NetBird 與 Tailscale 怎麼選？Mesh VPN 比較

NetBird 與 Tailscale：簡短結論

NetBird 與 Tailscale 的選擇，關鍵在於控制平面，因為這兩種 mesh VPN 都使用 WireGuard 傳送封包。Tailscale 代替你執行協調伺服器，而該伺服器是閉源軟體。NetBird 也提供相同類型的託管服務。此外，NetBird 以開放授權發布管理伺服器，因此你可以在一台 VPS 上執行整套系統。如果你不希望由自己這一方操作伺服器，請選擇 Tailscale。如果控制平面必須執行在你所控制的硬體上，請選擇 NetBird。

如果你仍在比較兩種以上的工具，請先查看更完整的 Tailscale 替代方案清單。以下各節會直接比較這兩種工具，聚焦在它們真正不同的四個面向。

相同之處：底層都是 WireGuard

Mesh VPN（虛擬私人網路）會讓每台裝置直接連線到其他所有裝置。網路流量不會經過單一中央閘道。兩項工具都會為每台裝置建立 WireGuard 金鑰組。私密金鑰會在裝置上建立，且不會離開該裝置。接著，兩者都會嘗試在兩個對等端之間建立直接通道。只有在直接路徑失敗時，才會使用 relay。

這表示兩項產品在線路上的加密使用相同的通訊協定。任一系統中的 relay 都只是轉送無法解密的 WireGuard 封包，因為 relay 從未持有私密金鑰。如需完全不使用控制平面的基準，請參閱 純 WireGuard 之上 Tailscale 增加了什麼。

資料路徑仍有一項差異。Tailscale 會透過 wireguard-go 在 userspace 中執行 WireGuard。NetBird README 則列出 Linux 上的 kernel WireGuard。不要只根據這點做選擇。請在自己的 VPS 上，透過通道執行 iperf3。通常最先達到限制的是 CPU、頻寬配額，或對等端之間的網路路徑。

誰負責執行 control plane？

control plane 是一台伺服器，會記錄每部裝置的公開金鑰與 tunnel 位址。它會告知每部裝置有哪些 peer，以及該裝置可以連線到哪些 peer。它不會承載您的網路流量。

Tailscale。 coordination server 是 closed source，僅以 Tailscale 的 hosted service 形式執行。client 是 open source，包括各平台上的核心 daemon，以及完整的 Linux 和 Android client。Windows 和 macOS 的圖形應用程式是 closed source。DERP（Tailscale 的 relay server）原始碼為 open source。如果您需要在自己的伺服器上執行與 Tailscale 相容的 control plane，可使用 Headscale。Tailscale 將其描述為由社群維護的獨立專案，且不負責指揮該專案。設定方式請參閱 將 Headscale 作為自架的 Tailscale control server 執行。

NetBird。 app.netbird.io 提供 hosted cloud，您也可以從 GitHub 取得相同的程式碼並自行執行。截至 October 2026，repository README 已清楚列出授權條款。client 與 repository 的大部分內容採用 BSD-3-Clause。management/、signal/ 與 relay/ 目錄採用 AGPLv3（GNU Affero General Public License, version 3）。AGPL 增加一項條件。如果您修改這些 server，並讓其他人透過網路使用，則必須向這些使用者提供修改後的原始碼。

NetBird 的 server side 分為三個部分。management service 儲存網路狀態，包括 peer 金鑰、IP 位址配置、存取控制與 DNS 設定。signal service 協助兩個 peer 交換連線候選項目。這些訊息會在 peer 之間加密，因此 signal 無法讀取。當不存在直接路徑時，relay service 會承載流量。

如何在各自的產品中撰寫存取規則？

兩項產品建立新網路時，都會先加入允許所有流量的規則。在變更規則前，任何裝置都能連線至其他所有裝置。新增存放重要資料的伺服器前，請先取代這項規則。

Tailscale：單一政策檔案

Tailscale 將所有存取規則存放在 tailnet policy file 中。該檔案使用 HuJSON（human JSON），也就是允許註解與結尾逗號的 JSON。您可以在管理主控台中編輯，或透過 API 推送。現行規則的寫法如下：grants。這個檔案允許一個群組透過 SSH 和 HTTPS 連線至標記為 production 的伺服器。檔案也包含一項測試：

{
  "groups": {
    "group:engineering": ["alice@example.com", "bob@example.com"]
  },
  "tagOwners": {
    "tag:production": ["group:engineering"]
  },
  "grants": [
    {
      "src": ["group:engineering"],
      "dst": ["tag:production"],
      "ip": ["tcp:22", "tcp:443"]
    }
  ],
  "tests": [
    {
      "src": "alice@example.com",
      "accept": ["tag:production:22"]
    }
  ]
}

tests 區段很重要。每次 policy file 變更時，系統都會執行其中的 assertion 進行檢查，因此錯誤的編輯內容會在套用前被偵測到。新 tailnet 的預設政策是單一 acls 項目，包含 "src": ["*"] 和 "dst": ["*:*"]。完全省略 acls 欄位也代表允許所有流量。設定好允許規則後，請刪除該項目。截至 October 2026，免費 Personal plan 提供 3 個 ACL 群組。

NetBird：在儀表板中使用群組和政策

NetBird 透過 群組 和 政策 建立存取控制。群組是一組 peers。您可以手動將 peers 加入群組，也可以透過 setup key 所附加的群組，或從 identity provider 中的 user groups 加入。政策會指定來源群組和目的地群組。政策可以是單向或雙向。也可以限制通訊協定與連接埠，範圍的寫法如下：8000-9000。政策也可以包含 posture checks。posture check 是 peer 必須符合的條件，連線才會獲准。

您可以在儀表板中建立上述所有設定。新帳戶會隨附名為 Default 的政策，允許所有 peers 彼此通訊。請先加入您自己的政策，再停用 Default。如果您希望以文字管理規則，NetBird 提供公開的 REST API。它也提供官方 Terraform provider（netbirdio/netbird），可搭配 NetBird Cloud 和自架的 management server。NetBird 的存取控制文件沒有說明像 Tailscale tests 區段那樣的內建 test assertions。使用 Terraform 時，請改為檢視 plan 輸出。

沒有直接路徑時，網路流量如何轉送？

兩個工具都會先嘗試建立直接連線。它們使用 STUN（NAT 的工作階段穿越工具）來取得每個對等端的公開位址。接著，兩端都會嘗試穿越 NAT（網路位址轉譯）建立路徑。嚴格的防火牆和部分行動網路會封鎖這類連線，因此兩個工具都需要備援方案。

Tailscale 會改用 DERP（封包的指定加密中繼）伺服器。Tailscale 在多個區域執行這些伺服器，並透過 HTTPS 傳送網路流量。這不會產生額外費用。Tailscale 也支援對等中繼。對等中繼是由你自己的其中一台裝置擔任中繼，Tailscale 會先嘗試使用它，再改用 DERP。Tailscale 的文件指出，當你需要比 DERP 提供的延遲更低、輸送量更高時，可以使用對等中繼。對等中繼已於 18 February 2026 在所有方案中普遍提供，包括免費方案。你可以使用自選的 UDP 埠啟用對等中繼，並在原則檔案中透過 grant 允許：

sudo tailscale set --relay-server-port=40000

若要查看連線使用的路徑，請對對等端執行 tailscale ping。若回應顯示 via DERP(fra)，表示使用中繼。若回應列出 IP 位址和埠，表示使用直接連線。若連線持續使用中繼，Tailscale 中繼連線速度緩慢的原因，以及如何建立直接連線會說明相關原因。

NetBird 在較舊版本中會透過 coturn TURN 伺服器轉送網路流量。Version 0.29.0 引入了 NetBird Relay，之後已取代 coturn，處理中繼連線。中繼可在 /relay 路徑接受 WebSocket 連線，或在 UDP port 33080 上使用 QUIC。近期的建議也將 STUN 移入中繼服務。在 NetBird Cloud 上，NetBird 會執行中繼。在自架伺服器上，則由你執行中繼。每個經中繼轉送的位元組都會計入 VPS 頻寬用量，而每條經中繼的路徑都會通過該 VPS 所在的位置。請使用以下指令檢查每個對等端的路徑：

netbird status -d

每個對等端會顯示 P2P（直接）或 Relayed 的連線類型。

在一台 VPS 上自行託管 NetBird 需要哪些工作？

官方快速入門會以一個指令設定完整的伺服器端。截至 October 2026，系統需要一台至少具備 1 CPU 與 2 GB 記憶體的 Linux 機器。此外，還需要一個解析至該 VPS 的公開網域名稱，以及已安裝 compose plugin 的 Docker、jq 與 curl。在 VPS 防火牆中開放 TCP 80、TCP 443 與 UDP 3478。也要在供應商的網路防火牆中開放這些連接埠，因為多數控制面板會將它視為獨立設定。

export NETBIRD_DOMAIN=netbird.example.com; curl -fsSL https://github.com/netbirdio/netbird/releases/latest/download/getting-started.sh | bash

該指令會部署以下 4 類服務：

• Traefik 反向代理，並使用 Let's Encrypt 提供的 TLS（transport layer security）憑證。
• 內嵌的 Dex 伺服器作為身分識別提供者，讓你無須外部登入系統，即可在儀表板中建立使用者。
• 上述的管理、signal 與 relay 服務。
• 選用功能：NetBird Proxy 服務與 CrowdSec IP 信譽過濾。

之後，每個元件都由你負責執行。身分識別提供者會決定誰能登入及新增裝置。對小型團隊而言，Dex 已經足夠。日後也可以連線至外部單一登入提供者，例如 自行託管的 Authentik SSO 伺服器。TLS 設定有先後順序。Let's Encrypt 會連線至這台 VPS，以驗證網域，因此請在執行指令前建立 DNS 記錄並開放連接埠。如果網域尚未解析至該 VPS，驗證會失敗，也不會核發憑證。備份與升級也由你負責。完整安裝流程及每個步驟後的檢查，請參閱 自行託管 NetBird VPN 伺服器的指南。

在每台 Linux 伺服器上註冊

加入 mesh 需要對控制平面具備對外網路存取權，因此請在您自己的電腦上執行這些命令。伺服器沒有瀏覽器，因此兩個工具都會使用您事先建立的 key，而不是互動式登入。

Tailscale 使用管理主控台中的 auth key：

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up --auth-key=YOUR_AUTH_KEY
tailscale status

tailscale status 應列出這台機器及其 100.x.y.z 位址，並列出 tailnet 中的其他裝置。未設定到期時間的 auth key 會在 90 days 後到期，這是允許的最長期限。已完成註冊的伺服器會維持註冊狀態。用於註冊新伺服器的 script 需要新的 key。

NetBird 使用 dashboard 中的 setup key：

curl -fsSL https://pkgs.netbird.io/install.sh | sh
netbird up --setup-key YOUR_SETUP_KEY
netbird status

對於自架伺服器，請將 --management-url https://netbird.example.com 加到 netbird up 行。否則，client 會連線至 NetBird Cloud，而 NetBird Cloud 不知道您在自己的伺服器上建立的 setup key。netbird status 應顯示 management 和 signal services 已連線。

免費方案與價格，截至 October 2026

以下數據取自 2 October 2026 的兩個價格頁面。價格會變動，承諾採用前請再次確認。

Tailscale Personal 免費提供給最多 6 位使用者，且使用者裝置數量不限。方案包含 50 個標記資源（歸屬於標記而非個人的伺服器）和 3 個 ACL 群組。付費方案包括 Standard，每位使用者每月 $8；以及 Premium，每位使用者每月 $18。Enterprise 方案需洽詢報價。家庭或小型團隊實際需要為 Tailscale 支付多少費用涵蓋各種特殊情況。

NetBird Cloud 免費提供給最多 5 位使用者和 100 台機器。Team 方案每位使用者每月 €6，Business 方案每位使用者每月 €12。Enterprise 方案需洽詢報價。付費方案包含 100 台機器，另加每位使用者 10 台；每增加 1 台機器，每月需支付 €0.50。Self-hosted NetBird 不收取授權費用。您需要支付 VPS 費用，以及維運所需的時間。

選擇 Tailscale 的情況⋯

• 團隊中沒有人願意執行、修補或備份控制伺服器。
• 您希望將存取規則集中在單一文字檔案中，並透過測試在套用前攔截錯誤變更。
• 使用者經常出差，並從飯店或行動網路連線。在這些環境中，Tailscale 分布於多個地區的 DERP 伺服器可提供鄰近的備援連線，無須額外設定。
• 團隊符合 6 位使用者的免費方案，或可接受按使用者計費的價格。

如果符合以下情況，請選擇 NetBird...

• 控制平面必須執行在您擁有的基礎架構上，並使用官方專案，而非另一套獨立實作。
• 您需要讓超過 6 位使用者加入自架網路，且不想支付按使用者計算的費用。
• 您的團隊偏好在儀表板中管理群組與政策，或已在其他工作中全面使用 Terraform。
• 您想先使用 NetBird Cloud，並保留日後遷移至自有伺服器的選項，同時沿用相同的用戶端。

各自缺少的功能

此處每一項內容，都是根據廠商截至 2 October 2026 的官方文件或定價頁面確認而來。

Tailscale 缺少：

• 官方的自架 control server。協調伺服器採用封閉原始碼，Headscale 則是獨立的社群專案。
• Windows 和 macOS 上的開放原始碼圖形化用戶端。底層 daemon 採用開放原始碼，但應用程式本身不是。

NetBird 缺少：

• 內建的存取政策測試斷言。其存取控制文件未說明這類功能，因此政策審查必須由你自行進行，或依靠 Terraform plans。
• 自架時由其他人運行的 relay。你的 relay 會位於 VPS 上。遠離該 VPS 的 peer 會經過較長的 relay 路徑，而頻寬費用由你負擔。

兩者都以 allow-all 政策開始，因此新建立的網路在你撰寫規則前會完全開放。如需了解 hosted 端的完整威脅模型，請參閱 hosted control plane 能看到與無法看到的內容。

FAQ

NetBird 是完全開放原始碼的嗎？

是，但採用 2 種授權條款。截至 2026 年 10 月，NetBird README 指出，client 與 repository 的大部分內容採用 BSD-3-Clause。management/、signal/ 與 relay/ 目錄則採用 AGPLv3。若您修改這些 server 元件，並讓其他人透過網路使用，AGPL 會要求您向這些使用者提供修改後的原始碼。

我可以像 NetBird 一樣自行代管 Tailscale 的 control server 嗎？

不行。Tailscale 的 coordination server 為 closed source，且只能以其 hosted service 的形式執行。一般的自架替代方案是 Headscale。這是一個獨立的 open source coordination server，可搭配官方 Tailscale clients 使用。Tailscale 聘用了 Headscale 的主要維護者，但表示不會指揮該專案。

在 NetBird 或 Tailscale 中，relay 能讀取我的網路流量嗎？

不能。在這 2 個產品中，WireGuard private key 都是在裝置上建立，且不會離開裝置。Tailscale DERP server、Tailscale peer relay 與 NetBird relay 都只會轉送加密的 WireGuard 封包。relay 仍可看見它連接到哪些 peers，以及它們之間傳輸了多少資料。

自行代管 NetBird 需要什麼 VPS？

截至 2026 年 10 月，官方 quickstart 要求至少 1 個 CPU 與 2 GB 記憶體。此外還需要解析至該 VPS 的公開網域、含 compose plugin 的 Docker，以及開放 TCP 80、TCP 443 與 UDP 3478 埠。也請為 relay traffic 預留頻寬。在自架 server 上，每個 relay connection 都會經過您的 VPS。

哪一個產品的免費方案較大？

截至 2026 年 10 月，Tailscale Personal 允許最多 6 位使用者，且使用者裝置數量不限。NetBird Cloud 免費方案允許最多 5 位使用者與 100 台 machines。自架 NetBird server 沒有使用者數量上限，也不收取 license fee，但您必須支付 VPS 費用並自行維運。