WireGuard rozwiązuje jeden problem: szybkie, bezpieczne szyfrowanie połączenia. Nie mówi nic o tym, kto powinien mieć dostęp do czego w sieci firmowej. Tę lukę wypełnia NetBird— open source'owe narzędzie budujące sieć VPN na bazie WireGuard, z warstwą zarządzania dostępem w stylu zero trust.
Jak to działa
Zamiast klasycznego modelu „jeden serwer VPN, do którego łączą się wszyscy”, NetBird buduje sieć mesh peer-to-peer. Urządzenia łączą się bezpośrednio ze sobą przez zaszyfrowane tunele WireGuard, a osobny serwer koordynujący zajmuje się tylko uwierzytelnianiem i regułami dostępu. Nie przepuszcza przez siebie całego ruchu — i tu znika wąskie gardło typowe dla klasycznych VPN-ów.
To ma też drugą konsekwencję, rzadziej wspominaną: odporność na awarię. W klasycznym OpenVPN każdy pakiet między dwoma uczestnikami sieci musi przejść przez jeden, centralny serwer — jeśli padnie, cała sieć VPN przestaje działać dla wszystkich naraz. W NetBird serwer koordynujący nie stoi na drodze ruchu, więc jego chwilowa awaria nie zrywa już nawiązanych połączeń między peerami — te działają dalej, bo nie potrzebują koordynatora do podtrzymania tunelu. To nie jest jednak pełna eliminacja pojedynczego punktu awarii: nowi użytkownicy nie dołączą, a zmiany reguł dostępu nie propagują się, dopóki koordynator nie wróci. Do tego, gdy dwa urządzenia siedzą za symetrycznym NAT-em i bezpośrednie połączenie peer-to-peer się nie uda, ruch i tak trafia przez serwer relay (TURN) — w tym jednym przypadku centralna infrastruktura wraca do gry.
Co realnie daje firmie
- Reguły dostępu per użytkownik i urządzenie. Zamiast wpuszczać pracownika do całej sieci, określasz dokładnie, do czego ma prawo — zasada najmniejszych możliwych uprawnień.
- Natychmiastowe odcięcie urządzenia. Zgubiony laptop? Pracownik, który odchodzi z firmy? Dostęp znika z panelu w chwilę, bez ruszania konfiguracji reszty zespołu.
- Integracja z logowaniem firmowym. SSO przez OIDC — Google, Azure AD, Okta albo własny Keycloak. Pracownicy logują się tymi samymi danymi co wszędzie indziej.
- Wariant self-hosted za darmo. Open source, bez opłat za kolejnego użytkownika.
- Klienci na każdą platformę. Windows, macOS, Linux, mobile — bez ograniczeń sprzętowych po stronie pracownika.
Klasyczny VPN pyta „czy jesteś zalogowany”. Sieć zbudowana na NetBird pyta „do czego dokładnie masz prawo, będąc zalogowanym”.
Przykład z praktyki: dostęp tylko do jednego urządzenia
Miałem kiedyś taki przypadek w firmie technologicznej: trzeba było dopiąć zdalne urządzenie deweloperskie do sieci klienta, na którym miało powstawać rozwiązanie. Nie do całej sieci — tylko do jednego, konkretnego serwera. I tylko dla garstki osób po stronie klienta, nie dla wszystkich.
NetBird rozwiązał to bez kombinowania. Zdalne urządzenie dołączyło do sieci jako zwykły peer. Wskazani użytkownicy klienta trafili do jednej, dedykowanej grupy. Dodatkowa polityka dostępu spięła te dwa elementy: tylko ta grupa mogła komunikować się z tym konkretnym urządzeniem — nic więcej, nic mniej.
Żadnego wystawiania portów na świat. Żadnego zakładania zewnętrznemu programiście konta w całej infrastrukturze klienta. Jedno urządzenie, jedna grupa, jedna reguła.
Sam korzystam z NetBird wewnętrznie, do łączenia się z zasobami własnej firmy. Najpierw sprawdziłem to na sobie. Dopiero potem zacząłem proponować to klientom.
Dla kogo się sprawdzi
Dobrze pasuje do małych i średnich firm z zespołem zdalnym lub hybrydowym, firmom z kilkoma lokalizacjami, które chcą je spiąć w jedną sieć, i każdemu, kto współpracuje z zewnętrznymi podwykonawcami i chce dać im dostęp do jednego konkretnego zasobu — bez zakładania konta w całej infrastrukturze. Konfiguracja jest prostsza niż w klasycznych korporacyjnych VPN-ach, a możliwości rosną wraz z zespołem.
Jedno zastrzeżenie: NetBird nie zastępuje firewalla brzegowego. Kontroluje dostęp wewnątrz sieci firmowej, nie ruch z internetu do niej. Te dwie warstwy się uzupełniają, nie wykluczają.
Jak wygląda samo wdrożenie takiej sieci — krok po kroku opisuję w kolejnym artykule: wdrożenie VPN (NetBird) w firmie.