Seit einiger Zeit nutze ich ja Headscale als selbst gehosteten Koordinationsserver für Tailscale. Das läuft stabil, die Clients funktionieren, und ich bin zufrieden. Aber jetzt habe ich NetBird kennengelernt, und es gibt ein paar Dinge, die mich schwanken lassen.
Was ist NetBird?
NetBird ist ein Open-Source-Mesh-VPN auf Basis von WireGuard – im Grunde das gleiche Konzept wie Tailscale, aber mit einem anderen Ansatz: Alles ist selbst hostbar. Nicht nur der Koordinationsserver, sondern auch der Signal-Server, der TURN/Relay-Server und das Management-UI. Der komplette Stack steht unter BSD-3-Lizenz.
Das klingt nach Headscale – aber NetBird geht weiter. Es bringt von Haus aus ein Web-UI, Rollen und Berechtigungen, ein integriertes Reverse Proxy und eine Zero-Trust-Architektur mit. Alles Features, die ich bei Headscale vermissen oder selbst bauen müsste.
NetBird vs. Tailscale vs. Headscale
| Aspekt | Tailscale | Headscale | NetBird |
|---|---|---|---|
| Quellcode | Proprietär (Client source-available) | Open Source | Open Source (BSD-3) |
| Koordinationsserver | Bei Tailscale (EU/FR) | Selbst gehostet | Selbst gehostet |
| Web-UI | Ja (Tailscale Admin) | Headplane (Drittanbieter) | Integriert |
| Login | Google, GitHub, etc. | Eigene User, CLI | Eigene User, SSO, OIDC |
| Reverse Proxy | Funnel (eingeschränkt) | Nein | Ja (ab v0.65) |
| Zero Trust | Ja (ACL) | Ja (ACL) | Ja (policies + IdP) |
| Client | Proprietär | Original Tailscale-Client | Open Source |
| Preis | Kostenlos (Free Tier) | Kostenlos | Kostenlos |
| Taildrop | Ja | Ja | Ja (File Transfer) |
Der große Unterschied: Tailscale betreibt den Koordinationsserver – kostet zwar nichts, aber die Datenhoheit fehlt. Headscale ist ein Community-Projekt, das den Koordinationsserver nachbildet. NetBird ist ein vollwertiger Ersatz mit eigenem Client und Management.
Warum NetBird mich interessiert
1. Komplett selbst hostbar
Bei Headscale fehlen ein paar Features, die Tailscale bietet – etwa Funnel oder Tailscale SSH. NetBird bringt ein integriertes Reverse Proxy mit, das internen Diensten einen öffentlichen Namen geben kann. Das ist genau das, was ich mit meinem Caddy + Tailscale-Ansatz gemacht habe – nur eben direkt in der Plattform.
2. Web-UI von Haus aus
Headplane ist ein nettes Drittanbieter-Frontend, aber es ist nicht offiziell und manchmal hapert es an Details. NetBird hat ein eigenes Management-UI, das direkt mit dem Server mitgeliefert wird. Knoten anzeigen, policies verwalten, logs einsehen – alles drin.
3. Selbst gehostet – der eigentliche Punkt
Tailscale ist für meine Zwecke auch kostenlos. Der Free Tier reicht völlig aus. Das Problem ist ein anderes: Der Koordinationsserver läuft bei Tailscale – und das ist ein No-Go. Datenhoheit bedeutet für mich, dass auch der Koordinationsserver auf meinem eigenen Server läuft. Bei Tailscale geht das nicht, bei Headscale und NetBird schon.
4. Integrierte Identity Provider
NetBird kann mit bestehenden Identity Providern wie Keycloak, Azure AD oder Okta zusammenarbeiten. Das ist für den Privatgebrauch vielleicht overkill, aber für Firmen oder Teams ein echter Vorteil. Und ich könnte endlich meinen Google-Account loslassen – bei Tailscale geht das nicht, bei Headscale geht es, aber NetBird macht es noch einfacher.
Warum ich nicht sofort wechsle
Headscale läuft
Das ist das Hauptargument. Alles funktioniert, die Clients sind konfiguriert, die Knoten sind registriert. Ein Wechsel würde bedeuten: Neue Server aufsetzen, alle Knoten migrieren, testen, ob alles funktioniert. Das ist Aufwand.
NetBird ist jünger
NetBird gibt es seit etwa fünf Jahren, Tailscale seit sechs. Das ist nicht viel, aber Tailscale/Headscale ist ausgereifter. Die Community ist größer, die Dokumentation umfangreicher, die Fehler bekannter.
Der Client ist anders
Bei Headscale nutze ich den originalen Tailscale-Client – ein Vorteil, den NetBird nicht bieten kann. Der NetBird-Client ist open source, aber er ist nicht so ausgereift wie der Tailscale-Client. Auf dem Desktop ist das egal, auf dem Handy könnte es haken.
Der Vergleich: Was fehlt, was dazukommt
| Feature | Headscale | NetBird |
|---|---|---|
| Integriertes Reverse Proxy | Nein (Caddy nötig) | Ja |
| Web-UI | Headplane (extra) | Ja (integriert) |
| SSO/OIDC | Nein | Ja |
| Zero Trust Policies | ACL (Datei) | Web-UI + API |
| Client | Original Tailscale | Eigener Client |
| TURN/Relay | Eigenständig | Integriert |
| Dokumentation | Gut | Gut |
| Community | Groß | Wachsend |
Fazit
NetBird ist das, was ich mir von Headscale gewünscht hätte: Ein komplettes Mesh-VPN mit Web-UI, Integriertem Reverse Proxy und Zero-Trust-Unterstützung – alles selbst hostbar, alles Open Source.
Trotzdem wechsle ich nicht sofort. Headscale läuft, die Infrastruktur steht, und der Aufwand für eine Migration ist nicht zu unterschätzen. Aber ich werde NetBird auf einem Testserver ausprobieren und schauen, wie es sich anfühlt. Vielleicht überzeugt es mich ja doch.
Für alle, die noch kein Mesh-VPN im Einsatz haben: Schaut euch NetBird als erste Wahl an. Es ist ausgereifter als Headscale und freier als Tailscale. Wer schon Headscale nutzt, kann aber getrost dabei bleiben – es ist nach wie vor eine solide Lösung.