引言

Tailscale 是构建在 WireGuard 之上的零配置 VPN，长期以来在其 Linux 平台上默认使用用户空间实现（wireguard-go）而非内核模块。这一选择优先考虑了跨平台一致性、简化部署以及 NAT 穿透、访问控制等附加功能。然而关于内核模块是否提供更优性能的问题一直存在争议。本文深入解析架构设计、历史背景、Tailscale 的性能优化策略，以及在内核与用户空间两种模式下 Tailscale 的基准测试对比。

背景：内核模块 vs 用户空间 WireGuard

内核模块（wireguard-linux）

  • 引入时间：Linux 内核 5.6（2020 年）。
  • 工作原理：原生内核网络栈处理加密/解密与数据包转发，最小化用户空间参与，减少上下文切换与复制开销。
  • 优势：每包 CPU 开销更低，适合高吞吐（>1Gbps）、高 PPS（>100kpps）或低功耗设备（如树莓派）。
  • 劣势：需要 root 权限，Linux 独占，内核漏洞影响整个系统安全边界。

用户空间（wireguard-go）

  • 使用方：Tailscale（默认）、官方 WireGuard 工具用户空间模式。
  • 工作原理：通过 TUN/TAP 接口在用户空间运行，数据包需多次穿越内核-用户空间边界（读写 TUN、UDP socket）。
  • 优势：可移植（支持非 Linux 系统），无需安装内核模块，与用户空间功能集成更简单。
  • 劣势：系统调用、内存复制与用户空间加密带来更高开销。

需要特别说明的是，Tailscale 的数据平面还额外叠加了 DERP 中继、ACL、MagicDNS、子网路由等功能，这使得与纯 WireGuard 的性能对比变得复杂。

Tailscale 的优化演进

Tailscale 对 wireguard-go 进行了激进的优化以缩小与内核模块的性能差距：

2022 年：吞吐量改进（v1.36）

关键改进：

  • 在 TUN 接口上启用 TCP 分段卸载（TSO）和通用接收卸载（GRO）。
  • 使用 sendmmsg()/recvmmsg() 实现批量 I/O。

影响：吞吐量提升 2.2 倍。在 AWS c6i.8xlarge 上的测试结果：

测试配置 吞吐量（Gbps）
基准（无 WG） ~9.0
内核 WG ~7.5
wireguard-go（优化前，MTU 1500） ~2.0
wireguard-go（MTU 更大） ~6.5
优化后 wireguard-go ~8.2

火焰图分析表明，优化前 syscalls（sendmsg/write/recvmsg）主导 CPU 占用，批量操作显著降低了这一开销。

2023 年：突破 10Gb/s（v1.40）

进一步优化：

  • UDP GSO/GRO：内核延迟 UDP 分段（Linux 4.18+）。
  • 校验和循环展开：计算速度提升约 57%。
  • 硬件 UDP 分段卸载（tx-udp-segmentation）。

基准测试（iperf3 TCP，Cubic 拥塞控制）：

硬件平台 内核 WG（Gbps） 优化前 wireguard-go（Gbps） 优化后（Gbps）
AWS c6i.8xlarge 7.5 6.5 7.3
i5-12400（25G 网络） 11.0 7.8 11.5+
E3-1230-V2（老旧平台） - 4.5 9.6

测试结果表明，在现代硬件上，用户空间实现已经可以与内核模块性能持平甚至超越。

Tailscale 子网路由/出口节点场景下的模式选择

特性 内核模式（Linux root） 用户空间模式
路由方式 L3（IP 转发） L4（TCP/UDP 代理）
ICMP 支持 完整 仅 Ping（代理模拟）
TCP/UDP 端到端 是 否（连接拼接）
其他协议 支持（SCTP 等） 不支持
性能 高负载首选 适合轻量使用

建议：高负载路由器使用内核模式；注重可移植性或低负载场景使用用户空间模式。

社区讨论与未来方向

  • GitHub Issue #426（2020 年）：早期内核集成请求——至今仍开放，但优化工作降低了优先级。
  • Reddit/论坛：反馈不一；Tailscale 在优化后经常与内核模块持平，但在 PPS 与延迟方面内核仍有优势。
  • 路线图：Tailscale 未来可能添加内核模式开关；当前重点仍放在用户空间的可移植性上。

结论

Tailscale 的用户空间 WireGuard 并非妥协——它是一座性能利器。早期性能差距（如 1500 MTU 下慢 3 倍的问题）已通过智能内核接口（TSO/GSO、批量系统调用）基本消除。基准测试显示，在现代硬件上两者持平甚至用户空间更优。对大多数用户而言，用户空间已足够；对于极致性能场景，可直接使用内核 WireGuard 或等待 Tailscale 的进一步优化。

TL;DR：历史上内核 WG 更快，但 Tailscale 的 wireguard-go 现已突破 10Gbps+，在大多数场景下与内核模块持平或更优。选择应基于可移植性需求与极致性能要求综合考量。

参考来源：Tailscale 官方博客、GitHub 仓库、官方文档。