NetBird на WireGuard: VPN для удалённой команды без головной боли с маршрутами

Меня зовут Семёнов Евгений Сергеевич, я уже 15 лет занимаюсь IT-аутсорсингом для офисов в Москве. Расскажу историю про среднюю компанию, у которой 35 человек работают удалённо, и про то, как мы за один рабочий день перевели их с дряхлого OpenVPN-сервера на NetBird. С прошлым решением каждое утро у нас было 5–8 заявок «не подключается VPN», после переноса — за месяц ровно одна. Заодно объясню, почему mesh-VPN на WireGuard в 2026 году — это новый стандарт для удалённой работы.

Почему старый VPN перестал устраивать

Клиент — компания, которая занимается переводом и локализацией контента для маркетплейсов. 12 человек в офисе на Курской, 35 редакторов и переводчиков по всей России — от Калининграда до Владивостока. Когда я пришёл на аудит в феврале 2026, у них стоял OpenVPN на Debian 10 с конфигурацией, которую десять лет назад собирал какой-то фрилансер.

Что не работало:

• Скорость. Сотрудник из Владивостока с гигабитным каналом получал через VPN 2–4 Мбит/с, потому что весь трафик шёл через сервер в Москве и упирался в шифрование одного процесса OpenVPN.
• Стабильность. При смене Wi-Fi (например, перешёл с домашней сети на мобильный интернет) OpenVPN отваливался и просил переподключения вручную. Каждый день — десяток жалоб.
• Управление. Чтобы добавить нового сотрудника, админ генерил конфиг-файл, отправлял в почту, объяснял на пальцах, как его импортировать. Полчаса на каждого нового переводчика.
• Безопасность. Все пользователи имели одинаковый доступ ко всей сети. Уволенный месяц назад редактор технически мог зайти на сервер 1С — никто не следил за блокировкой ключей.
• Удалёнщики из других стран. Двое сотрудников переехали — один в Грузию, другой в Сербию. У них VPN отваливался каждые 10–15 минут из-за нестабильного маршрута до Москвы.

Решение надо было принимать быстро. На рынке сейчас четыре основных кандидата: WireGuard вручную, NetBird, Tailscale, ZeroTier. Tailscale в России работает плохо из-за привязки к Google-аккаунтам, ZeroTier — старый и менее активно развивается. Остался выбор между «голым» WireGuard (с ручным управлением ключами) и NetBird (где WireGuard внутри, но сверху удобный кабинет).

Что такое NetBird и чем он отличается от обычного VPN

NetBird — это надстройка над протоколом WireGuard, которая решает три главные проблемы любого корпоративного VPN: управление пользователями, обмен ключами и обход NAT. Архитектурно у него два компонента:

• Management server. Веб-кабинет, где админ заводит пользователей, объединяет их в группы, пишет правила «кто куда может ходить». Это то, что мы хостим у себя на VPS.
• Клиент NetBird. Ставится на ноутбук, телефон, сервер. Подключается к management server, получает свои ключи WireGuard и список пиров. Дальше WireGuard работает сам по себе, и шифрованный трафик ходит напрямую между устройствами.

Главное отличие от обычного OpenVPN: трафик не идёт через центральный сервер. Если редактор из Калининграда подключается к серверу 1С в офисе Москвы, NetBird устанавливает прямой WireGuard-тоннель между ноутбуком редактора и сервером 1С. Скорость — почти как у обычной сети, потому что нет узкого горлышка.

А ещё NetBird умеет «провернуть» соединение через NAT с помощью STUN-серверов и в крайнем случае — через TURN (relay). Это означает, что даже если оба устройства за «серым» IP оператора связи (как у большинства домашних провайдеров), они всё равно соединятся напрямую в 90 % случаев.

Как мы переехали за один рабочий день

План был такой: поднять NetBird параллельно со старым OpenVPN, перевести пилотную группу из 5 редакторов, после успеха — мигрировать всех остальных и выключить OpenVPN. Получилось так:

1. 09:00 — заказали VPS у российского хостера (4 vCPU, 8 GB RAM, 80 GB SSD, 2 800 руб./мес). Долго не думали — взяли первый из проверенных.
2. 10:00 — поставили NetBird Management server в Docker по официальной документации. С нуля до работающего веб-кабинета — 40 минут.
3. 11:00 — настроили SSO через Keycloak, чтобы сотрудники логинились под корпоративной учёткой. Это важный шаг — без него управление паролями сразу превратится в хаос.
4. 12:00 — собрали группы пользователей: «Все», «Редакторы», «Бухгалтерия», «Админы», «Серверы офиса». Прописали ACL: редакторы видят только сервер 1С и файловое хранилище, бухгалтерия — плюс ещё клиент-банк, админы — всё.
5. 14:00 — после обеда установили NetBird-клиент на сервер 1С, файловый сервер, доменный контроллер. Они появились в кабинете как «маршрутизаторы» в офисную сеть.
6. 15:00 — пилот: пять редакторов скачали клиент, залогинились, получили доступ. У всех заработало с первого раза, скорость — реальные 50–80 Мбит/с против прошлых 2–4.
7. 17:00 — разослали инструкцию остальным 30 сотрудникам с дедлайном «до конца недели». К пятнице 33 из 35 успешно перешли. Двух «оставшихся» — техдиректор и одна редактор — настраивали по Zoom лично, ушло по 15 минут на каждого.
8. Понедельник следующей недели — выключили старый OpenVPN. Никто не пожаловался.

Что мы получили в итоге

Через месяц после переезда я снял метрики и вот что получилось:

Самое приятное — изменение поведения сотрудников. Раньше многие предпочитали не включать VPN, копировать файлы через личную почту или мессенджер «потому что VPN тормозит». После переезда VPN стал прозрачным: ноутбук просыпается, NetBird автоматически подключается за 2 секунды, и все ресурсы офиса доступны без раздумий. Это сильно повысило безопасность данных.

Архитектура self-hosted NetBird для среднего офиса

Покажу схему, которая работает у наших клиентов с 30–80 пользователями. Принципиально она простая:

• VPS в России — 4 vCPU, 8 GB RAM, 80 GB SSD, статический IP. Здесь крутится NetBird Management, Signal-сервер и Keycloak в трёх Docker-контейнерах.
• Coturn-сервер — TURN-сервер для передачи трафика, когда NAT не позволяет соединиться напрямую. Тоже в Docker на той же VPS.
• NetBird-клиент на ключевых серверах в офисе: сервер 1С, доменный контроллер, файловый сервер, NVR видеонаблюдения. Они выступают как «маршрутизаторы» в офисную локалку.
• NetBird-клиент на ноутбуках сотрудников: Windows, macOS, Linux, Android, iOS — всё поддерживается из коробки.
• Резервный VPS в другом дата-центре — со спящей копией Management server и регулярным бэкапом базы. Если основной упадёт, переключение занимает 15 минут вручную.

Подводные камни, которые я обнаружил по ходу

Чтобы вы не наступили на те же грабли, перечислю четыре проблемы, с которыми столкнулись:

• MTU. На некоторых корпоративных провайдерах с PPPoE стандартный MTU 1500 не пролезал в WireGuard-тоннель, и часть пакетов терялась. Лечится установкой MTU 1380 в настройках клиента — становится как из пушки.
• Корпоративный антивирус. Kaspersky Endpoint Security иногда блокировал сетевой драйвер NetBird. Лечится добавлением исключения в политику KSE для папки C:\Program Files\NetBird и одного процесса.
• Маршрут к 1С через NetBird-клиент на сервере. Когда мы поставили NetBird-клиент на Windows Server 2022 с 1С, нужно было аккуратно прописать маршрут «весь трафик к подсети 1С через этого клиента». Иначе сотрудники получали доступ только к самому 1С-серверу, но не к файловому серверу через него.
• Бэкап Management server. Если потеряете базу management — все ключи WireGuard инвалидируются и нужно будет переподключать всю команду. Делаем ежедневный pg_dump базы на S3-совместимое хранилище. Восстановление с нуля занимает 30 минут, а не три дня.

Сколько это стоит и кому окупается

Считаем экономику для офиса 30 удалёнщиков. Самим NetBird вы не платите ничего — он open source. Платите только за VPS и за работу инженера на внедрение и сопровождение. Вот реальные цифры АйТи Фреш на 2026 год:

Когда оно окупается? У клиента из примера выше:

• Снижение заявок на хелпдеск с 6 в день до 0–1: экономия времени админа ~10 часов в неделю = 70 000 руб. в месяц по ставке аутсорсинга.
• Уменьшение стоимости инфраструктуры с 4 200 до 2 800 руб./мес = 1 400 руб. экономии.
• Возросшая скорость удалёнщиков означает, что они реально работают, а не «ждут пока загрузится».

То есть проект 80 000 руб. отбился за полтора месяца только на хелпдеске. Дальше — чистый плюс.

Что мы делаем по обслуживанию NetBird на абонентке

После запуска инфраструктура требует регулярных работ — тут и в АйТи Фреш всё устроено стандартно. Для клиентов на нашей абонентке в стандартный тариф входит:

• Заведение и блокировка учёток по заявкам HR (4–8 операций в месяц для среднего офиса).
• Мониторинг работоспособности Management server, Signal и TURN через Zabbix с уведомлениями в Telegram.
• Ежемесячный аудит активных подключений: кто давно не заходил, у кого подозрительные сессии.
• Обновление NetBird и Keycloak при выходе security-патчей (примерно раз в 1–2 месяца).
• Бэкап PostgreSQL Management в две независимые локации с тестом восстановления раз в квартал.
• Решение инцидентов с подключением: помощь сотрудникам, которые не могут подключиться (среднее время реакции — 30 минут).

За эти работы клиент не платит дополнительно — они входят в стандартную абонентку. Мы получаем спокойного клиента и постоянно работающий VPN, клиент получает экспертизу команды из 14 человек по цене одного штатного админа.

Альтернативы, которые я рассматривал

Чтобы не казалось, что я монопольно толкаю NetBird — вот честная сравнительная таблица того, что есть на рынке для российского SMB в 2026 году:

В 8 из 10 проектов для российского SMB с удалённой командой 15+ человек оптимальный выбор — NetBird self-hosted. Когда людей меньше 5 — голый WireGuard. Когда инфраструктура полностью в облаке западных провайдеров и нет санкционных рисков — Tailscale. Всё остальное — компромиссы.

FAQ — частые вопросы про NetBird и корпоративный VPN

Чем NetBird отличается от обычного OpenVPN или WireGuard?

Обычный VPN — это тоннель «клиент-сервер»: трафик идёт через одну точку, и при её падении все встают. NetBird строит mesh-сеть: устройства соединяются друг с другом напрямую через WireGuard, а центральный сервер только координирует. Плюс — есть готовый веб-кабинет для управления пользователями и правилами доступа.

Сколько стоит NetBird для команды из 30 человек?

Облачная версия NetBird бесплатна до 5 пользователей. Дальше — от $3 за пользователя в месяц. Но есть self-hosted вариант — полностью бесплатный, ставится на свой VPS за 600–1200 руб./мес. Для 30 человек self-hosted экономит около 90 000 руб. в год.

Будет ли NetBird работать в России без VPN?

Self-hosted — да, потому что вы поднимаете свой сервер на VPS у российского хостера. Облачная версия (api.netbird.io) тоже доступна, но мы рекомендуем самостоятельный хостинг — это снижает риски с блокировками и даёт полный контроль над данными пользователей.

Подойдёт ли NetBird для доступа к серверу 1С из дома?

Идеально подойдёт. Сотрудник ставит клиент NetBird, входит со своей корпоративной учёткой, получает виртуальный IP в сети офиса и подключается к серверу 1С RDP-клиентом так, как будто сидит за рабочим столом. Скорость WireGuard — почти как у обычной сети.

Сколько стоит внедрение NetBird в АйТи Фреш?

Базовый проект для офиса до 30 пользователей: подъём self-hosted сервера на VPS, настройка SSO через Keycloak, заведение групп и ACL, установка клиентов на ноутбуки, обучение администратора — 80 000 руб. с гарантией 30 дней.