Ein Full-Mesh ohne Bastelaufwand
Ein WireGuard-Mesh verbindet jeden Knoten über Punkt-zu-Punkt-Tunnel mit jedem anderen. Das funktioniert gut, aber im Eigenbetrieb verwalten Sie Peers, Schlüssel, Adressen und NAT-Traversal von Hand, und der Aufwand wächst mit jedem Knoten. Vexaro Mesh, derzeit in Entwicklung, soll dasselbe Full-Mesh als verwaltetes Produkt liefern, das Peering, Schlüssel und NAT-Traversal für Sie übernimmt.
Was ein WireGuard-Mesh ist
WireGuard ist ein schnelles, modernes VPN-Protokoll, das zwei Peers über einen einfachen, auditierten Tunnel verbindet. Bei einem „WireGuard-Mesh“ verbindet man damit viele Knoten so, dass jeder jeden anderen direkt erreicht. Das ist ein Full-Mesh, im Gegensatz zum Routing über einen zentralen Server.
Punkt-zu-Punkt-Tunnel, überall
In einem Full-Mesh unterhält jeder Knoten einen direkten Tunnel zu jedem anderen, sodass der Verkehr zwischen zwei beliebigen Knoten den kürzesten Pfad ohne zentrales Relay nimmt. Genau das macht ein Mesh schnell.
Der Haken: Es ist alles manuell
WireGuard selbst verwaltet keine Peers, verteilt keine Schlüssel, vergibt keine Adressen und durchstößt kein NAT. In einem von Hand erstellten Mesh bedeutet jeder neue Knoten, die Peer-Liste und die Schlüssel auf den anderen zu aktualisieren, und der Aufwand wächst mit dem Quadrat der Knotenzahl.
NAT-Traversal ist nicht eingebaut
WireGuard muss wissen, wie es jeden Peer erreicht. Hinter NAT brauchen Sie zusätzlich einen Mechanismus für Discovery und Hole-Punching sowie einen Plan für den Fall, dass keine direkte Verbindung zustande kommt. Das Basisprotokoll liefert nichts davon.
Wie Vexaro das für Sie übernehmen will
Was Vexaro Mesh übernehmen soll, damit Sie die beweglichen Teile nicht selbst betreiben müssen.
Automatisches Peering
Gateways sollen sich selbst finden und das Full-Mesh eigenständig aufbauen. Kommt ein Knoten hinzu oder fällt einer weg, müssen Sie keine Peer-Listen auf jedem Knoten bearbeiten.
Verwaltete Schlüssel
Schlüsselmaterial soll für Sie bereitgestellt und verwaltet werden. Die fehleranfällige Aufgabe, Schlüssel in einem wachsenden Mesh von Hand zu erzeugen, zu verteilen und zu rotieren, entfällt.
NAT-Traversal, fest eingeplant
Peers hinter NAT sollen sich direkt verbinden, wo immer das Netzwerk es zulässt, und sonst über ein Relay. Portweiterleitungen oder öffentliche Adressen müssen Sie nicht einrichten.
Zentrale Richtlinien
Zugriffsregeln sollen zentral aus einer Konsole gesetzt werden. Diese betriebliche Schicht überlässt eine einfache WireGuard-Einrichtung Ihnen.
DIY-WireGuard-Mesh vs. verwaltet
Ein Betriebsvergleich zwischen einem von Hand gebauten WireGuard-Mesh und einem verwalteten Full-Mesh. Es geht darum, wer die Arbeit macht, nicht um die Qualität des Protokolls.
| Vexaro (verwaltetes Mesh, geplant) | DIY-WireGuard-Mesh | |
|---|---|---|
| Peering | Automatische Entdeckung | Manuelle Peer-Listen pro Knoten |
| Schlüsselverwaltung | Bereitgestellt und verwaltet | Von Hand erzeugen / verteilen |
| NAT-Traversal | Integriert: direkt, Relay als Rückfall | Eigenes STUN / Relay hinzufügen |
| Richtlinien | Zentral | Konfiguration / Skripte pro Knoten |
Eine Anmerkung zu Protokollen
WireGuard ist ein exzellentes, modernes Protokoll, und diese Seite kritisiert es nicht: Es geht um den Betriebsalltag eines Full-Mesh. Tools wie Tailscale und NetBird bauen verwaltete Meshes auf WireGuard auf. Vexaro Mesh ist in Entwicklung, und diese Website nennt das Tunnelprotokoll nicht, das es nutzen wird; sein Verkehr soll mit moderner Kryptografie geschützt werden. Verglichen werden hier Eigenbetrieb und verwalteter Betrieb, nicht zwei Protokolle.
Wo ein verwaltetes Mesh passt
Sie möchten die Geschwindigkeit und Direktheit eines Full-Mesh, aber Peers, Schlüssel und Adressen nicht von Hand verwalten, während die Knotenzahl wächst.
Ihre Knoten sitzen hinter NAT, und Sie möchten STUN, Hole-Punching und einen Relay-Fallback-Plan lieber nicht selbst bauen und betreiben.
Sie brauchen Betriebsfunktionen wie zentrale Richtlinien und Audit, die Sie bei einer einfachen WireGuard-Konfiguration selbst zusammenbauen müssten.
Sie verbinden lieber ganze Standorte als Gateways, statt Tunnelkonfiguration pro Gerät über die ganze Flotte zu pflegen.