Mesh VPN (Tailscale, ZeroTier)

Mesh VPN je typ virtuální privátní sítě, která propojuje vaše zařízení – notebook, telefon, domácí server, NAS nebo virtuální server v cloudu – tak, jako by byla v jedné lokální síti, přestože je každé jinde. Zařízení se spojují přímo mezi sebou šifrovanými tunely a provoz nemusí jít přes jeden centrální bod.

Nejznámějšími řešeními jsou Tailscale a ZeroTier, existují i další open-source projekty. Na rozdíl od komerčních VPN, které slouží hlavně ke skrytí IP adresy při prohlížení webu, mesh VPN řeší především bezpečný přístup k vlastním zařízením bez otevírání portů do internetu.

Jak mesh VPN funguje

U klasické VPN se všichni klienti připojují k jednomu serveru (model hvězdy). V mesh síti má každé zařízení vlastní klíče a umí navázat spojení s každým dalším členem sítě. O tom, kdo do sítě patří a jak se zařízení najdou, rozhoduje koordinační server nebo kontrolér – ten ale samotná data nepřenáší.

Většina zařízení je za domácím routerem nebo mobilní sítí s překladem adres (NAT), takže nemají veřejnou IP adresu. Mesh VPN proto používá techniky průchodu přes NAT, při kterých si zařízení „prorazí“ přímé spojení. Pokud se to nepodaří, provoz jde přes přenosový server (relay), který vidí jen šifrované pakety.

Tailscale

Tailscale staví na protokolu WireGuard. Do sítě se přihlašujete existujícím účtem poskytovatele identity a koordinační server rozděluje mezi zařízení veřejné klíče a pravidla přístupu (ACL). Šifrování probíhá mezi koncovými zařízeními, takže koordinační server obsah komunikace nevidí.

Mezi doplňkové funkce patří překlad jmen zařízení, sdílení přístupu s dalšími uživateli, takzvaný subnet router pro zpřístupnění celé domácí sítě a exit node, přes který můžete posílat internetový provoz přes vlastní zařízení. Koordinační server provozuje firma; kdo mu nechce důvěřovat, může použít open-source alternativu Headscale a provozovat ho sám.

ZeroTier

ZeroTier používá vlastní protokol a vytváří virtuální ethernetovou síť na druhé vrstvě. Zařízení se k ní připojí zadáním identifikátoru sítě a správce je musí v kontroléru schválit. Protože se síť chová jako fyzický switch, fungují v ní i protokoly, které potřebují vysílání do celé sítě, například některé hry nebo objevování zařízení.

Kontrolér sítě může hostovat firma ZeroTier, nebo ho můžete provozovat na vlastním serveru. K prvotnímu nalezení zařízení slouží kořenové servery, které lze doplnit vlastními. Oba přístupy – Tailscale i ZeroTier – tedy nabízejí pohodlnou hostovanou verzi i cestu k vlastnímu provozu.

K čemu se mesh VPN hodí a k čemu ne

Mesh VPN se hodí pro vzdálený přístup k domácímu serveru, kamerám, NAS nebo uzlu kryptoměny, pro správu serverů bez veřejně otevřeného SSH a pro propojení malého týmu. Zařízení nemusí být viditelná z internetu, což zmenšuje plochu útoku a ulehčuje firewallu.

Není to nástroj pro anonymitu. Koordinační server ví, která zařízení a účty jsou v síti a kdy jsou online, a u hostované verze důvěřujete jeho provozovateli při správě klíčů. Kompromitované zařízení v síti může ohrozit ostatní, proto nastavte přísná pravidla přístupu a udržujte zařízení aktualizovaná. K ochraně soukromí při prohlížení slouží jiné nástroje – viz kategorie VPN.

Časté dotazy

Co je Tailscale?

Tailscale je mesh VPN postavená na WireGuardu. Propojí vaše zařízení do soukromé sítě, kde spolu komunikují šifrovaně a přímo, aniž by bylo nutné otevírat porty na routeru.

Jaký je rozdíl mezi Tailscale a ZeroTier?

Tailscale používá WireGuard a pracuje na úrovni IP adres, ZeroTier má vlastní protokol a vytváří virtuální ethernetovou síť. Obě řešení nabízejí hostovanou správu i možnost vlastního kontroléru.

Dá se mesh VPN provozovat bez cloudu firmy?

Ano. Pro klienty Tailscale existuje open-source koordinační server Headscale a kontrolér ZeroTier lze spustit na vlastním serveru. Přebíráte tím ale odpovědnost za jeho zabezpečení a aktualizace.

Skryje mesh VPN moji IP adresu na internetu?

Běžně ne – slouží k propojení vlastních zařízení. Provoz do internetu můžete poslat přes vlastní zařízení (exit node), webům se ale ukáže jeho adresa, ne anonymní.