NetBird: reforzando el plano de control de una superposición ZTNA WireGuard autoalojada

NetBird es una plataforma de acceso a red de confianza cero (ZTNA) de código abierto construida sobre el protocolo WireGuard, distribuida de modo que puede autoalojarse en lugar de funcionar únicamente como un servicio en la nube gestionado. Para los MSP que la evalúan como sustituto de una VPN o del acceso remoto, la cuestión de ingeniería interesante no es si funciona, sino con qué seriedad hay que tratar su plano de control como infraestructura de producción.

Arquitectura y licencias

NetBird combina un cliente ligero en cada par con un plano de gestión que se encarga de la autenticación, el intercambio de claves y la distribución de políticas; una vez que los pares están conectados, el tráfico de datos fluye directamente entre ellos a través de túneles WireGuard cifrados, en lugar de pasar por el servicio de gestión. Según el repositorio de GitHub de NetBird, el proyecto está licenciado bajo BSD-3-Clause, salvo los directorios de gestión, señalización y retransmisión, que están licenciados bajo AGPLv3. Se trata de un patrón de doble licencia habitual en infraestructura autoalojable —no una trampa propietaria de «núcleo abierto»—, pero conviene leer las obligaciones AGPLv3 de los componentes de servidor antes de redistribuir una compilación modificada.

Por qué el plano de control merece un tratamiento de producción

Dado que el servicio de gestión de NetBird emite las decisiones de política e identidad en las que confía cada par, un despliegue autoalojado debería recibir el mismo rigor operativo que cualquier otro sistema de identidad: SSO y MFA en el acceso administrativo, políticas de acceso granulares por usuario y por grupo en lugar de un permitir-todo plano, registro de auditoría de los cambios de política y bloqueo a nivel de red de los servicios de gestión, señalización y retransmisión para que no queden expuestos a internet sin necesidad. Las copias de seguridad y la recuperación ante desastres del plano de control importan tanto como la demostración de conectividad entre pares: perder la base de datos de gestión significa perder la capacidad de añadir, eliminar o regenerar claves de los pares, no solo un panel de control.

Una lista de comprobación práctica para autoalojar NetBird

• Exija SSO y MFA para todas las cuentas administrativas del servicio de gestión.
• Escriba políticas de acceso por usuario o grupo en lugar de depender de una regla amplia de permitir por defecto.
• Restrinja la exposición de red de los componentes de gestión, señalización y retransmisión a lo que realmente necesite alcanzarlos.
• Active el registro de auditoría para los cambios de políticas y de pertenencia de pares.
• Haga copias de seguridad de la base de datos del plano de control y pruebe a restaurarla antes de necesitarlo.

Fuentes: NetBird — repositorio de GitHub, NetBird.