚拟网络的创建和管理，内置了用户认证、设备管理、NAT 穿透等功能。
关键特性对比
以下是它们的详细对比：
| 特性 | Tailscale | ZeroTier | WireGuard (协议本身) |
|---|---|---|---|
| 核心技术 | 基于 WireGuard 协议 | 自有协议 (类似 L2 虚拟交换机) | WireGuard 协议 |
| 易用性/设置 | 非常高：通过 SSO (Google/Microsoft/GitHub 等) 登录，自动配置和密钥管理。 | 高：创建网络，安装客户端，加入网络即可。需要手动授权设备。 | 低：需要手动生成密钥对、交换公钥、配置 IP 地址和路由。 |
| 管理方式 | 中心化控制平面：Tailscale 服务器（官方托管）或自托管 Headscale 管理设备、ACL 等。 | 中心化控制平面：ZeroTier Central (官方托管) 或自托管 Controller 管理网络、成员、规则等。 | 去中心化：每个节点独立配置，没有中央管理点。 |
| NAT 穿透 | 优秀：使用 ICE (STUN/TURN) 和 DERP 中继服务器，穿透成功率高。 | 优秀：使用 UDP 打洞和中继服务器，穿透能力强。 | 基本/无：协议本身不处理 NAT 穿透，需要手动端口转发或依赖其他工具。 |
| 网络模型 | 点对点 Mesh 网络 (设备间尽可能直连，失败则通过 DERP 中继)。更像 L3 网络。 | 虚拟 L2 以太网 (支持广播/多播)。更像一个虚拟交换机。 | 点对点隧道。 |
| 性能 | 非常高：继承 WireGuard 的高性能，中继时会有损耗。 | 高：性能良好，但协议开销通常略高于 WireGuard。 | 非常高：协议简洁，内核态实现，开销极小。 |
| 安全性 | 基于 WireGuard 的强加密。通过身份提供商进行认证。ACL 控制访问。 | 自有加密协议。通过网络 ID 和管理员授权控制成员。规则引擎可定义 L2/L3 策略。 | 现代、公认的强加密 (ChaCha20, Poly1305)。基于公钥认证。 |
| 灵活性/定制 | 中等：专注于简化连接，配置选项相对较少，但够用。 | 高：提供虚拟 L2 网络，更灵活地构建复杂网络拓扑，规则引擎强大。 | 非常高：完全控制配置的方方面面，但需要专业知识。 |
| 跨平台 | 广泛支持 (Linux, Windows, macOS, iOS, Android, Synology 等) | 广泛支持 (Linux, Windows, macOS, iOS, Android, NAS 等) | 广泛支持 (内核集成或用户态实现) |
| 开源情况 | 客户端开源。官方控制平面闭源，但有开源替代 Headscale。 | 核心和 Controller 开源，可完全自托管。 | 完全开源。 |
| 价格模式 | Freemium：免费版功能慷慨 (个人用户足够)，提供付费订阅计划。 | Freemium：免费版限制网络成员数量 (25 个)，提供付费订阅计划。 | 完全免费 (协议本身)。 |
| 主要使用场景 | 个人设备互联、小型团队远程访问、简单的站点到站点连接、替代传统 VPN。 | 创建复杂的虚拟局域网、IoT 设备连接、需要 L2 功能 (如广播) 的场景、跨地域组网。 | 作为 VPN 协议的基础、性能要求极高的点对点连接、需要完全控制和透明度的场景。 |
总结和选择建议：
选择 WireGuard (原生)：
- 如果你对网络有深入了解，不介意手动配置。
- 追求极致的性能和完全的控制权。
- 只需要建立简单的点对点或 Hub-Spoke VPN。
- 想将其作为底层协议构建自己的解决方案。
选择 Tailscale：
- 你最看重 简单易用，希望“开箱即用”。
- 需要将分散在各处的个人设备或小团队设备安全地连接起来。
- 依赖 Google/Microsoft/GitHub 等账号进行认证。
- 对 WireGuard 的高性能感兴趣，但不想手动配置。
- 可以接受官方的控制平面（或者有能力自托管 Headscale）。
选择 ZeroTier：
- 你需要创建一个功能更像物理局域网的虚拟网络 (需要 L2 功能，如设备发现、广播等)。
- 需要更精细的网络规则控制 (ZeroTier 的规则引擎更强大)。
- 希望有一个可以完全自托管的、包含控制器的开源解决方案。
- 对网络成员数量有要求（免费版有限制）。
简单来说：
- 要 简单连接设备 -> Tailscale
- 要 构建虚拟局域网 (特别是需要 L2 功能) -> ZeroTier
- 要 基础协议、高性能、完全控制 -> WireGuard
Tailscale 和 ZeroTier 解决了 WireGuard 原生配置复杂和缺乏管理功能的问题，但引入了中心化的控制平面（尽管可以自托管）。你需要根据自己的具体需求、技术能力和对中心化/易用性的偏好来做出选择。
自托管效能对比
我们来深入对比一下这三者在自托管（Self-Hosted）场景下的情况。
这里需要明确：
- 自托管 Tailscale：通常指使用 Headscale 作为开源的、自托管的 Tailscale 控制服务器。客户端仍然使用官方 Tailscale 客户端。可能还需要自托管 DERP 中继服务器以优化 NAT 穿透和性能。
- 自托管 ZeroTier：指使用官方提供的源码或容器部署 ZeroTier Network Controller。客户端使用官方 ZeroTier 客户端。可能还需要自托管 Moons（根服务器/中继）以提升连接稳定性和性能。
- 自托管 WireGuard：通常指不依赖任何中心化控制平面，手动配置所有 WireGuard 节点，或者使用一些简单的第三方 UI/工具（如
wg-easy,WireGuard UI等）来辅助管理配置文件和密钥，但这本质上还是点对点配置的延伸，没有像 Headscale 或 ZeroTier Controller 那样的动态协调能力。
自托管场景对比：
| 特性 | Headscale (自托管 Tailscale) | 自托管 ZeroTier Controller | 手动 WireGuard / 简单管理 UI |
| 易用性 (设置) | 中等：部署 Headscale (二进制/Docker)，配置数据库，可能需要反向代理。需要 Linux/容器知识。官方文档和社区支持较好。 | 中等到困难：部署 Controller (二进制/Docker)，配置较为复杂，需要理解其网络和身份概念。文档相对 Headscale 可能略少或分散。 | 非常困难 (纯手动) / 中等 (用 UI)：纯手动极繁琐。简单 UI 降低了密钥/配置生成难度，但网络拓扑和路由仍需较多手动干预。 |
| 易用性 (客户端添加/管理) | 较容易：客户端使用 tailscale login --login-server <headscale_url> 指向自建服务器，通过 Headscale CLI 或 Web UI 授权。 | 中等：客户端加入网络 ID，需要在 Controller UI/API 手动授权每个设备。流程相对 Headscale 稍繁琐。 | 困难：需要手动在每个相关节点上添加对端公钥、IP、路由等信息。极易出错且耗时。 |
| 性能 (数据平面) | 优异：基于 WireGuard，P2P 直连性能极佳。若通过自托管 DERP 中继，性能取决于中继服务器的配置和网络。 | 良好：P2P 直连性能好，但协议开销比 WireGuard 稍大。通过自托管 Moons 中继，性能取决于 Moon 服务器。 | 最优异：纯 WireGuard 隧道，无额外开销，性能仅受限于硬件和网络路径。 |
| 灵活性 | 中等：专注于 L3 连接和 ACL 访问控制。支持子网路由、出口节点。缺乏 L2 功能。配置相对标准化。 | 高：提供虚拟 L2 网络，支持广播/多播，规则引擎强大，可实现复杂的网络拓扑和策略。 | 非常高：完全控制所有网络参数、路由、防火墙规则。可以构建任何拓扑，但一切都需要手动实现。 |
| 拓展性 (Scalability) | 良好：Headscale 设计上可支持大量设备。可通过优化数据库、部署多个 Headscale 实例和自建 DERP 网络来扩展。 | 良好：Controller 可以管理大量设备和网络。可通过优化主机、自建 Moons 网络来扩展。大规模部署经验社区分享可能略少。 | 差 (纯手动) / 依赖工具：纯手动管理方式无法扩展。依赖的管理工具决定了其扩展性。 |
| 延迟 (Latency) | 低：P2P 直连延迟极低 (WireGuard 本身)。自托管控制平面和 DERP 可以部署在离用户更近的位置，可能优化信令和中继延迟。 | 较低：P2P 直连延迟好。自托管 Controller 和 Moons 可以就近部署，优化信令和中继延迟。协议本身可能有微小额外延迟。 | 最低：无任何外部依赖（除网络路径本身），纯 P2P 延迟最低。 |
| 维护复杂度 | 中等：需要维护 Headscale 服务、数据库、可能的反向代理和 DERP 服务器。关注 Headscale 和 Tailscale 客户端的更新。 | 中等到高：需要维护 Controller 服务、可能的数据库、Moons 服务器。Controller 本身的配置和升级可能比 Headscale 复杂。 | 低 (稳定后) / 高 (变更时)：一旦配置好且不变，几乎无需维护。但任何节点增减、IP 变更都需要手动修改大量配置。 |
| 关键优势 | 平衡易用性与自托管控制，继承 Tailscale 优点，社区活跃。 | 强大的 L2 网络能力和规则引擎，完全开源的 Controller。 | 极致性能、简单协议、完全控制、无中心依赖。 |
| 关键劣势 | 缺乏 L2 功能，依赖社区维护 Headscale 及相关生态。 | 设置和管理相对复杂，性能相比 WireGuard 略逊。 | 管理噩梦（尤其节点多时），无自动 NAT 穿透，需要大量手动配置。 |
总结与建议：
选择 Headscale (自托管 Tailscale)：
- 如果你喜欢 Tailscale 的易用模型（特别是设备认证和连接方式），但需要完全的数据主权和控制权。
- 主要需求是安全的 L3 设备互联、远程访问、子网路由。
- 能够接受部署和维护 Headscale、数据库以及可能的 DERP 中继。
- 这是在自托管场景下，易用性、性能和控制权之间的一个极佳平衡点。
选择自托管 ZeroTier Controller：
- 你的核心需求是构建复杂的虚拟局域网，特别是需要 L2 功能（如设备发现、广播、网桥）。
- 你需要非常精细的网络访问控制规则。
- 你希望 Controller 本身也是完全开源的，并且不介意相对更复杂的设置和管理。
- 你需要自托管 Moons 来保证连接质量。
选择手动 WireGuard / 简单管理 UI：
- 你的网络规模非常小（例如，几个节点之间的固定连接），且不常变动。
- 你追求极致的性能和最低的延迟，并且对网络有深入理解。
- 你需要完全、彻底的控制权，不信任任何中心化协调服务（即使是自托管的）。
- 你愿意承担繁重的手动配置和维护工作，或者找到的简单 UI 能满足你的基本需求且你了解其局限性。
核心考量：自托管 Headscale 和 ZeroTier Controller 都是为了解决纯 WireGuard 在规模化部署和易用性上的短板，它们引入了控制平面来自动化协调工作。你需要付出的代价是部署和维护这个控制平面。选择哪个，主要看你对 L2 功能的需求、对易用性/管理复杂度的偏好以及对社区生态的依赖程度。
总结
三个方案都使用过，tailscale 接入最快，wiregard 最灵活，zerotier 似乎延迟较低。总之得在自己的环境下尝试，最后选择最合适的那一个。