WireGuard mesh-сети: Tailscale, Netmaker и Netbird — что выбрать

Знакомьтесь с «КлаудСофт»: у нас 35 разработчиков, 4 офиса — в Москве, Питере, Казани и Новосибирске, а ещё 12 человек работают удалённо. Если говорить об инфраструктуре, то это 20 серверов, расположенных в 3 разных дата-центрах, плюс 4 наших офисных сети. Сейчас для VPN мы используем OpenVPN, и он работает на центральном сервере прямо здесь, в Москве.

Чем плох OpenVPN в этом случае:

• Звёздная топология: весь трафик через московский сервер. Разработчик в Новосибирске пингует сервер в новосибирском ДЦ через Москву — latency x3
• Единая точка отказа: упал VPN-сервер → 35 человек без доступа к инфраструктуре
• Производительность: OpenVPN — userspace, ~300 Mbps максимум на 1 ядре
• Управление сертификатами: easy-rsa, ручной выпуск для каждого сотрудника

WireGuard mesh-сеть снимает все эти проблемы: трафик идёт peer-to-peer (без центрального сервера), производительность на уровне ядра (~3-5 Gbps), а ключи управляются автоматически.

Tailscale — это SaaS поверх WireGuard. Координационный сервер управляет ключами, а трафик бежит напрямую между пирами (P2P). Если прямой P2P невозможен — через DERP relay.

# Установка на Linux
curl -fsSL https://tailscale.com/install.sh | sh

# Подключение
tailscale up --login-server https://controlplane.tailscale.com

# Статус
tailscale status
# 100.64.0.1   moscow-srv01    linux    active; direct
# 100.64.0.2   spb-srv01       linux    active; direct
# 100.64.0.3   dev-laptop-01   macos    active; relay "msk"

# Пинг через mesh-сеть
tailscale ping spb-srv01
# pong from spb-srv01 (100.64.0.2) via 1.2.3.4:41641 in 8ms

Ключевые возможности:

• MagicDNS: обращайтесь по имени ssh moscow-srv01 вместо IP
• ACL: JSON-политики — кто к чему имеет доступ
• Exit nodes: маршрутизация всего трафика через выбранный узел
• Subnet routing: доступ к локальным сетям офисов без установки Tailscale на каждое устройство
• SSH: встроенный SSH через Tailscale без открытого порта 22

// ACL для «КлаудСофт»
{
  "acls": [
    {"action": "accept", "src": ["group:devs"], "dst": ["tag:dev-servers:*"]},
    {"action": "accept", "src": ["group:ops"], "dst": ["*:*"]},
    {"action": "accept", "src": ["group:devs"], "dst": ["tag:prod-servers:443,8080"]}
  ],
  "groups": {
    "group:devs": ["user1@company.ru", "user2@company.ru"],
    "group:ops": ["admin@company.ru"]
  }
}

Netmaker — полностью self-hosted WireGuard mesh. Координационный сервер (netmaker-server) + агенты (netclient) на каждом узле. Веб-интерфейс для управления.

# Установка сервера Netmaker (Docker)
wget -qO docker-compose.yml \
  https://raw.githubusercontent.com/gravitl/netmaker/master/compose/docker-compose.yml

# Настройка .env
cat > .env <<EOF
NM_DOMAIN=vpn.cloudsoft.ru
SERVER_HOST=185.100.50.1
MASTER_KEY=$(openssl rand -hex 32)
MQ_PASSWORD=$(openssl rand -hex 16)
TURN_PASSWORD=$(openssl rand -hex 16)
EOF

docker compose up -d

# Создание сети
nmctl network create --name corporate --address-range 10.10.0.0/16

# Создание enrollment key для клиентов
nmctl enrollment-key create --networks corporate --tags servers

# Установка клиента на ноды
curl -sL 'https://raw.githubusercontent.com/gravitl/netmaker/master/scripts/netclient-install.sh' | \
  KEY=eyJhbGc... sh -

Преимущества Netmaker:

• Полный контроль: все данные на вашем сервере
• Kernel WireGuard: нативная производительность (Tailscale использует userspace WG по умолчанию)
• Egress/Ingress gateways: маршрутизация внешних сетей
• Relay nodes: для узлов за строгим NAT
• DNS: встроенный CoreDNS для имён внутри сети

Netbird — открытая платформа, которая совмещает простоту Tailscale с возможностью self-hosted. Под капотом WireGuard плюс ICE (WebRTC) для обхода NAT.

# Self-hosted установка (Docker)
curl -sSLO https://github.com/netbirdio/netbird/releases/latest/download/getting-started-with-zitadel.sh
bash getting-started-with-zitadel.sh

# Установка клиента
curl -fsSL https://pkgs.netbird.io/install.sh | sh

# Подключение
netbird up --management-url https://vpn.cloudsoft.ru:443

# Статус
netbird status
# Peers:
#   moscow-srv01: Connected (direct), latency 2ms
#   spb-srv01: Connected (direct), latency 8ms

Уникальная фича — Network Routes и DNS-маршрутизация:

# Через веб-интерфейс или API:
# 1. Создать маршрут: 192.168.10.0/24 через moscow-gw
# 2. Создать DNS-зону: *.internal.cloudsoft.ru → 10.10.0.0/16
# 3. Настроить ACL: группа «developers» → серверы с тегом «dev»

# Результат: разработчик из дома обращается к
# db.internal.cloudsoft.ru — трафик идёт через mesh напрямую

Команда выбрала Netbird: open-source, self-hosted, отличный NAT traversal через ICE, простая настройка ACL через веб-интерфейс, интеграция с Keycloak (который уже использовался для SSO).

Развёртывание на 35 устройств и 20 серверов заняло 2 дня:

1. День 1: установка Netbird server, настройка SSO через Keycloak, создание групп и ACL
2. День 2: раскатка netbird-клиентов через Ansible, тестирование connectivity