Un full-mesh sin el trabajo de montarlo usted mismo
Una malla WireGuard conecta cada nodo con todos los demás mediante túneles punto a punto. Funciona bien, pero por su cuenta debe gestionar a mano pares, claves, direcciones y NAT traversal, y el trabajo crece con cada nodo. Vexaro Mesh, actualmente en desarrollo, está diseñado para ofrecer el mismo full-mesh como producto gestionado, que se encarga del emparejamiento, las claves y el NAT traversal.
Qué es una mesh WireGuard
WireGuard es un protocolo VPN rápido y moderno que conecta dos pares con un túnel sencillo y auditado. Una «mesh WireGuard» consiste en usarlo para conectar muchos nodos de modo que cada uno pueda llegar directamente a todos los demás. Eso es un full-mesh, a diferencia de enrutar a través de un solo servidor.
Túneles punto a punto, en todas partes
En un full-mesh, cada nodo mantiene un túnel directo con todos los demás, de modo que el tráfico entre dos nodos cualesquiera toma la ruta más corta sin retransmisor central. Es lo que hace que una mesh sea rápida.
El inconveniente: todo es manual
WireGuard en sí no gestiona pares, ni distribuye claves, ni asigna direcciones, ni atraviesa el NAT. En una mesh creada a mano, cada nuevo nodo implica actualizar la lista de pares y las claves en los demás, y el trabajo crece con el cuadrado del número de nodos.
El NAT traversal no está integrado
WireGuard necesita saber cómo llegar a cada par. Detrás de un NAT hace falta un mecanismo de descubrimiento y hole punching por encima, además de un plan para cuando no pueda formarse una conexión directa. El protocolo base no proporciona nada de esto.
Cómo prevé Vexaro encargarse por usted
Las tareas de las que Vexaro Mesh está diseñado para encargarse, para que usted no tenga que operarlas.
Emparejamiento automático
Las pasarelas están diseñadas para encontrarse entre sí y levantar el full-mesh por sí mismas, sin listas de pares que editar en cada nodo cuando se añade o se retira uno.
Claves gestionadas
Se prevé aprovisionar y gestionar el material de claves por usted, eliminando la tarea propensa a errores de generar, distribuir y rotar claves a mano en una malla que crece.
NAT traversal, integrado por diseño
Los pares detrás de NAT están diseñados para conectarse directamente siempre que la red lo permita y, cuando no lo permite, a través de un retransmisor, sin redirección de puertos ni direcciones públicas que configurar.
Política central
Se prevé definir las reglas de acceso de forma centralizada desde una sola consola. Una configuración básica de WireGuard deja esa capa operativa en sus manos.
Mesh WireGuard propia frente a gestionada
Una comparación operativa entre montar a mano una mesh WireGuard y usar un full-mesh gestionado. Trata de quién hace el trabajo, no de la calidad del protocolo.
| Vexaro (malla gestionada, prevista) | Mesh WireGuard propia | |
|---|---|---|
| Emparejamiento | Descubrimiento automático | Listas de pares manuales por nodo |
| Gestión de claves | Aprovisionadas y gestionadas | Generar / distribuir a mano |
| NAT traversal | Integrado: directo, retransmisor de respaldo | Añada su propio STUN / retransmisor |
| Política | Central | Configuración / scripts por nodo |
Una nota sobre los protocolos
WireGuard es un protocolo excelente y moderno, y esta página no lo critica: trata de la realidad operativa de gestionar un full-mesh. Herramientas como Tailscale y NetBird construyen redes mesh gestionadas sobre WireGuard. Vexaro Mesh está en desarrollo y este sitio no nombra el protocolo de túnel que utilizará; se prevé proteger su tráfico con criptografía moderna. La comparación aquí es entre operarlo usted mismo y usar un servicio gestionado, no entre un protocolo y otro.
Dónde encaja una mesh gestionada
Quiere la velocidad y la conexión directa de un full-mesh, pero no quiere gestionar a mano los pares, las claves y las direcciones a medida que crece el número de nodos.
Sus nodos están detrás de NAT y prefiere no construir ni operar usted mismo STUN, hole punching y un plan de retransmisor de respaldo.
Necesita funciones operativas, como una política central y auditoría, que una configuración básica de WireGuard le deja por montar.
Prefiere conectar sedes completas como pasarelas en lugar de mantener la configuración de túneles dispositivo a dispositivo en toda la flota.