- WireGuard® ベースのオーバーレイネットワークと**ゼロトラストネットワークアクセス（ZTNA）**を組み合わせ、安全で信頼性の高い接続を提供するオープンソースプラットフォーム
- VPNゲートウェイやファイアウォールの設定なしで迅速に導入でき、SSO・MFA・デバイスセキュリティ検査によってアクセス制御を強化
- 集中型ネットワーク管理、きめ細かなポリシー設定、リアルタイムのアクティビティログ機能により、企業ネットワーク運用を簡素化
- Linux、Windows、macOS、モバイル、Docker、ルーターなど多様な環境で動作し、BSD-3ライセンスでセルフホスティング可能
- 従来のVPNの複雑さを取り除き、セキュリティと拡張性を同時に確保できる現代的なネットワークアクセスソリューション
NetBird 概要
- NetBirdはWireGuard® ベースのピアツーピアネットワークとゼロトラストネットワークアクセスを統合したオープンソースプラットフォーム
- 安全で信頼性の高いリモート接続を提供
- 単一プラットフォームでネットワークアクセス、認証、管理機能を統合サポート
- 無料で開始でき、エンタープライズデモのリクエストも可能
主な機能
Secure Remote Access
- 最小権限の原則に従って、ユーザーおよびグループのプロビジョニング、ネットワークセグメンテーション、ポリシー定義が可能
- MFAとデバイスのセキュリティ状態チェックによってアクセス制御を強化
- IDプロバイダーからユーザーとグループを直接取り込んで管理
Zero-Config Deployment
- 既存VPNを置き換える****WireGuard® ベースのP2Pネットワークを提供
- ファイアウォール設定やポート開放なしで動作
- SSOおよびMFAによる安全なリモートアクセスを保証
- VPCとオンプレミスサイト間の接続を数分で構成可能
Seamless SSO with MFA
- Okta、Microsoft、Googleなど主要なIDプロバイダーと統合
- セッションベースのSSOおよびMFAでネットワークアクセスを保護
- リモートワーカー向けの定期的な再認証をサポート
Dynamic Posture Checks
- セキュリティルールを満たすデバイスのみアクセスを許可
- ファイアウォール、アンチウイルス、位置ベースのポリシーなど多様な検査を実施
- MDMおよびEDRソリューションと統合可能
Centralized Network Management
- 単一コンソールで内部リソースのグループ化とアクセス管理が可能
- DNS設定、プライベートネームサーバーの追加、API自動化をサポート
- チーム単位のアクセス制御とリソース管理が可能
Detailed Activity Logging
- ネットワーク内で誰が、いつ、何をしたかを追跡可能
- 設定変更および接続トラフィックイベントを記録
- SIEMプラットフォームへのリアルタイムイベントストリーミングをサポート
顧客事例
- Select Tech Groupは55以上の拠点を運営しており、NetBirdでMFA・SSO・きめ細かなアクセス制御を実現
- Axiros、netgo、DeltaQuadなどさまざまな企業が既存VPNの複雑さの解消とセキュリティ強化を経験
- ユーザーは簡単な設定、高い安定性、ゼロトラスト原則の順守を主な利点として挙げている
NetBirdの3つの中核的特徴
1. シンプルで安全
- 5分以内にネットワークを作成し、暗号化された接続を提供、複雑なファイアウォール設定は不要
- 承認されたユーザーとデバイスのみが内部リソースにアクセス可能
2. どこからでも接続可能
- Linux、Windows、macOS、モバイル、Docker、ルーターなど多様なプラットフォームをサポート
- クラウド環境とオンプレミス環境の間でシームレスな接続を提供
3. 完全なオープンソース
- BSD-3ライセンスで配布され、セルフホスティング可能
- NetBird Cloudまたは自前サーバーで実行可能
- ユーザーはコードレビューおよび自社インフラ内での直接運用が可能
ネットワークモダナイゼーションの効果
- SDNベースの構造により、VPNゲートウェイおよびファイアウォール管理の複雑さを解消
- 単一の管理ポータルでリモートリソースへのアクセスを構成
- きめ細かなネットワーク分離により、承認されたユーザーのみが特定リソースにアクセス可能
結論
- NetBirdは従来のVPNの限界を克服し、ゼロトラストモデルを実現するオープンソースのネットワーキングソリューション
- セキュリティ、シンプルさ、拡張性を同時に提供し、開発チームとIT運用チームの双方に適した現代的なアクセス管理ツール
3件のコメント
zerotier から netbird に移行したら、1か月ほど Windows で動かない問題が起きて（主に家でゲームするときと、たまに急いで入るときだけ使っていたので1か月は耐えられましたが）、tailscale に移って光明が見えましたね。
どうせ tailscale の劣化コピーっぽい感じですし……headscale まで使うなら、netbird は正直そこまで大きな魅力はなかったです。
記事タイトルを見てTailscaleと何が違うのかと思いましたが、コメントがとても参考になりました（笑）
Hacker Newsのコメント
2年前に Tailscale から NetBird に完全移行し、セルフホスティング環境で運用している
バージョンアップもスムーズで、クラウドだけでなくセルフホスティング利用者も大切にしているチームだと感じた
おそらくユーザー設定ミスの可能性が高い
ドキュメントではクラウド機能とセルフホスティング機能の区別が不明確なので注意が必要
コミュニティ版では一部機能が欠けているため、計画的に進めるべき
それでも Headscale より完成度が高く、Tailscale のようにレジストリ変更も不要なので、セルフホスティング向けにはより有望なソリューションだと思う
ユーザーが WireGuard エンドポイントに接続したら最初は基本サブネットだけにアクセスでき、MFA 認証後に追加サブネットへアクセスできる構成を求めている
たとえば最初は Wiki や社内チャットだけにアクセスし、MFA によって GitLab のような機密リソースへアクセス範囲を広げる方式
WireGuard のような L4 オーバーレイや ngrok のような L7 公開エンドポイントではなく、リモートサービスをローカルに投影する方式
VPS に Caddy を置けば ngrok のようにも使える
既存の NetBird、Tailscale、frp、rathole などは、直感的で FOSS ベースのセルフホスティング P2P アクセスを提供できていなかった
Connet はそれを解決し、connet.dev のクラウド版も単に FOSS プロジェクトを包んだ形にすぎない
README を見るとコマンド実行が必要なので、スマートフォンでは難しそう
モバイル環境では ngrok スタイルの構成のほうが現実的かもしれない
Twingate のように CGNAT IP 空間を活用すれば、各サービスに固有 IP を割り当てて分離できる
DNS 機能が素晴らしく、アクセス制御モデルが直感的
必要なときに一回限りのアクセス権を付与するのも簡単
ただし Android アプリが F-Droid になく、ローミング時に切断されることがたまにある
それでも全体として素晴らしいソフトウェアなので、今後も発展してほしい
すでに構成済みの WireGuard メッシュへ簡単に統合できるかも知りたい
NetBird の iOS アプリはどうなのか気になる
既存の WireGuard 構成を置き換えるために Tailscale を検討していた
無料で、公式 Tailscale クライアントと互換性があり、設定も非常に簡単
https://headscale.net/stable/
Tailscale のサイトには用語が多くて、家庭用途でどう活用できるのかピンと来ない
公式 Tailscale DERP は動作しないが、内蔵 DERP を有効化することで問題なく運用できている
WireGuard 用に1ポートだけ開ければよい代わりに、複数ポートを公開しなければならない
tcp/80、tcp/443、udp/3478、tcp/50443 などで、これはセキュリティ上の負担が大きい
リバースプロキシを使っても露出ポートが増えるのは残念
これは Tailscale が Headscale の利用範囲を暗に制限しようとしている兆候にも見える
FOSS ベースのゼロトラスト・セキュアアクセス・プラットフォームで、VPN・ZTNA・API ゲートウェイ・PaaS・ngrok 代替などに活用できる
クライアントベース／クライアントレスアクセス、パスワードレス SSH、OIDC/SAML、WebAuthn MFA、OpenTelemetry ベースの可観測性など多様な機能を提供する
README に詳しくまとまっている
長期的にエンタープライズプランを提供する予定があるのか、また外部コントリビューション時に CLA を要求するのか気になる
Gentoo オーバーレイでメンテナンスしているが、バージョン更新しようとするとまた新しい版が出ている
週1回以下にリリース頻度を調整してほしい
Caddy コンテナを Tailnet に置き、すべてのサブドメインをそこへルーティングしている
SSL も Caddy が処理する
Funnel は使わず、VPN の背後にだけサービスを置く形
ただしAuth Key の90日失効制限があり、リモート組み込み機器の管理には不便
もっと永続的で自動化された認証方式を探している
すべての内部機器は
.homeドメインにまとめ、Tailnet 経由でルーティングしている手動でキー失効を無効にできる。タグベースでも可能
類似の代替としてはOpenZiti、Headscale、Nebulaがある
参考資料として awesome-tunneling を勧める