Categoria: Xarxes i VPN
Xarxa privada amb NetBird o Tailscale: accés zero trust sense obrir ports
Una xarxa privada en què cada portàtil, servidor i oficina es connecta amb l'inici de sessió de l'empresa, i les regles decideixen qui arriba a què, sense servidors amb ports oberts a internet.
- On es munta
- Al vostre compte, a nom vostre
- Còpies
- Amb restauració provada
- Actualitzacions
- Planificades i documentades
- Llicència
- NetBird: clients BSD-3 i servidor AGPLv3; Headscale: BSD-3; Tailscale: servei propietari amb clients open source
En resum
NetBird i Tailscale creen una xarxa privada en malla sobre WireGuard: cada dispositiu es connecta directament amb els altres i l'accés es decideix per persona i per grup. Tailscale és un servei al núvol; NetBird i Headscale es poden allotjar al vostre compte. El muntem, el connectem amb el vostre inici de sessió únic, escrivim les regles d'accés, copiem la configuració i el mantenim al dia.
De què ens encarreguem?
Instal·lar el client en un portàtil porta un minut. El que cal cuidar és el que hi ha al voltant: que les regles no deixen tothom arribar a tot, que les baixes s’apliquen, que el servidor de coordinació tinga còpia i que els dispositius estiguen al dia. Això és el que deixem sota control:
Servidor de coordinació
NetBird o Headscale al vostre compte, amb HTTPS, base de dades i còpia; o la vostra xarxa de Tailscale ben configurada.
Inici de sessió únic
Cada persona entra amb el compte de l’empresa i, si el vostre proveïdor ho demana, amb doble factor.
Regles d'accés
Grups per equip i per funció, i regles que només obrin el necessari, guardades en codi.
Rutes a xarxes internes
Encaminadors cap a l’oficina o el núvol per a arribar a equips on no s’instal·la res.
Dispositius
Altes, baixes, dispositius perduts i equips que ja no haurien d’estar a la xarxa.
Vigilància
Servidor caigut, dispositius sense connectar, trànsit per relay i clients desactualitzats.
Com funciona una xarxa en malla?
Les tres opcions fan servir WireGuard per a xifrar el trànsit entre dispositius. La diferència amb una VPN clàssica és qui coordina i on viu aquesta peça:
| Opció | Servidor de coordinació | Quan el proposem |
|---|---|---|
| Tailscale | Servei al núvol del fabricant | Voleu el més senzill i no us importa que la coordinació estiga fora |
| NetBird | Al vostre compte o al seu núvol | Voleu tot en la vostra infraestructura, amb panell web i regles per grup |
| Headscale | Al vostre compte, amb els clients de Tailscale | Una sola xarxa, equip tècnic i res de serveis de tercers |
El servidor de coordinació reparteix les claus públiques i les regles, però el trànsit va directe entre dispositius sempre que la xarxa ho permet. Per això els servidors no necessiten ports oberts i ningú no els veu des de fora.
Quins problemes trobem més sovint?
- La regla per defecte que deixa tothom arribar a tot, que ningú no va canviar després de la instal·lació.
- Dispositius de persones que ja no hi són, perquè les baixes no es van lligar al directori.
- Claus de servidor que caduquen i un servidor que deixa d’estar accessible un dia qualsevol.
- Servidor autoallotjat sense còpia, amb tota la configuració de la xarxa en una sola màquina.
- Regles fetes a mà en el panell que ningú no sap per què existeixen ni qui les va demanar.
- Molt de trànsit per relay perquè un tallafoc impedeix les connexions directes i tot va lent.
Com fem les còpies, les actualitzacions i la restauració?
Amb NetBird o Headscale autoallotjats, copiem la base de dades del servidor de coordinació i la seua configuració fora de la màquina, i guardem les regles d’accés en un repositori per a poder revisar-les i aplicar-les de nou. De tant en tant restaurem en una altra màquina i comprovem que els dispositius tornen a connectar amb el mateix nom de domini. Amb Tailscale no hi ha servidor que copiar, però la política d’accés també va al repositori.
Abans d’actualitzar el servidor llegim les notes de la versió, fem còpia i provem en un entorn a part quan el canvi és gran. Els clients dels portàtils s’actualitzen sols o amb la vostra eina de gestió, i vigilem els que es queden arrere.
Per a qui té sentit?
- Una empresa de programari amb servidors en diversos núvols que vol que l’equip arribe a bases de dades i panells interns amb el seu compte de l’empresa, sense bastions ni ports d’administració oberts.
- Una gestoria o un despatx amb teletreball que vol que cada persona entre des de casa al servidor de fitxers o al programa de l’oficina amb el compte de Microsoft o Google que ja fa servir, i que la baixa d’algú talle el seu accés en tots els seus dispositius.
- Un equip repartit entre oficina, casa i clients que necessita regles diferents per a tècnics, administració i col·laboradors externs.
Com protegim la xarxa?
Comencem llevant la regla que deixa tothom arribar a tot i obrim només el que cada grup necessita. L’inici de sessió va pel vostre proveïdor d’identitat amb doble factor, ja siga Google, Microsoft o un Keycloak propi, i els servidors es donen d’alta amb claus d’un sol ús o etiquetes, no amb el compte d’una persona. El panell de NetBird i l’API de Headscale no queden oberts a qualsevol, i el servidor s’actualitza amb pegats de seguretat. Els esdeveniments d’accés poden anar a Wazuh, i el servidor de coordinació el vigilem des del monitoratge amb Grafana i Prometheus.
- Inici de sessió únicGoogle, Microsoft o Keycloak
- NetBirdCoordinació i regles
- DispositiusPortàtils, servidors i mòbils
- WireGuardTúnels directes entre ells
- Xarxes internesOficina i núvol per rutes
On ho muntem?
Al vostre compte, al proveïdor que ja feu servir o al que encaixe millor. Si les dades s'han de quedar a la UE, Hetzner i OVHcloud són les opcions europees.
Proveïdors on ho muntem
- Hetzner
- AWS
- Google Cloud
- Azure
- DigitalOcean
- OVH
- Servidor propi
| Proveïdor | Com ho muntem | A tindre en compte |
|---|---|---|
| Hetzner | Un servidor cloud xicotet amb el servidor de NetBird o de Headscale, la seua base de dades i còpies en Object Storage. | Amb Tailscale no cal allotjar res: només els clients i, si cal, un encaminador de subxarxa. |
| AWS | Servidor de NetBird o Headscale en EC2, i un node encaminador dins de la VPC per a arribar a RDS i a servidors privats. | L'encaminador de subxarxa evita instal·lar el client en cada instància. |
| Google Cloud | Servidor de coordinació en Compute Engine i un encaminador cap a la xarxa de VPC. | |
| Azure | Servidor de coordinació en una màquina virtual, amb inici de sessió de Microsoft Entra ID. | Encaixa si l'empresa ja treballa amb Microsoft 365. |
| DigitalOcean | Un Droplet amb el servidor de coordinació i un encaminador cap a la vostra VPC. | |
| OVH | Instància de Public Cloud amb el servidor de coordinació i còpies en Object Storage d'OVHcloud. | |
| Servidor propi | Un client en una màquina de l'oficina que fa d'encaminador cap a la xarxa local. | Convé tindre el servidor de coordinació fora de l'oficina: si se'n va la llum allí, la resta continua connectant. |
Què inclou
- Xarxa privada amb NetBird o Tailscale, o amb Headscale si voleu el servidor de coordinació al vostre compte.
- Servidor de NetBird o de Headscale autoallotjat al vostre compte, amb la seua base de dades i el certificat HTTPS.
- Inici de sessió amb el compte de l'empresa: Google, Microsoft, Keycloak o un altre proveïdor OpenID Connect.
- Grups i regles d'accés per persona, per equip i per servidor, guardades en codi i revisables.
- Rutes cap a la xarxa de l'oficina o del vostre núvol per a arribar a impressores, NAS o bases de dades sense instal·lar-hi res.
- Altes i baixes lligades al directori: qui deixa l'empresa perd l'accés en tots els seus dispositius.
- Còpies de la base de dades del servidor i de la política d'accés, amb restauració provada.
- Monitoratge de dispositius desconnectats, connexions per relay i versions dels clients.
Preguntes freqüents
NetBird, Tailscale o Headscale?
Tailscale és el més polit i no hi ha res a mantindre, però el servidor de coordinació és del fabricant i es paga per usuari en els plans d'empresa. NetBird és de codi obert i es pot allotjar sencer al vostre compte, amb panell web, inici de sessió únic i regles per grup. Headscale és un servidor de coordinació lliure que fa servir els clients oficials de Tailscale, pensat per a una sola xarxa i sense panell web oficial. Si voleu que tot siga vostre, acostumem a proposar NetBird.
Per què no cal obrir ports en els servidors?
Cada dispositiu inicia la connexió cap a fora i el servidor de coordinació ajuda que es troben, així que els servidors no necessiten cap port obert a internet perquè l'equip hi arribe. Quan una xarxa no deixa connectar directament, el trànsit passa per un relay, xifrat d'extrem a extrem amb WireGuard.
Es connecta amb el nostre inici de sessió únic?
Sí. Tailscale admet Google, Microsoft, GitHub, Okta i altres proveïdors OpenID Connect. NetBird i Headscale autoallotjats es connecten amb qualsevol proveïdor OpenID Connect, com Google, Microsoft Entra ID o un Keycloak propi. Així, qui entra amb el compte de l'empresa entra a la xarxa, i qui ix del directori deixa d'entrar-hi.
Quin avantatge té davant d'una VPN clàssica?
En una VPN clàssica tot passa per un servidor central i, una vegada dins, se sol arribar a tota la xarxa. En una xarxa en malla cada dispositiu connecta directament amb el que necessita i les regles limiten l'accés per persona. Per a poques persones i una oficina, una VPN amb WireGuard o OpenVPN continua sent més senzilla.
Què passa si el servidor de coordinació cau?
Les connexions que ja estan establides continuen funcionant un temps, però no es poden afegir dispositius ni aplicar canvis de regles fins que torne. Per això copiem la seua base de dades fora del servidor, el vigilem i tenim assajat com aixecar-lo en una altra màquina.
Expliqueu-nos el vostre cas
En una trucada gratuïta de 20 minuts veiem on sou i per on començar. Sense compromís.
Documentació oficial consultada
Les dades tècniques d'aquesta pàgina es basen en:
Revisat el