Prohomelab

Предисловие

В homelab всё обычно начинается одинаково:

Сначала ты поднимаешь сервисы локально — всё работает идеально.
Потом появляется желание зайти к ним извне. И тут начинается: проброс портов, NAT, firewall, динамический DNS, домены, HTTPS и постоянная паранойя «а всё ли я закрыл»?
Дальше — больше: появляется VPN (речь не про обход блокировок, товарищ майор, а про безопасность). Но VPN тоже не всегда идеален: нужно поднимать сервер, настраивать клиентов, разбираться с маршрутизацией, чинить доступ с мобильных сетей. И в какой-то момент ты понимаешь, что занимаешься не сервисами, а сетью. Вот здесь и выходит на сцену Netbird.

Что такое NetBird

NetBird — это система, которая создаёт приватную mesh-сеть между всеми твоими устройствами. Проще говоря:

Все твои серверы, ноутбуки, телефоны и контейнеры становятся частью одной виртуальной сети.

И всё это:

• без проброса портов
• без ручной настройки WireGuard
• без сложной сетевой логики

Чем он отличается от Pangolin

Если коротко:

• Pangolin — публикует сервисы наружу (разной степени доступа конечно)
• NetBird — соединяет устройства между собой

Но сейчас граница размылась. NetBird теперь умеет: делать приватную сеть (его основная функция); давать доступ к ресурсам; публиковать сервисы наружу через встроенный прокси. Последнее уже новая функция, которая полностью меняет восприятие этого приложения.
То есть он превращается в универсальный инструмент доступа.

Основная идея: mesh-сеть

Вместо классического VPN (клиент → сервер), NetBird использует mesh сеть:

• устройства соединяются напрямую
• если не получается — используется relay
• маршруты строятся автоматически

Под капотом используется wireguard, но ты с ним почти не взаимодействуешь.

Почему это удобно

Новая фишка Netbird: публикация сервисов

Раньше NetBird был чисто про организацию приватной сети и получения к ней доступа. Теперь он умеет работать как обратный прокси. Это означает:

• ты можешь публиковать сервисы наружу;
• без прямого открытия портов на домашнем сервере;
• с контролем доступа.

Фактически, внутренний сервис → доступен по домену; трафик проходит через NetBird; доступ тонко регулируется политиками. Это делает его похожим на:

• Pangolin
• Cloudflare Tunnel

Но с важным отличием от Cloudflare Tunnel:

всё остаётся под твоим контролем

Как это работает

Ключевые сценарии использования

Требования к развертыванию

Подготовка сервера

Базовые шаги:

• создать пользователя (не root)
• настроить SSH
• включить firewall
• открыть нужные порты

(всё как обычно для любого VPS)

Ниже примерный перечень действий, которые можно будет реализовать на VPS до развертывания NetBird

Процесс подготовки VPS

1
adduser youruser
2
usermod -aG sudo youruser

1
su - youruser
2
sudo whoami

1
sudo nano /etc/ssh/sshd_config

1
Port 2222  (ставить такой порт это большая ошибка)
2
PermitRootLogin no

1
PasswordAuthentication no

1
sudo apt update
2
sudo apt install -y ufw

1
sudo ufw allow номерпортадляssh,еслитыневключилдоступтолькопоключам/tcp
2
sudo ufw allow 80/tcp
3
sudo ufw allow 443/tcp
4
sudo ufw allow 51820/udp

1
sudo ufw enable
2
sudo ufw status

1
sudo systemctl restart ssh

1
ssh youruser@your_ip -p номерпортадляssh,еслитыневключилдоступтолькопоключам

Reverse Proxy

Reverse Proxy в NetBird позволяет публиковать внутренние сервисы, запущенные на пирах (peers) или за сетевыми ресурсами, в публичный интернет. NetBird выполняет завершение TLS (TLS termination), при необходимости применяет аутентификацию и ограничения доступа, а также проксирует входящий трафик через mesh-сеть NetBird к целевому сервису — без необходимости открывать порты или настраивать firewall на внутренних машинах.

Доступность: функция Reverse Proxy в настоящее время находится в стадии beta.

Требование для self-hosted: в self-hosted развертываниях необходимо использовать Traefik в качестве внешнего reverse proxy. Это единственный поддерживаемый прокси, обеспечивающий TLS passthrough, необходимый для корректной работы функции Reverse Proxy.

Как это работает

При создании сервиса reverse proxy NetBird автоматически выделяет публичный домен с TLS-сертификатом. Входящий трафик к этому домену поступает в кластер прокси NetBird, затем пересылается через зашифрованный туннель NetBird к целевому пиру или сетевому ресурсу, где запущено ваше приложение.

Целевой сервис должен быть доступен только внутри сети NetBird — ему не требуется публичный IP-адрес или открытые порты.

NetBird поддерживает два типа сервисов:

• HTTP-сервисы (Layer 7)
  TLS завершается на прокси, далее HTTP-запросы проксируются на backend.
  Поддерживаются:
  • маршрутизация по пути (path-based routing)
  • проброс заголовка Host
  • переписывание редиректов
  • браузерная аутентификация (SSO, пароль, PIN)
• L4-сервисы (TCP, UDP, TLS)
  Работают на уровне транспорта (Layer 4).
  Прокси пересылает соединения или датаграммы без анализа содержимого.
  В режиме TLS используется SNI-маршрутизация без завершения TLS.

Можно включить аутентификацию и ограничить доступ по IP или стране.

Концепция

Prerequisites

Перед созданием:

• есть peer или network
• есть домен
• (self-hosted) есть proxy-инстанс
• есть права доступа

Быстрый старт

Управление сервисами

• редактирование
• включение/выключение
• удаление
• управление targets

Порты L4

• один сервис = один порт
• возможен auto или manual выбор
• нельзя пересекаться

Особенности:

• HTTP и TLS могут делить порт через SNI
• TCP fallback при отсутствии SNI

⚠️ Нельзя использовать один hostname для HTTP и TLS

Path-based routing

Пример:

Более подробно как устанавливается это приложение у меня в видео ролике, и это тот случай, когда лучше один раз увидеть, чем сто раз прочитать.