Mesh VPN: Часть 1 — Что такое mesh-сеть на WireGuard и когда она нужна

Mesh VPN — это частная сеть, в которой устройства соединяются друг с другом напрямую, а не через один центральный сервер. Ноутбук, домашний сервер, офисный компьютер и телефон видят друг друга по внутренним адресам, где бы они ни находились, и трафик между ними идёт по самому короткому пути. Большинство современных сервисов такого рода — Tailscale, NetBird, Headscale — построены на протоколе WireGuard.

Классический VPN: схема «звезда»

Привычный VPN устроен как звезда: в центре сервер, к нему подключаются клиенты. Любой трафик — даже между двумя клиентами, сидящими в соседних комнатах, — проходит через центр. У такой схемы три слабых места:

• Задержка. Если сервер в Москве, а два сотрудника в Новосибирске, их трафик друг к другу дважды пересекает страну.
• Узкое место. Пропускная способность сети ограничена каналом и процессором одного сервера.
• Единая точка отказа. Сервер недоступен — не работает вся сеть.

Кроме того, на каждом клиенте нужно вручную прописать ключи и маршруты, а на сервере — открыть порт.

Как устроена mesh-сеть

В mesh-сети данные идут напрямую между устройствами. Но полностью без центра она не обходится: ему остаётся управление, а не передача трафика. Обычно в такой системе три роли.

Сервер координации (control plane). Хранит список устройств и их открытые ключи WireGuard, проверяет, кто вошёл в сеть, раздаёт каждому устройству сведения о других участниках и правила доступа. Через него не проходит пользовательский трафик. У Tailscale этот сервер работает в облаке компании, у NetBird и Headscale его можно развернуть у себя.

Механизм прохождения через NAT. Большинство устройств сидит за домашними и офисными роутерами без белого адреса. Чтобы два таких устройства соединились напрямую, они с помощью вспомогательных серверов узнают свои внешние адреса и одновременно отправляют пакеты навстречу друг другу — так роутеры с обеих сторон пропускают соединение. У NetBird для этого используются протоколы ICE и STUN и отдельная служба Signal, через которую трафик также не идёт.

Ретрансляторы. Иногда прямое соединение установить нельзя — например, при строгом NAT у мобильного оператора или жёстком корпоративном межсетевом экране. Тогда трафик идёт через ретранслятор: у Tailscale это серверы DERP, у NetBird — служба Relay. Данные при этом остаются зашифрованными от устройства до устройства: по документации Tailscale, закрытые ключи не покидают устройство, поэтому сервер DERP лишь пересылает уже зашифрованные пакеты и расшифровать их не может.

Отсюда важное уточнение: mesh-сеть не «работает без центра». Уже установленные прямые соединения переживут кратковременную недоступность сервера координации, но подключить новое устройство или изменить правила без него нельзя. Если сервер координации ваш, за его доступность отвечаете вы.

Почему WireGuard

WireGuard — протокол VPN, встроенный в ядро Linux и доступный на всех основных системах. Для mesh-сетей он удобен по нескольким причинам:

• Простая модель. Каждое устройство описывается парой ключей и списком адресов, которые через него доступны. Сервису координации достаточно раздать эти данные — остальное WireGuard делает сам.
• Небольшой код и современная фиксированная криптография без выбора алгоритмов, который так часто настраивают неправильно в старых протоколах.
• Работа поверх UDP и быстрое восстановление соединения при смене сети, например при переходе телефона с Wi-Fi на мобильный интернет.

Скорость WireGuard на практике зависит от процессора, сети и реализации (в ядре или в пространстве пользователя), поэтому универсальных цифр вроде «в N раз быстрее OpenVPN» лучше не ждать: сравнивать стоит на своём оборудовании.

Что даёт mesh-подход

• Короткий путь трафика. Два устройства в одном городе общаются напрямую, а не через сервер на другом конце страны.
• Нет узкого места в передаче данных: каждое соединение использует только каналы двух участников.
• Простое подключение. Новое устройство входит в сеть через учётную запись или ключ авторизации, без ручной правки конфигураций на остальных узлах.
• Не нужны белые адреса и проброс портов — это решает механизм прохождения через NAT.
• Правила доступа в одном месте. Сервер координации раздаёт устройствам политики вида «бухгалтерия видит только сервер 1С».

Ограничения

• Зависимость от сервера координации. В облачных сервисах — от чужой компании, её тарифов и доступности; в собственных решениях — от вашего администрирования.
• Ретрансляторы замедляют. Если прямое соединение не установилось, скорость ограничена ретранслятором.
• Не для всего трафика. Mesh VPN соединяет устройства между собой. Чтобы выпустить весь интернет-трафик через определённую точку, нужна отдельная функция — например, выходной узел (exit node) у Tailscale.
• Внимание к правилам доступа. По умолчанию многие сервисы разрешают всем устройствам видеть всех. В компании это почти всегда нужно сузить.

Когда mesh VPN нужен

• Удалённый доступ к нескольким площадкам: офис, склад, домашние компьютеры сотрудников, серверы у разных провайдеров.
• Доступ к серверам без открытых портов. SSH, панели администрирования и базы данных доступны только участникам сети.
• Небольшая команда без сетевого администратора, которой нужен VPN, работающий «из коробки».
• Связка облака и офиса, когда классический туннель между роутерами избыточен.

Когда mesh не лучший выбор: если нужно просто соединить два офиса с постоянными адресами — проще туннель между роутерами; если важен полный контроль над каждым параметром — ручная настройка WireGuard. Пример другого подхода к той же задаче — самостоятельная сеть на VPNCloud.

Как выбрать решение

Каждому варианту посвящена отдельная часть цикла.