Mesh VPN (Tailscale, ZeroTier)

Mesh VPN je typ virtuálnej súkromnej siete, ktorá prepája vaše zariadenia – notebook, telefón, domáci server, NAS či virtuálny server v cloude – tak, akoby boli v jednej lokálnej sieti, hoci sú každé na inom mieste. Zariadenia sa spájajú priamo medzi sebou šifrovanými tunelmi a prevádzka nemusí ísť cez jeden centrálny bod.

Najznámejšie riešenia sú Tailscale a ZeroTier, existujú aj ďalšie open-source projekty. Na rozdiel od komerčných VPN, ktoré slúžia najmä na skrytie IP adresy pri prehliadaní webu, mesh VPN rieši hlavne bezpečný prístup k vlastným zariadeniam bez otvárania portov do internetu.

Ako mesh VPN funguje

Pri klasickej VPN sa všetci klienti pripájajú k jednému serveru (model hviezdy). V mesh sieti má každé zariadenie vlastné kľúče a vie nadviazať spojenie s každým iným členom siete. O tom, kto do siete patrí a ako sa zariadenia nájdu, rozhoduje koordinačný server alebo kontrolér – ten však samotné dáta neprenáša.

Väčšina zariadení je za domácim smerovačom alebo mobilnou sieťou s prekladom adries (NAT), takže nemajú verejnú IP adresu. Mesh VPN preto používa techniky prechodu cez NAT, pri ktorých si zariadenia „prerazia“ priame spojenie. Ak sa to nepodarí, prevádzka ide cez prenosový server (relay), ktorý vidí iba šifrované pakety.

Tailscale

Tailscale stavia na protokole WireGuard. Do siete sa prihlasujete existujúcim účtom poskytovateľa identity a koordinačný server rozdeľuje medzi zariadenia verejné kľúče a pravidlá prístupu (ACL). Šifrovanie prebieha medzi koncovými zariadeniami, takže koordinačný server obsah komunikácie nevidí.

Medzi doplnkové funkcie patrí prekladanie mien zariadení, zdieľanie prístupu s inými používateľmi, takzvaný subnet router na sprístupnenie celej domácej siete a exit node, cez ktorý môžete posielať internetovú prevádzku cez vlastné zariadenie. Koordinačný server prevádzkuje firma; kto mu nechce dôverovať, môže použiť open-source alternatívu Headscale a prevádzkovať ho sám.

ZeroTier

ZeroTier používa vlastný protokol a vytvára virtuálnu ethernetovú sieť na druhej vrstve. Zariadenia sa k nej pripoja zadaním identifikátora siete a správca ich musí v kontroléri schváliť. Keďže sieť sa správa ako fyzický switch, fungujú v nej aj protokoly, ktoré potrebujú vysielanie do celej siete, napríklad niektoré hry či objavovanie zariadení.

Kontrolér siete môže byť hostovaný firmou ZeroTier alebo ho môžete prevádzkovať na vlastnom serveri. Na prvotné nájdenie zariadení slúžia koreňové servery, ktoré sa dajú doplniť vlastnými. Oba prístupy – Tailscale aj ZeroTier – teda ponúkajú pohodlnú hostovanú verziu aj cestu k vlastnej prevádzke.

Na čo je mesh VPN vhodná a na čo nie

Mesh VPN je praktická na vzdialený prístup k domácemu serveru, kamerám, NAS alebo uzlu kryptomeny, na správu serverov bez verejne otvoreného SSH a na prepojenie malého tímu. Zariadenia nemusia byť viditeľné z internetu, čo zmenšuje plochu útoku a odľahčuje firewall.

Nie je to nástroj na anonymitu. Koordinačný server vie, ktoré zariadenia a účty sú v sieti a kedy sú online, a pri hostovanej verzii dôverujete jeho prevádzkovateľovi pri správe kľúčov. Kompromitované zariadenie v sieti môže ohroziť ostatné, preto nastavte prísne pravidlá prístupu a udržiavajte zariadenia aktualizované. Na ochranu súkromia pri prehliadaní slúžia iné nástroje – pozri kategóriu VPN.

Časté otázky

Čo je Tailscale?

Tailscale je mesh VPN postavená na WireGuarde. Prepojí vaše zariadenia do súkromnej siete, kde spolu komunikujú šifrovane a priamo, bez potreby otvárať porty na smerovači.

Aký je rozdiel medzi Tailscale a ZeroTier?

Tailscale používa WireGuard a pracuje na úrovni IP adries, ZeroTier má vlastný protokol a vytvára virtuálnu ethernetovú sieť. Obe riešenia ponúkajú hostovanú správu aj možnosť vlastného kontroléra.

Dá sa mesh VPN prevádzkovať bez cloudu firmy?

Áno. Pre klientov Tailscale existuje open-source koordinačný server Headscale a kontrolér ZeroTier sa dá spustiť na vlastnom serveri. Preberáte tým však zodpovednosť za jeho zabezpečenie a aktualizácie.

Skryje mesh VPN moju IP adresu na internete?

Bežne nie – slúži na prepojenie vlastných zariadení. Prevádzku do internetu môžete poslať cez vlastné zariadenie (exit node), webom sa však ukáže jeho adresa, nie anonymná.