NetBird: ein Netz, das sich selbst verkabelt

/01Was NetBird ist — und was es nicht ist

NetBird ist ein Overlay-Netz: eine zweite, verschlüsselte Ebene über dem Netz, das Sie ohnehin haben. Auf jedem Gerät läuft ein kleiner Dienst, der dem Gerät eine feste Adresse aus einem privaten Bereich gibt und Tunnel zu allen anderen Geräten aufbaut, die dazugehören dürfen. Ein Laptop im Hotel-WLAN erreicht den Datenbankserver im Rechenzentrum dann genauso wie vom Schreibtisch aus — über dieselbe Adresse, ohne Portfreigabe, ohne feste IP am Anschluss.

Die Verschlüsselung macht NetBird nicht selbst. Sie kommt von WireGuard, das seit Kernel 5.6 im März 2020 fest im Linux-Kern sitzt. Der Unterschied zu älteren Verfahren ist vor allem Größe: WireGuard kommt mit rund 4.000 Zeilen Code aus, wo OpenVPN und IPsec-Implementierungen im sechsstelligen Bereich liegen. Weniger Code heißt weniger Fläche, auf der ein Fehler sitzen kann — das ist der ganze Grund, warum WireGuard sich durchgesetzt hat.

Was NetBird hinzufügt, ist die Verwaltung drumherum. Reines WireGuard verlangt, dass jemand für jede Verbindung ein Schlüsselpaar erzeugt, es auf beiden Seiten hinterlegt, die erlaubten Adressbereiche einträgt und bei jedem neuen Gerät alles wiederholt. Bei drei Servern ist das eine halbe Stunde. Bei vierzig Geräten und wechselnden Mitarbeitern ist es eine Aufgabe, die niemand zuverlässig erledigt — und genau dort entstehen die Schlüssel, die noch gültig sind, obwohl der Laptop längst ausgemustert wurde.

Ebenso wichtig ist, was NetBird nicht ist. Es ist keine Firewall: Es entscheidet, wer wen erreichen darf, nicht was dabei über die Leitung geht. Inhaltsprüfung, Segmentierung am Übergang ins Internet und die Protokollierung, die eine NIS2-Meldung stützt, bleiben Aufgabe der Firewall. Und es ist kein Ersatz für ein Rechtekonzept in der Anwendung selbst — wer den Server erreicht, hat damit noch keine Berechtigung in der Datenbank darauf.

/02Wie eine Verbindung zustande kommt

Der interessante Teil ist die Frage, wie zwei Geräte hinter zwei verschiedenen Routern zueinander finden, ohne dass an einem der beiden Anschlüsse ein Port offen steht. NetBird löst das in drei Schritten, und es lohnt sich, sie zu kennen — sie erklären sowohl die gute Geschwindigkeit als auch den einen Fall, in dem sie ausbleibt.

Laptop (Hotel-WLAN)                         Server (Rechenzentrum)
      |                                              |
      |  1. Anmeldung am Identitätsanbieter          |
      +--------------------> [ Verwaltung ] <--------+
      |     Wer bin ich, welche Gruppen, welche Regeln?
      |                                              |
      |  2. Kandidatenaustausch über die Signalisierung
      +--------------------> [  Signal   ] <---------+
      |     Adressen und Ports, die beide versuchen können
      |                                              |
      |  3a. direkter Tunnel (Regelfall)             |
      +==============================================+
      |          WireGuard, UDP, Ende zu Ende        |
      |                                              |
      |  3b. Rückfall über das Relais, wenn 3a scheitert
      +--------------------> [  Relais   ] <---------+
            verschlüsselt durchgereicht, nicht entschlüsselt

Schritt 1 klärt die Berechtigung, Schritt 2 vermittelt nur die Kontaktdaten, Schritt 3 ist der eigentliche Datenweg. Entscheidend: In Schritt 3a fließen die Daten direkt zwischen den beiden Geräten. Kein zentraler Konzentrator, über den alles läuft, keine Strecke ins Rechenzentrum und wieder zurück, wenn zwei Kollegen im selben Büro sitzen. Das ist der spürbarste Unterschied im Alltag.

Scheitert der direkte Weg — restriktive Firewalls, symmetrisches NAT, Mobilfunknetze mit Carrier-Grade-NAT —, springt das Relais ein und reicht den verschlüsselten Verkehr durch. Es sieht dabei nur Chiffrat; die Schlüssel liegen ausschließlich auf den Endgeräten. Der Preis ist Umweg und damit Latenz. Wer das Relais selbst betreibt, sollte es deshalb dort hinstellen, wo die meisten Nutzer sind, nicht dort, wo gerade Platz im Rack ist.

/03Was sich gegenüber dem VPN-Konzentrator ändert

Der klassische Aufbau hat eine Mitte: einen Konzentrator auf der Firewall, durch den jede Verbindung läuft. Das ist übersichtlich und seit zwanzig Jahren erprobt — und es hat drei Eigenschaften, die im verteilten Arbeiten teuer werden.

Die letzte Zeile ist die unbequeme. Ein Konzentrator ist auch eine Prüfstelle: Dort lässt sich Verkehr aufbrechen und untersuchen. Ein Mesh nimmt Ihnen diese Stelle weg. Wer Inhaltsprüfung braucht — weil eine Richtlinie es verlangt oder weil der Versicherer danach fragt —, muss sie an anderer Stelle unterbringen, typischerweise am Übergang ins Internet und auf den Endgeräten. Das ist kein Argument gegen das Mesh, aber es ist eine Entscheidung, die man bewusst trifft und nicht nachträglich entdeckt.

Die zweite Zeile wird oft falsch verstanden. Fällt die Verwaltung aus, brechen bestehende Verbindungen nicht ab — sie laufen weiter, weil der Datenweg gar nicht durch die Verwaltung führt. Was ausfällt, ist das Aufnehmen neuer Geräte und das Ändern von Regeln. Für die Verfügbarkeitsrechnung ist das ein erheblicher Unterschied zum Konzentrator, dessen Ausfall sofort jeden aussperrt.

/04Zugriffsregeln statt Netzzugang

Der eigentliche Gewinn liegt nicht in der Technik des Tunnels, sondern darin, wie Zugriff beschrieben wird. Im Konzentrator-Modell lautet die Frage: Darf dieser Mensch ins Netz? Im Mesh lautet sie: Welche Gruppe darf welche Gruppe auf welchem Port erreichen?

Praktisch heißt das: Geräte und Menschen werden Gruppen zugeordnet — meist automatisch aus dem Identitätsanbieter, also aus den Gruppen, die in Entra ID oder Keycloak ohnehin gepflegt werden. Regeln verbinden dann Gruppe mit Gruppe. „Buchhaltung erreicht Buchhaltungsserver auf 3389" ist eine Regel. Alles, was keine Regel hat, ist nicht erreichbar — nicht gefiltert, sondern schlicht nicht sichtbar.

Damit fällt die Aufgabe weg, die im Alltag am häufigsten liegen bleibt: das Aufräumen. Ein ausgeschiedener Mitarbeiter verliert den Netzzugang in dem Moment, in dem sein Konto gesperrt wird — nicht dann, wenn jemand daran denkt, auch das VPN-Profil zu widerrufen. Wer MFA am Identitätsanbieter erzwingt, erzwingt sie damit auch für den Netzzugang, ohne einen zweiten Faktor separat auszurollen.

Zusätzlich lassen sich Bedingungen an den Zustand des Geräts knüpfen — Betriebssystemstand, Version des Dienstes, Herkunftsland. Das ist die Stelle, an der ein Mesh dem nahekommt, was unter Zero Trust beschrieben wird: nicht einmal prüfen und dann vertrauen, sondern bei jeder Verbindung erneut entscheiden. Wie weit Sie das treiben, ist eine Frage der Betriebsreife; die erste Stufe — Gruppen statt Netze — bringt bereits den größten Teil des Nutzens.

/05Selbst betreiben: die vier Dienste

NetBird steht unter der BSD-3-Clause-Lizenz — Sie dürfen es betreiben, verändern und weitergeben, ohne eine Nutzerzahl zu lizenzieren. Der Eigenbetrieb ist kein Sonderweg, sondern vorgesehen. Er besteht aus vier Diensten, die üblicherweise als Docker-Container auf einer einzelnen Maschine laufen.

Verwaltung

Der Kern: Hier stehen Geräte, Gruppen, Regeln und die Verbindung zum Identitätsanbieter. Jeder Dienst auf einem Endgerät fragt hier nach, wen er erreichen darf und mit welchem öffentlichen Schlüssel. Nutzdaten laufen nicht durch die Verwaltung — sie kennt nur die öffentlichen Schlüssel, nie die privaten. Wenn Sie etwas sichern müssen, dann den Zustand dieses Dienstes; die Geräteschlüssel selbst bleiben auf den Geräten und werden bei Bedarf neu erzeugt.

Signalisierung

Der Vermittler. Zwei Geräte, die sich verbinden wollen, tauschen hierüber die Adressen und Ports aus, die sie beim jeweils anderen versuchen können. Der Dienst reicht Verbindungsangebote durch und sonst nichts — er ist klein, aber er muss von beiden Seiten erreichbar sein, sonst kommt keine neue Verbindung zustande.

Relais

Der Rückfall. Wenn der direkte Weg scheitert, läuft der Verkehr hierüber — verschlüsselt, und das Relais entschlüsselt nichts. Es ist der einzige der vier Dienste, durch den Nutzdaten fließen, und damit der einzige, bei dem Bandbreite und Standort eine Rolle spielen. Wer ihn im eigenen Rechenzentrum betreibt und Nutzer in ganz Deutschland hat, sollte das bei der Latenzerwartung einrechnen.

Oberfläche

Die Weboberfläche, über die Gruppen und Regeln gepflegt werden. Sie ist Bequemlichkeit, nicht Voraussetzung — die Verwaltung hat auch eine Schnittstelle, über die sich dasselbe automatisieren lässt.

Die ehrliche Einschätzung: Die Installation ist an einem Vormittag erledigt, der Betrieb ist die eigentliche Aufgabe. Aktualisierungen der vier Dienste, Überwachung der Erreichbarkeit, ein zweiter Weg auf die Server für den Fall, dass die Verwaltung ausfällt — das ist der Aufwand, den man beim Vergleich mit einem gehosteten Dienst gegenrechnen muss.

/06Einordnung: NetBird, Tailscale, Headscale, WireGuard von Hand

Vier Wege, dieselbe Grundtechnik. Der Unterschied liegt nicht im Tunnel — der ist überall WireGuard —, sondern darin, wer die Steuerungsebene betreibt und wie viel Handarbeit übrig bleibt.

Das ist eine Einordnung nach Betriebsmerkmalen, kein Leistungsvergleich — die Tunnelgeschwindigkeit unterscheidet sich zwischen den vier Wegen praktisch nicht, weil sie dieselbe Technik nutzen. Was sich unterscheidet, ist die Frage, wen Sie anrufen, wenn die Steuerungsebene steht, und wo die Daten über Ihre Geräte und Gruppen liegen. Für Betriebe mit NIS2-Pflichten oder einem ISO/IEC 27001-Zertifikat ist genau das die Frage, die im Fragebogen auftaucht.

Die letzte Zeile ist die praktisch wichtigste: Für vier feste Standortkopplungen ist reines WireGuard auf der Firewall völlig ausreichend und die einfachere Lösung. Ein Mesh lohnt sich, wenn Geräte dazukommen und verschwinden — nicht, wenn sie stehen bleiben.

/07Wo es hakt

Kein Werkzeug ohne Preis. Diese sechs Punkte sollten Sie kennen, bevor Sie umbauen — nicht danach.

Die Verwaltung ist eine neue Abhängigkeit

Bestehende Verbindungen überleben ihren Ausfall, neue nicht. Wer selbst betreibt, braucht deshalb einen zweiten Weg auf die eigenen Server — Konsole am Hypervisor, ein Zugang außerhalb des Mesh, irgendetwas, das nicht davon abhängt, dass NetBird läuft. Das ist derselbe Gedanke wie beim Fernwartungszugang neben dem VPN, nur konsequenter zu Ende gedacht.

Der direkte Weg gelingt nicht immer

Streng gefilterte Gastnetze, Mobilfunkanschlüsse hinter Carrier-Grade-NAT und manche Hotelnetze zwingen die Verbindung über das Relais. Sie merken das an der Latenz, nicht an einem Fehler — und genau deshalb wird es oft erst spät bemerkt. Wie häufig das eintritt, hängt an Ihren Standorten und lässt sich nur messen, nicht schätzen.

Die Prüfstelle in der Mitte fällt weg

Ein Mesh hat keinen Punkt, an dem sich Verkehr aufbrechen und inhaltlich untersuchen lässt. Wenn eine Richtlinie, ein Versicherer oder ein Prüfer das verlangt, muss es an anderer Stelle stattfinden — am Übergang ins Internet und auf den Endgeräten. Das ist machbar, aber es ist Arbeit, die nicht im Projektplan steht, wenn man sie nicht vorher benennt.

Ein weiterer Dienst auf jedem Gerät

Der Client muss aktuell gehalten werden. Auf verwalteten Geräten ist das eine Zeile in der Geräteverwaltung; auf privaten Rechnern und Fremdgeräten ist es eine Bitte. Wer Zugriff für externe Dienstleister braucht, sollte deshalb prüfen, ob ein Browser-Zugang über ein Portal nicht der sauberere Weg ist.

Geräte ohne Client hängen an einem Übergang

Drucker, Steuerungen, Altsysteme und alles, worauf sich nichts installieren lässt, erreichen Sie nur über ein Gerät, das ihr Netz ins Mesh weiterreicht. Dieses Gerät ist dann wieder eine Mitte — mit allem, was daran hängt: Ausfall, Durchsatz, Wartungsfenster. In gewachsenen Produktionsnetzen ist das kein Randfall, sondern die Regel.

Der Adressbereich kann kollidieren

Overlay-Netze dieser Bauart vergeben Adressen aus 100.64.0.0/10 — dem Bereich, den RFC 6598 für Carrier-Grade-NAT reserviert hat. Wenn Ihr Internetanbieter, eine Cloud-Umgebung oder ein Kundennetz denselben Bereich benutzt, gibt es eine Überschneidung. Das ist lösbar, aber es ist der häufigste unangenehme Fund am ersten Tag.

/08Wann sich der Wechsel lohnt — und wann nicht

Die Frage ist selten „welches Produkt", sondern „passt die Bauform zu unserem Betrieb". Vier Anzeichen dafür, dass sie passt — und vier dagegen.

Dafür spricht

• Verteiltes Arbeiten: Viele mobile Arbeitsplätze und mehr als ein Standort. Je öfter zwei Geräte miteinander reden, die beide nicht in der Zentrale stehen, desto teurer wird der Umweg.
• Ein gepflegter Identitätsanbieter ist da: Entra ID, Keycloak oder Google Workspace laufen bereits und die Gruppen darin stimmen. Das ist die Voraussetzung, nicht das Ergebnis.
• Das VPN-Regelwerk ist historisch gewachsen: Freigaben wurden hinzugefügt und selten entfernt, und niemand traut sich, aufzuräumen. Ein Neuaufbau nach Gruppen ist dann ohnehin fällig.
• Externe brauchen Zugriff auf einzelne Systeme: Ein Dienstleister, der nur eine Maschine warten soll, bekommt genau diese — statt eines VPN-Profils, das ihm das halbe Netz zeigt.

Dagegen spricht

• Ein Standort, feste Arbeitsplätze: Wenn fast alles im Haus steht und Außendienst die Ausnahme ist, trägt der Konzentrator. Ein Mesh brächte dann Betriebsaufwand ohne Gegenwert.
• Kein Identitätsanbieter, kein Wille dazu: Ohne zentrale Konten fällt der halbe Nutzen weg. Dann ist die erste Aufgabe die Identität, nicht das Netz.
• Inhaltsprüfung am zentralen Übergang ist gesetzt: Wenn eine Vorgabe die Untersuchung des Verkehrs an einer Stelle verlangt und sich das nicht verlagern lässt, bleibt der Konzentrator.
• Viele Geräte ohne Client-Möglichkeit: Produktionsnetze mit Steuerungen und Altsystemen gewinnen wenig — dort verschiebt sich der Aufwand nur.

Und es ist kein Entweder-oder. Beide Wege lassen sich nebeneinander betreiben, und das ist in der Praxis der übliche Ablauf: erst ein abgegrenzter Anwendungsfall — Administrationszugänge oder die Kopplung zweier Standorte —, dann die Arbeitsplätze, und der Konzentrator bleibt so lange stehen, bis niemand mehr ihn benutzt. Wer den konzeptionellen Rahmen dahinter sucht, findet ihn unter VPN gegen Zero Trust Network Access und in der schrittweisen Umsetzung unter Zero Trust im Mittelstand. Dieser Artikel beschreibt das Werkzeug, jene beschreiben die Architektur.

/09Häufige Fragen