NetBird или Tailscale: что выбрать для mesh VPN

NetBird против Tailscale: краткий ответ

Выбор между NetBird и Tailscale — это вопрос выбора плоскости управления (control plane), так как обе mesh VPN передают пакеты с помощью WireGuard. Tailscale предоставляет свой координационный сервер как сервис, при этом исходный код сервера закрыт. NetBird предлагает аналогичный облачный сервис. Кроме того, NetBird публикует код своего сервера управления под открытой лицензией, что позволяет развернуть всю систему на одном VPS. Выбирайте Tailscale, если в вашей команде нет специалистов для обслуживания сервера. Выбирайте NetBird, если плоскость управления должна работать на оборудовании, которое вы контролируете.

Если вы всё ещё сравниваете более двух инструментов, начните с более широкого списка альтернатив Tailscale. В разделах ниже эти два инструмента сравниваются напрямую по четырем ключевым пунктам, в которых они действительно различаются.

Общее: WireGuard в основе

Mesh VPN (виртуальная частная сеть) соединяет каждое устройство напрямую с любым другим. Трафик не проходит через центральный шлюз. Оба инструмента предоставляют каждому устройству пару ключей WireGuard. Закрытый ключ создается на устройстве и никогда не покидает его. Затем оба инструмента пытаются построить прямой туннель между двумя узлами. Реле используется только в том случае, если прямой путь установить не удалось.

Это означает, что шифрование в канале связи использует один и тот же протокол в обоих продуктах. Реле в любой из систем пересылает пакеты WireGuard, которые оно не может расшифровать, так как у него нет закрытого ключа. Информацию о базовой конфигурации без какой-либо плоскости управления см. в разделе что Tailscale добавляет поверх обычного WireGuard.

Одно различие все же существует в пути прохождения данных. Tailscale запускает WireGuard в пространстве пользователя через wireguard-go. В README для NetBird указано использование WireGuard на уровне ядра в Linux. Не стоит делать выбор, основываясь только на этом. Запустите iperf3 через туннель на собственном VPS. Ограничение обычно определяется производительностью CPU, пропускной способностью канала или сетевым маршрутом между узлами.

Кто управляет control plane?

Control plane — это сервер, который знает открытый ключ и адрес туннеля каждого устройства. Он сообщает каждому устройству, какие узлы существуют и к каким из них можно подключиться. Он не передает ваш трафик.

Tailscale. Сервер координации имеет закрытый исходный код. Он работает только как облачный сервис Tailscale. Клиенты имеют открытый исходный код: основной демон на всех платформах, а также полноценные клиенты для Linux и Android. Графические приложения для Windows и macOS закрыты. Код DERP, ретрансляционного сервера Tailscale, открыт. Если вам нужен совместимый с Tailscale control plane на собственном оборудовании, используйте Headscale. Tailscale описывает его как независимый проект, поддерживаемый сообществом, которым компания не управляет. Настройка описана в запуске Headscale в качестве self-hosted сервера управления Tailscale.

NetBird. Существует облачный сервис по адресу app.netbird.io, а тот же код доступен на GitHub для самостоятельного запуска. По состоянию на октябрь 2026 года в файле README репозитория четко указаны лицензии. Клиент и большая часть репозитория распространяются под лицензией BSD-3-Clause. Директории management/, signal/ и relay/ лицензированы по AGPLv3 (GNU Affero General Public License, версия 3). AGPL добавляет одно условие. Если вы модифицируете эти серверы и предоставляете другим людям доступ к ним по сети, вы обязаны предоставить этим людям исходный код ваших изменений.

Серверная часть NetBird состоит из трех компонентов. Сервис management хранит состояние сети: ключи узлов, распределение IP-адресов, настройки контроля доступа и DNS. Сервис signal помогает двум узлам обменяться кандидатами для соединения. Эти сообщения шифруются между узлами, поэтому сервис signal не может их прочитать. Сервис relay передает трафик, если прямой путь между узлами отсутствует.

Как прописывать правила доступа в каждом из них?

Оба продукта создают новую сеть с правилом «разрешить всё». Каждое устройство может связаться с любым другим, пока вы это не измените. Замените это правило до того, как добавите сервер, на котором хранятся важные данные.

Tailscale: один файл политики

Tailscale хранит все правила доступа в файле политики tailnet. Он использует формат HuJSON (human JSON) — это JSON, который также допускает комментарии и запятые в конце списков. Вы редактируете его в консоли администратора или отправляете через API. Текущие правила записываются как grants. Этот файл позволяет одной группе обращаться к помеченным рабочим серверам только по SSH и HTTPS. Он также включает проверку:

{
  "groups": {
    "group:engineering": ["alice@example.com", "bob@example.com"]
  },
  "tagOwners": {
    "tag:production": ["group:engineering"]
  },
  "grants": [
    {
      "src": ["group:engineering"],
      "dst": ["tag:production"],
      "ip": ["tcp:22", "tcp:443"]
    }
  ],
  "tests": [
    {
      "src": "alice@example.com",
      "accept": ["tag:production:22"]
    }
  ]
}

Секция tests имеет важное значение. Её утверждения выполняются как проверки при каждом изменении файла политики, поэтому ошибочная правка будет обнаружена до её применения. Политика по умолчанию в новой tailnet — это одна запись acls с "src": ["*"] и "dst": ["*:*"]. Полное отсутствие поля acls также означает «разрешить всё». Удалите эту запись, как только настроите свои права доступа. По состоянию на октябрь 2026 года бесплатный тариф Personal предоставляет 3 группы ACL.

NetBird: группы и политики в панели управления

NetBird строит контроль доступа на основе групп и политик. Группа — это набор узлов (peers). Вы можете добавлять узлы в группу вручную, через группы, привязанные к ключу установки (setup key), или из групп пользователей в вашем провайдере идентификации. Политика определяет исходную группу и целевую группу. Она может быть односторонней или двусторонней. Также можно ограничить протокол и порты, диапазоны которых записываются как 8000-9000. Политика может содержать проверки состояния (posture checks). Проверка состояния — это условие, которому должен соответствовать узел, прежде чем соединение будет разрешено.

Всё это настраивается в панели управления. Новая учётная запись поставляется с политикой под названием Default, которая позволяет всем узлам общаться друг с другом. Сначала добавьте свои собственные политики, а затем отключите Default. Если вам нужны правила в текстовом виде, у NetBird есть публичный REST API. Также имеется официальный провайдер Terraform (netbirdio/netbird), который работает как с NetBird Cloud, так и с self-hosted сервером управления. В документации по контролю доступа NetBird не описаны встроенные утверждения для тестирования, подобные секции tests в Tailscale. При использовании Terraform вы проверяете результат выполнения плана (plan output).

Как передается трафик, если прямой путь отсутствует?

Оба инструмента сначала пытаются установить прямое соединение. Они используют STUN (session traversal utilities for NAT) для определения публичного адреса каждого узла. Затем они пытаются открыть путь через NAT (network address translation) с обеих сторон. Строгие межсетевые экраны и некоторые мобильные сети блокируют это, поэтому обоим инструментам требуется резервный вариант.

Tailscale использует в качестве резерва серверы DERP (designated encrypted relay for packets). Tailscale поддерживает их работу во многих регионах, и они передают трафик по протоколу HTTPS. Они не требуют дополнительной оплаты. У Tailscale также есть пиринговые реле (peer relays). Пиринговое реле — это одно из ваших собственных устройств, выполняющее роль ретранслятора; Tailscale пытается использовать его перед DERP. В документации Tailscale пиринговые реле представлены как вариант, когда требуются меньшая задержка и более высокая пропускная способность, чем может обеспечить DERP. Пиринговые реле стали общедоступны 18 февраля 2026 года во всех тарифных планах, включая бесплатный. Вы включаете его на выбранном UDP-порту и разрешаете использование с помощью правила в файле политик:

sudo tailscale set --relay-server-port=40000

Чтобы узнать, какой путь использует соединение, выполните tailscale ping для нужного узла. Ответ, содержащий via DERP(fra), означает, что соединение ретранслируется. Ответ, содержащий IP-адрес и порт, означает прямое соединение. Если соединение остается ретранслируемым, почему ретранслируемое соединение Tailscale работает медленно и как получить прямое поможет разобраться в причинах.

NetBird в старых версиях ретранслировал трафик через TURN-сервер coturn. В версии 0.29.0 был представлен NetBird Relay, который с тех пор заменил coturn для ретранслируемых соединений. Реле принимает WebSocket-соединения по пути /relay или QUIC на UDP-порту 33080. Текущие рекомендации также включают перенос STUN в службу реле. В NetBird Cloud реле обслуживает сама компания NetBird. При самостоятельном размещении сервера реле обслуживаете вы. Каждый ретранслируемый байт учитывается в рамках пропускной способности вашего VPS, и каждый ретранслируемый путь проходит через местоположение этого VPS. Проверьте путь для каждого узла с помощью:

netbird status -d

Для каждого узла отображается тип соединения P2P (прямое) или Relayed.

Что включает в себя self-hosting NetBird на одном VPS?

Официальное руководство по быстрому запуску разворачивает всю серверную часть с помощью одного скрипта. По состоянию на октябрь 2026 года требуется Linux-машина минимум с 1 CPU и 2 GB оперативной памяти. Также необходимо публичное доменное имя, которое указывает на ваш VPS, и установленный Docker с плагином compose, jq и curl. Откройте порты TCP 80, TCP 443 и UDP 3478 в межсетевом экране (firewall) на самом VPS. Также откройте их в сетевом экране вашего провайдера, который в большинстве панелей управления настраивается отдельно.

export NETBIRD_DOMAIN=netbird.example.com; curl -fsSL https://github.com/netbirdio/netbird/releases/latest/download/getting-started.sh | bash

Скрипт разворачивает четыре типа сервисов:

• Traefik в качестве reverse proxy с TLS (transport layer security) сертификатами от Let's Encrypt.
• Встроенный сервер Dex в качестве провайдера идентификации, что позволяет создавать пользователей в панели управления без использования внешних систем авторизации.
• Сервисы management, signal и relay, описанные выше.
• Дополнительные компоненты: сервис NetBird Proxy и фильтрация репутации IP-адресов через CrowdSec.

Теперь каждый из этих компонентов находится под вашим управлением. Провайдер идентификации определяет, кто может войти в систему и добавить устройства. Dex достаточно для небольшой команды. Позже вы сможете подключить внешнего провайдера единого входа (SSO), например, self-hosted сервер Authentik SSO. Работа TLS зависит от порядка действий. Let's Encrypt проверяет домен, подключаясь к этому VPS, поэтому создайте DNS-запись и откройте порты до запуска скрипта. Если домен еще не указывает на VPS, проверка завершится ошибкой и сертификат не будет выдан. Резервное копирование и обновления также лежат на вас. Полная процедура установки с проверкой каждого этапа приведена в руководстве по self-hosting VPN-сервера NetBird.

Регистрация Linux-сервера в сети

Для подключения к mesh-сети требуется исходящий доступ к control plane, поэтому выполняйте эти команды на целевой машине. На сервере отсутствует браузер, поэтому оба инструмента используют предварительно созданный ключ вместо интерактивного входа.

Tailscale с использованием auth key из панели администратора:

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up --auth-key=YOUR_AUTH_KEY
tailscale status

tailscale status должен вывести список этой машины с адресом 100.x.y.z, а также другие устройства в вашей tailnet. Auth key без указания срока действия истекает через 90 дней, что является максимальным значением. Уже зарегистрированный сервер остаётся в сети. Скрипт для регистрации новых серверов требует свежий ключ.

NetBird с использованием setup key из панели управления:

curl -fsSL https://pkgs.netbird.io/install.sh | sh
netbird up --setup-key YOUR_SETUP_KEY
netbird status

Для self-hosted сервера добавьте --management-url https://netbird.example.com в строку netbird up. Без этого клиент обращается к NetBird Cloud, который не распознаёт setup key, созданный на вашем сервере. netbird status должен показать, что службы management и signal подключены.

Бесплатные тарифы и цены по состоянию на октябрь 2026 года

Эти данные взяты с двух страниц с ценами по состоянию на 2 октября 2026 года. Цены меняются, поэтому проверяйте их перед принятием решения.

Tailscale Personal бесплатен для использования максимум 6 пользователями с неограниченным количеством устройств на каждого. В тариф включено 50 ресурсов с тегами (серверы, которые привязаны к тегу, а не к конкретному пользователю) и 3 группы ACL. Платные тарифы: Standard по цене $8 за пользователя в месяц и Premium по цене $18. Стоимость Enterprise предоставляется по запросу. В обзоре того, сколько на самом деле платят за Tailscale домохозяйства или небольшие команды описаны пограничные случаи.

NetBird Cloud бесплатен для использования максимум 5 пользователями и 100 машинами. Тариф Team стоит €6 за пользователя в месяц, а Business — €12. Стоимость Enterprise предоставляется по запросу. Платные тарифы включают 100 машин плюс 10 на каждого пользователя, каждая дополнительная машина стоит €0.50 в месяц. Self-hosted NetBird не требует лицензионных отчислений. Вы платите только за VPS и за время, затраченное на его обслуживание.

Выбирайте Tailscale, если...

• Никто в вашей команде не хочет заниматься запуском, обновлением или резервным копированием сервера управления.
• Вы хотите хранить правила доступа в виде одного текстового файла с тестами, которые предотвращают применение некорректных изменений.
• Ваши пользователи часто путешествуют и подключаются через гостиничные или мобильные сети. В таких случаях DERP-серверы Tailscale, расположенные во многих регионах, обеспечивают автоматическое резервное соединение без дополнительной настройки.
• Ваша группа укладывается в бесплатный тариф на 6 пользователей или вас устраивает стоимость подписки на каждого пользователя.

Выбирайте NetBird, если...

• Control plane должен работать на вашей собственной инфраструктуре с использованием официального проекта, а не сторонней реализации.
• Вам нужно более 6 пользователей в self-hosted сети без оплаты за каждого пользователя.
• Ваша команда предпочитает управлять группами и политиками через панель управления или уже использует Terraform для всех остальных задач.
• Вы хотите начать работу с NetBird Cloud и сохранить возможность перехода на собственный сервер с тем же клиентом.

Чего не хватает каждой из сторон

Все пункты основаны на документации или странице с ценами от производителя по состоянию на 2 октября 2026 года.

Tailscale не имеет:

• Официального self-hosted сервера управления. Сервер координации имеет закрытый исходный код, а Headscale является сторонним проектом сообщества.
• Графических клиентов с открытым исходным кодом для Windows и macOS. Базовый демон открыт, но сами приложения — нет.

NetBird не имеет:

• Встроенных проверок (assertions) для политик доступа. В документации по управлению доступом они не описаны, поэтому проверка политик ложится на вас или на планы Terraform.
• При self-hosted установке — ретрансляторов (relays), которые обслуживает кто-то другой. Ваш ретранслятор находится на вашем VPS. Узел, расположенный далеко от этого VPS, получит длинный путь ретрансляции, а вы будете оплачивать трафик.

Оба решения по умолчанию используют политику «разрешить всё», поэтому новая сеть полностью открыта, пока вы не настроите правила. Полную модель угроз для облачной стороны см. в что может и чего не может видеть облачный сервер управления.

FAQ

Является ли NetBird полностью открытым ПО?

Да, но под двумя лицензиями. По состоянию на октябрь 2026 года в файле README проекта NetBird указано, что клиент и большая часть репозитория распространяются по лицензии BSD-3-Clause. Директории management/, signal/ и relay/ лицензированы по AGPLv3. Если вы вносите изменения в эти серверные компоненты и предоставляете другим пользователям доступ к ним по сети, лицензия AGPL обязывает вас предоставить этим пользователям исходный код ваших изменений.

Можно ли развернуть сервер управления Tailscale самостоятельно, как в случае с NetBird?

Нет. Сервер координации Tailscale имеет закрытый исходный код и работает только как облачный сервис. Обычно для самостоятельного хостинга используют Headscale — независимый сервер координации с открытым исходным кодом, совместимый с официальными клиентами Tailscale. Компания Tailscale нанимает ведущего разработчика Headscale, но заявляет, что не управляет данным проектом.

Может ли ретранслятор (relay) прочитать мой трафик в NetBird или Tailscale?

Нет. В обоих продуктах закрытый ключ WireGuard создается на самом устройстве и никогда не покидает его. Сервер DERP в Tailscale, одноранговый ретранслятор Tailscale и ретранслятор NetBird пересылают только зашифрованные пакеты WireGuard. Ретранслятор по-прежнему может видеть, какие узлы он соединяет и какой объем данных передается между ними.

Какой VPS нужен для самостоятельного хостинга NetBird?

По состоянию на октябрь 2026 года официальное руководство по быстрому запуску требует как минимум 1 CPU и 2 GB оперативной памяти. Также необходим публичный домен, указывающий на ваш VPS, установленный Docker с плагином compose и открытые порты TCP 80, TCP 443 и UDP 3478. Учитывайте пропускную способность для ретранслируемого трафика. При самостоятельном хостинге каждое ретранслируемое соединение проходит через ваш VPS.

У кого тарифный план с бесплатным уровнем больше?

По состоянию на октябрь 2026 года тариф Tailscale Personal позволяет использовать до 6 пользователей с неограниченным количеством устройств на каждого. Бесплатный облачный план NetBird позволяет использовать до 5 пользователей и 100 устройств. Собственный сервер NetBird не имеет ограничений по количеству пользователей и лицензионных отчислений, но вы оплачиваете аренду VPS и самостоятельно занимаетесь его обслуживанием.