[Sammelthread] Netbird – Zero Trust Networking Platform

[toscdesign]

im Aufbau

Aufgrund zahlreicher Diskussionen von mir und anderen in den letzten Monaten, in den verschiedensten Threads, habe ich mal diesen Sammler erstellt.

Was ist Netbird?
NetBird ist eine Open-Source-Zero-Trust-Networking-Plattform, mit der sichere private Netzwerke erstellt werden können. Es ist auf einfache Bedienung ausgelegt.
Für die Verbindungen des Overlay Netzes (wireguard) müssen keine Ports, Firewall-Regeln, VPN Gateways usw. konfiguriert werden (mehr dazu beim Thema Selfhosted).

Es gibt keinen zentralen VPN Server. Alle Computer, Server und Geräte verbinden sich direkt über einen verschlüsselten WireGuard Tunnel miteinander.
Diese Verbindungen können mit wenigen Klicks konfiguriert werden.
Inzwischen wird auch ein ReverseProxy (aktuell in Beta) zur Verfügung gestellt, welcher sich um die Zertifikate, Verbindungen zu Diensten und Geoblocking kümmert.
In diesem ist sogar ein CrowdSec Bouncer integriert, welcher einfach aktiviert werden kann.

Netbird ist im Gegensatz zu Tailscale* und Zerotier komplett Opensource.
Es wird von der Firma NetBird GmbH aus Berlin entwickelt und ist damit ein europäisches Unternehmen.

* Bei Tailscale gibt es noch das Communityprojekt Headscale welches den Tailscale Koordinationsserver nachbaut. (danke @Kreis für die Info)


Links:
Netbird.io - Homepage
Netbird.io Docs
Netbird Github
deutscher Youtube Kanal
englischer Youtube Kanal
Firmeninfos bei Northdata

---

Selfhosted
Netbird kann mit dem von Netbird.io bereitgestellten Managementserver oder einem selbst gehosteten verwendet werden:

Self-hosted vs. Cloud-hosted NetBird - NetBird Docs

docs.netbird.io

Beim selbstgehosteten Management Server ergibt sich der Vorteil, das man komplett unabhängig ist und die ganzen Metadaten zu den Konfigurationen auf dem eigenen System bleibt. Die Tunnel selbst sind immer Ende zu Ende verschlüsselt (wireguard).

Der Nachteil beim selbst Hosten ist, das man die Ports 443 (tcp), 80 (tcp) und 3478 (udp) öffnen muss, da dort drüber die Dienste wie Reverseproxy sowie die Managementkonsole, sowie die Zertifikatserstellung (LetsEncrypt) laufen. Die Installation selbst ist einfach und schnell mit dem Quicksart Guide erledigt:

Self-Hosting Quickstart Guide (5 min) - NetBird Docs

docs.netbird.io

 

[asm@s24]

Bin voll zufrieden mit der hosted Variante. Mit zwei Peers im Homelan hat man schon eine gute HA.

 

[Bigdog71]

Ich finde die Beschreibung etwas verwirrend (muss ich zugeben), aber im Endeffekt ist es doch sehr ähnlich zu Pangolin https://pangolin.net/

Das nutze ich auf einem kleinen VPS und dann den Client im Homelab, der verschiedene Ressourcen frei gibt.

Dann hauptsächlich die Android App am Handy.

Läuft auch prima.

 

[toscdesign]

Geht Pangolin nicht eher in die Richtung getunnelter Reverse Proxy?

Auch ist das Netzkonzept doch eher auf einen zentralen Server ausgerichtet anstatt auf P2P, oder sehe ich das falsch?

 

[Bigdog71]

Das siehst du richtig, es ist ein getunnelter reverse Proxy mit Identity awareness.

Daher meinte ich, dass ich den Anwendungsfall für privat von Netbird nicht wirklich verstehe.

Für Firmen um mehrere Standorte dezentral zu Verbinden verstehe ich es noch, aber privat habe ich ja in der Regel zu Hause, evtl. ein paar VPS und dann vor allem Endgeräte (Handy, Laptops) die dann, wenn sie außerhalb von zu Hause sind.

Mir geht es halt darum, was der große Vorteil ist, gegenüber ganz normal Wireguard auf meinem Router laufen zu lassen (außer halt wenn man mehrere Standorte hat)?

Bei Pangolin kann ich durch den Reverse Proxy ja granular sagen, welche Dienste erreicht werden können (auch von außen ohne VPN). Dazu gibt es auch den Crowdsec Bouncer und Geo IP Blocking.

 

[Luckysh0t]

Es gibt keinen zentralen VPN Server. Alle Computer, Server und Geräte verbinden sich direkt über einen verschlüsselten WireGuard Tunnel miteinander.

Hm, da frage ich mich ja, wie dass dann in Homelabs genutzt wird. Ich habe mit meinem Smartphone einen WG Tunnel zum Router und komme somit - sofern ich das zulasse auf alle Serverdienste daheim - inkl. das mein Pihole als DNS-Server genutzt wird.

Es mag an der Urzeit liegen, aber wie würde ich so etwas mit Netbird abbilden.. ? Dann müsste ich ja auf meinem Filer, Pihole etc. überall Netbird haben, um darauf zugreifen zu können - und wie ich komme ich dann von da ins Internet? Da fehlt mir gerade die Fantasie dazu xD

 

[toscdesign]

Disclaimer:
Ich bin kein Entwickler von Netbird. Bin nur ein User der das ganze verstehen und nutzen möchte 😅

Für Firmen um mehrere Standorte dezentral zu Verbinden verstehe ich es noch, aber privat habe ich ja in der Regel zu Hause, evtl. ein paar VPS und dann vor allem Endgeräte (Handy, Laptops) die dann, wenn sie außerhalb von zu Hause sind.

Mir geht es halt darum, was der große Vorteil ist, gegenüber ganz normal Wireguard auf meinem Router laufen zu lassen (außer halt wenn man mehrere Standorte hat)?

Ich denke die Stärke liegt in der einfachen Verwaltung im Webinterface für eine komplexe Netzwerkstruktur. Ich muss mir in meinem Fall einfach keine Gedanken mehr zu Firewallregeln zwischen den einzelnen Peers machen und kann das ganze dynamisch im Betrieb ändern. Kann so ganz einfach komplexe Strukturen abbilden oder auch simpel, mal nen einfach Zugriff auf eine Resource zur verfügung stellen ohne einen Wireguard Tunel und die zugehörigen Firewallregeln konfigurieren zu müssen. Ich muss keine Ports für wireguard öffnen.

Die Peers müssen ja nicht mal an mehreren Standorten sein, das können auch netzinterne Server, Container, Geräte usw. sein.
Man kann das quasi auch als SDN verwenden, ohne den "externen Zugriff" Teil eines VPNs.

Netbird läuft auch auf meinem Router als Plugin für die OpnSense.

Bei Pangolin kann ich durch den Reverse Proxy ja granular sagen, welche Dienste erreicht werden können (auch von außen ohne VPN). Dazu gibt es auch den Crowdsec Bouncer und Geo IP Blocking.

Der Reverse Proxy bei Netbird ist nicht das zentrale Element, sondern nur ein Zusatzfeature das jetzt hinzugekommen ist. Das Zentrale Element ist, das Overlay Netzwerk basierend auf Wireguard, mit dem ich die peers, sei es in meinem Netz, auf einem VPS oder in einem fremden Netz, einfach und granular zusammenschalten kann.

Geo IP Blockung und Crowdsec Bouncer sind auch hier Teil ders Reverseproxies.

Es mag an der Urzeit liegen, aber wie würde ich so etwas mit Netbird abbilden.. ? Dann müsste ich ja auf meinem Filer, Pihole etc. überall Netbird haben, um darauf zugreifen zu können - und wie ich komme ich dann von da ins Internet? Da fehlt mir gerade die Fantasie dazu xD

Du brauchst eben kein Netbird auf deinem Filer, Pihole, etc. Das ganze Thema übernimmt dann der Routing Peer (in meinem Fall die Opnsense mit Netbird Plugin). Du sagst im Management nur, Gerät A darf auf Gerät B, aber nicht auf Gerät C und nur auf Port 123 von Gerät D und der ganze Wireguard Tunnel Krempel wird im Hintergrund automatisch erstellt.

---

Kurzes Erklärvideo (ca. 5min) zu Overlaynetzwerken wie Netbird:

Datenschutzhinweis für Youtube

An dieser Stelle möchten wir Ihnen ein Youtube-Video zeigen. Ihre Daten zu schützen, liegt uns aber am Herzen: Youtube setzt durch das Einbinden und Abspielen Cookies auf ihrem Rechner, mit welchen sie eventuell getracked werden können. Wenn Sie dies zulassen möchten, klicken Sie einfach auf den Play-Button. Das Video wird anschließend geladen und danach abgespielt.

Youtube Videos ab jetzt direkt anzeigen

Video anzeigen

Etwas ausführlicheres Erklärvideo (ca. 15min) von Netbird:

Datenschutzhinweis für Youtube

An dieser Stelle möchten wir Ihnen ein Youtube-Video zeigen. Ihre Daten zu schützen, liegt uns aber am Herzen: Youtube setzt durch das Einbinden und Abspielen Cookies auf ihrem Rechner, mit welchen sie eventuell getracked werden können. Wenn Sie dies zulassen möchten, klicken Sie einfach auf den Play-Button. Das Video wird anschließend geladen und danach abgespielt.

Youtube Videos ab jetzt direkt anzeigen

Video anzeigen

 

[asm@s24]

Dann müsste ich ja auf meinem Filer, Pihole etc. überall Netbird haben, um darauf zugreifen zu können - und wie ich komme ich dann von da ins Internet?

Du brauchst nur einen einzigen Peer in Deinem Homelan, der ist dann quasi ein Router. Ich hab zwei, einen LXC und einen RasPi, das gibt eine HA-Konfiguration. (Single Point of Failure ist dann "nur noch" die Internetverbindung.)
Dann Clients auf Notebook, Tablet, Smartphone und Du bist von überall gleichzeitig daheim. Man kann sogar von unterwegs das Adguard Home nutzen.
Man muß nicht das ganze Lan routen, kann man alles über groups und policies granular einstellen (für installierte Clients/Peers).

Mir geht es halt darum, was der große Vorteil ist, gegenüber ganz normal Wireguard auf meinem Router laufen zu lassen

Ich find z.B. WG auf der Fritte recht umständlich. Und eine Verbindung kann auch immer nur von einem Gerät genutzt werden, oder?
Im Hotel hab ich aber immer die o.g. drei dabei. Und egal welches ich grad nehm, bin auf allen immer "daheim".

 

[toscdesign]

Ich find z.B. WG auf der Fritte recht umständlich.

WG auf Mikrotik Router ist auch sehr instabil. Habe aktuell mal wieder keinen Zugriff auf mein Offsite Backup.

Auch hier möchte ich mit Netbird Abhilfe schaffen. Nen Pi oder ne andere Linux Kiste als Routingpeer und fertig.

 

[Haldi]

Ich find z.B. WG auf der Fritte recht umständlich. Und eine Verbindung kann auch immer nur von einem Gerät genutzt werden, oder?

Dafür gibts den WGeasy docker container.

Btw. Für OpenWRT gibts jetzt Netbird Luci App.

Luci-app-netbird: Web UI for NetBird on OpenWrt

Hi everyone. I build a LuCI app for the NetBird mesh-VPN client on OpenWrt — manage NetBird on OpenWrt from the router, no command line needed. Compatible with OpenWrt 24.x (opkg) and 25.x (apk). GitHub repository: https://github.com/looong-cat/luci-app-netbird Pages...

forum.openwrt.org

Was ich nicht kapiere ist wieso man eine private P2P Verbindung will, diese aber über einen öffentlichen unkontrollierbaren Service steuern möchte.
Ja klar wenn ich TeamViewer/ oder Rustdesk starte bin ich auch froh keinen eigenen Server hosten zu müssten.
Aber wir sprechen hier von einer dauerhaft aktiven Verbindung ins eigene Heimnetz.
Ist das nicht irgendwie kontrovers?


Btw, irgendjemand Netbird Selfhosted auf der Oracle Cloud Free edition zum laufen bekommen?
Hatte mal 200$ credits für Vultr Hosting, aber das war nur 1 Monat gültig. Seither schiebe ich denen 5$ pro Monat in den Rachen weil ich zu Faul bin was anderes einzurichten....

 

[asm@s24]

Aber wir sprechen hier von einer dauerhaft aktiven Verbindung ins eigene Heimnetz.

Von meinen eigenen Clients per WG. Wo ist da das Problem? Ist ein WG-Netz unsicherer als eine einzelne Verbindung? Ich glaub nicht.

 

[Haldi]

Wo ist da das Problem? Ist ein WG-Netz unsicherer als eine einzelne Verbindung? Ich glaub nicht.

Ich meine die Netbird Verwaltung.
Sollte sich mal jemand auf deren Systeme hacken kann er ja direkt neue Geräte frei in jedes Netz verbinden wie er will

 

[asm@s24]

einen öffentlichen unkontrollierbaren Service

Das ist so "öffentlich" oder "unkontrollierbar" wie Deine Kreditkarten im Smartphone Wallet. Machst Du doch auch.

Beitrag automatisch zusammengeführt: Gestern um 22:47

kann er ja direkt neue Geräte frei in jedes Netz verbinden wie er will

Glaub nicht, daß es so einfach ist.
Dann darfst Du auch kein Teams mit M-Account nutzen. Oder Online-Banking. Oder ... oder ... oder.

 

[Haldi]

wie Deine Kreditkarten im Smartphone Wallet. Machst Du doch auch.

Nö.
Ich möchte weder Google Noch Apple noch Samsung mein komplettes Kaufverhalten offenbaren. Das bleibt schön bei meiner "vertrauenswürdigen" Bank. Die auch mein Twint kontrolliert. Einziges Digitales Zahlungsmittel das ich nutze.
Offtopic aber das Video ist gut:

Glaub nicht, daß es so einfach ist.
Dann darfst Du auch kein Teams mit M-Account nutzen. Oder Online-Banking. Oder ... oder ... oder.

Doch so einfach ist es.
Du gehst im Web interface auf "Setup Key erstellen" und schon kannst du jedes Gerät das du willst in deine Gruppe hinzufügen.
Ist nicht so als hätten sich die Chinese nicht monatelang auf Microsofts Servern herumgetrieben ohne das jemand irgendwas davon mitbekommen hat oder?...
Ich nutze diese Grütze von Teams zum glück wirklich nicht. Aber nicht wegen Sicherheit sondern wegen Abscheu gegenüber der Software. Online Banking nutzen ich aber durchaus. Ich mein da Loge ich mich ein, mit 2FA, und danach wieder aus. Ob ich es jemals mitbekommen würde wenn sich jemand anders einlogt? Vermutlich nicht.

H
ast du einen Macfilter auf deiner Firewall? Werden neue Geräte von Haus aus immer geblockt bis du sie Manuel zulässt?