NetBird: Härtung der Control Plane eines selbst gehosteten WireGuard-ZTNA-Overlays

NetBird ist eine Open-Source-Plattform für Zero-Trust-Netzwerkzugriff (ZTNA), die auf dem WireGuard-Protokoll aufbaut und so verteilt wird, dass sie selbst gehostet werden kann, statt nur als verwalteter Cloud-Dienst zu laufen. Für MSPs, die sie als VPN- oder Remote-Access-Ersatz prüfen, ist die interessante technische Frage nicht, ob sie funktioniert – sondern wie ernsthaft ihre Control Plane als Produktionsinfrastruktur behandelt werden muss.

Architektur und Lizenzierung

NetBird kombiniert einen schlanken Client auf jedem Peer mit einer Management-Ebene, die Authentifizierung, Schlüsselaustausch und Richtlinienverteilung übernimmt; sobald Peers verbunden sind, fließt der Datenverkehr direkt zwischen ihnen über verschlüsselte WireGuard-Tunnel und nicht über den Management-Dienst. Laut dem GitHub-Repository von NetBird ist das Projekt unter BSD-3-Clause lizenziert, mit Ausnahme der Verzeichnisse für Management, Signal und Relay, die unter AGPLv3 lizenziert sind. Das ist ein übliches Dual-Lizenz-Muster für selbst hostbare Infrastruktur – keine proprietäre „Open-Core“-Falle –, aber die AGPLv3-Verpflichtungen für die Server-Komponenten sind lesenswert, bevor ein modifizierter Build weiterverteilt wird.

Warum die Control Plane eine Produktionsbehandlung verdient

Da der Management-Dienst von NetBird die Richtlinien- und Identitätsentscheidungen ausstellt, denen jeder Peer vertraut, sollte eine selbst gehostete Bereitstellung dieselbe operative Sorgfalt erhalten wie jedes andere Identitätssystem: SSO und MFA für den administrativen Zugriff, granulare Zugriffsrichtlinien pro Benutzer und Gruppe statt einer pauschalen Allow-all-Regel, Audit-Protokollierung von Richtlinienänderungen und netzwerkseitige Abschottung der Management-, Signal- und Relay-Dienste, damit sie nicht unnötig aus dem Internet erreichbar sind. Backup und Disaster Recovery für die Control Plane sind genauso wichtig wie die Peer-Konnektivitäts-Demo – der Verlust der Management-Datenbank bedeutet den Verlust der Fähigkeit, Peers hinzuzufügen, zu entfernen oder neu zu verschlüsseln, nicht nur eines Dashboards.

Eine praktische Checkliste für das Self-Hosting von NetBird

• SSO und MFA für jedes administrative Konto im Management-Dienst verpflichtend machen.
• Zugriffsrichtlinien pro Benutzer/Gruppe formulieren, statt sich auf eine breite Default-Allow-Regel zu verlassen.
• Die Netzwerk-Exposition der Management-, Signal- und Relay-Komponenten auf das beschränken, was sie tatsächlich erreichen muss.
• Audit-Protokollierung für Richtlinien- und Peer-Mitgliedschaftsänderungen aktivieren.
• Die Control-Plane-Datenbank sichern und die Wiederherstellung testen, bevor sie benötigt wird.

Quellen: NetBird — GitHub-Repository, NetBird.