NetBird

In unserem Beispiel läuft ein NetBird-Client auf dem Notebook der Mitarbeiterin und auf dem Firmenserver. Ein Client ist die Software, die ein Gerät mit dem NetBird-Netz verbindet. Jedes so eingebundene Gerät heißt Peer und erhält eine zusätzliche IP-Adresse im privaten NetBird-Netz. Seine bisherige Adresse im Heim- oder Firmennetz bleibt bestehen.

Die Mitarbeiterin öffnet das Dokumentenportal im Browser. Der Zugriff geht über die NetBird-Verbindung zum Server, obwohl beide Geräte an unterschiedlichen Internetanschlüssen stehen. Das Portal muss dafür nicht als öffentlich erreichbare Website freigegeben werden. Die Anwendung läuft weiterhin auf dem Firmenserver.

Dieses zusätzliche Netz über dem vorhandenen Internet heißt Overlay. Es gibt den beteiligten Geräten einen gemeinsamen, geschützten Verbindungsweg. Ob darüber das Dokumentenportal, eine Dateifreigabe oder ein Wartungszugang erreichbar ist, entscheiden die Freigaben. Die Qualität der vorhandenen Internetanschlüsse begrenzt weiterhin die Geschwindigkeit.

WireGuard kann Daten verschlüsseln und zwischen zwei Geräten übertragen. Dafür müssen die Geräte aber ihre Gegenstelle und deren öffentlichen Schlüssel kennen. NetBird organisiert diese Informationen zentral. Die privaten Schlüssel für die Verschlüsselung bleiben auf den jeweiligen Geräten.

Beim Anmelden registriert der Client sein Gerät beim Management-Dienst. Dieser verwaltet Geräte und Zugriffsregeln und verteilt die nötigen Verbindungsinformationen an berechtigte Peers. Der Signal-Dienst hilft ihnen, mögliche Wege zueinander auszutauschen. Anschließend bauen die Clients die Verbindung auf.

Steuerung und Datenverkehr haben dabei getrennte Aufgaben: Das Management verteilt die Regeln. Die Dokumente werden zwischen den beteiligten Geräten übertragen. Ein direkter Tunnel muss sie nicht durch den Management-Server schicken.

Die Bezeichnung Mesh-VPN beschreibt diese Möglichkeit direkter Verbindungen zwischen Geräten. Sie bedeutet nicht, dass jedes Gerät automatisch mit jedem anderen kommunizieren darf. Welche Verbindungen erlaubt sind, wird gesondert festgelegt.

Das Notebook im Homeoffice ist meistens nicht direkt aus dem Internet erreichbar. Der Router übersetzt seine interne IPv4-Adresse in eine öffentliche Adresse. Diese Übersetzung heißt NAT. Eine Firewall kann außerdem eingehende Verbindungen abweisen. Bei IPv6 ist diese Adressübersetzung häufig unnötig, die Firewall bleibt trotzdem relevant.

NetBird versucht, durch abgestimmte Verbindungsversuche einen direkten Weg zwischen den Geräten herzustellen. Dieses Verfahren heißt NAT-Traversal. Dafür muss normalerweise keine manuelle Portweiterleitung zum Notebook eingerichtet werden. Ob es gelingt, hängt von den Routern und den erlaubten Verbindungen ab.

Ist kein direkter Weg möglich, vermittelt ein Relay-Server die Daten. Er reicht bereits verschlüsselte Pakete weiter. Die WireGuard-Verschlüsselung endet weiterhin erst beim anderen Peer. Ein Relay erhält dadurch keinen Klartextzugriff auf die übertragenen Dokumente. Der Umweg kann aber zusätzliche Verzögerung verursachen und den Durchsatz begrenzen.

Ein Relay ist damit ein vorgesehener Ausweichweg. Auch er muss durch die beteiligten Firewalls erreichbar sein. Moderne NetBird-Versionen nutzen einen eigenen Relay-Dienst, ältere Anleitungen beschreiben häufig noch den Betrieb mit TURN und Coturn.

Bei der Anmeldung lässt sich NetBird mit einem vorhandenen Identitätsanbieter verbinden, also dem Dienst, der die Benutzerkonten verwaltet. Single Sign-on (SSO) ermöglicht die Anmeldung mit diesem bestehenden Konto. Eine dort eingerichtete Mehrfaktor-Anmeldung kann beispielsweise zusätzlich zum Passwort einen zweiten Nachweis verlangen.

Die eigentliche Netzwerkfreigabe erfolgt über Policies, also Zugriffsregeln. Sie verbinden eine Quellgruppe mit einer Zielgruppe und den erlaubten Protokollen oder Ports. Ein Port bezeichnet dabei den Zugang zu einem bestimmten Dienst auf dem Server. Für unser Beispiel könnten die Regeln so aussehen:

Eine Regel kann zusätzlich Posture Checks verlangen. Das sind Prüfungen bestimmter Geräteeigenschaften, zum Beispiel einer Mindestversion des NetBird-Clients. Ein solcher Check wirkt erst, wenn er einer passenden Policy zugeordnet ist. Er ersetzt weder Sicherheitsupdates noch den Schutz vor Schadsoftware.

Für das Dokumentenportal sind außerdem zwei Berechtigungen zu unterscheiden: NetBird erlaubt dem Notebook, den Dienst auf dem Server zu erreichen. Das Portal selbst entscheidet nach seiner eigenen Anmeldung, welche Dokumente die Mitarbeiterin sehen oder bearbeiten darf. Eine Freigabe für TCP-Port 443 gewährt deshalb noch keine Leserechte für alle Dateien.

Hier setzt der Begriff Zero Trust an: Die Zugehörigkeit zum Netz allein soll keinen pauschalen Zugriff begründen. Geräte erhalten nur die benötigten Verbindungen. Das entsteht durch gepflegte Regeln, passende Anmeldeverfahren und regelmäßige Prüfung. Die Installation eines VPN-Clients allein setzt dieses Konzept noch nicht um.

Auf einem Netzwerkspeicher, kurz NAS, oder älteren Gerät lässt sich möglicherweise kein NetBird-Client installieren. Dann kann ein anderes Gerät im Firmennetz die Weiterleitung übernehmen. Es läuft dauerhaft, hat selbst einen Client und erreicht das gewünschte Ziel im lokalen Netz. NetBird nennt es Routing-Peer.

Das Notebook erreicht das NAS über den verschlüsselten Tunnel zum Routing-Peer. Dieser leitet die Verbindung im lokalen Netz weiter. In der NetBird-Verwaltung wird das NAS als erreichbare Ressource hinterlegt und per Policy freigegeben. Für einen einzelnen benötigten Dienst ist eine gezielte Freigabe übersichtlicher als der Zugriff auf das gesamte Firmennetz.

Die WireGuard-Verschlüsselung reicht in diesem Aufbau bis zum Routing-Peer. Für den anschließenden Weg zum NAS muss die Anwendung selbst Verschlüsselung verwenden, etwa HTTPS für dessen Weboberfläche. Sonst kann dieser letzte Abschnitt unverschlüsselt sein.

Standardmäßig ersetzt der Routing-Peer die Quelladresse durch seine eigene lokale Adresse. Dieses Masquerading erleichtert den Rückweg der Antworten. In den Zugriffsprotokollen des NAS erscheint dann allerdings der Routing-Peer als Absender. Wer dort die ursprünglichen Geräteadressen benötigt, muss Adressübersetzung und Rückrouten gezielt planen.

Anbieter ist die NetBird GmbH mit Sitz in Berlin. Mit NetBird Cloud übernimmt der Anbieter den Betrieb der zentralen Dienste. Die Clients bleiben auf den eigenen Geräten. Gruppen, Freigaben und die Anbindung der Benutzerkonten muss die Organisation weiterhin selbst einrichten und pflegen. Ein Cloud-Konto gibt keine sinnvolle Berechtigungsstruktur vor.

Im Eigenbetrieb liegen auch Management, Signal und Relay in der selbst verwalteten Infrastruktur. Die aktuelle Standardinstallation bündelt diese Dienste in einem Server. Ein externer Identitätsanbieter ist dafür nicht zwingend erforderlich, die Installation unterstützt auch lokale Benutzerkonten. Ein vorhandener Anmeldedienst kann zusätzlich angebunden werden.

Eigenbetrieb bedeutet auch Verantwortung für Aktualisierungen, Erreichbarkeit und Wiederherstellung. Zu einer Sicherung gehören sowohl die Konfiguration als auch die Datenbanken der Steuerung. Ob die Sicherung brauchbar ist, zeigt erst ein Wiederherstellungstest. Die Administratorkonten verdienen besonderen Schutz, denn über sie werden die Zugriffsregeln geändert.

NetBird ist quelloffen, verwendet aber unterschiedliche Lizenzen für seine Komponenten: im Repository überwiegend BSD-3-Clause, für die zentralen Serverkomponenten AGPLv3. Daraus folgt keine Zusage, dass jede Cloud- oder Unternehmensfunktion im kostenlosen Eigenbetrieb enthalten ist. Funktionsumfang und Support gehören zur Prüfung der gewählten Edition.

Wie sich die Verwaltung und der Eigenbetrieb unterscheiden, erläutert unser Vergleich von NetBird, Tailscale und Headscale.

Die Anzeige „verbunden“ allein sagt wenig darüber aus, ob das Dokumentenportal erreichbar ist. Auf dem Notebook lässt sich der Verbindungszustand mit dem untenstehenden Befehl genauer ansehen. Er zeigt unter anderem die Verbindung zur Steuerung und Details zu den Peers. P2P bezeichnet einen direkten Weg, Relayed den Weg über einen Relay.

Ein aktueller WireGuard-Handshake zeigt, dass sich die beiden Tunnelpartner zuletzt erfolgreich verständigt haben. Beim Testen sollten außerdem die Übertragungszähler steigen. Ein alter Statuseintrag kann eine inzwischen unterbrochene Verbindung zeigen. Danach helfen drei getrennte Fragen: