Uma full-mesh sem o trabalho de a montar sozinho
Uma malha WireGuard liga cada nó a todos os outros com túneis ponto a ponto. Funciona bem, mas sozinho tem de gerir à mão pares, chaves, endereços e travessia de NAT, e o trabalho cresce com cada nó. O Vexaro Mesh, atualmente em desenvolvimento, foi concebido para oferecer a mesma full-mesh como produto gerido, que trata do emparelhamento, das chaves e da travessia de NAT por si.
O que é uma mesh WireGuard
O WireGuard é um protocolo VPN rápido e moderno que liga dois pares com um túnel simples e auditado. Uma «mesh WireGuard» consiste em usá-lo para ligar muitos nós, para que cada um possa alcançar diretamente todos os outros. Isso é uma full-mesh, em vez de encaminhar tudo através de um só servidor.
Túneis ponto a ponto, em todo o lado
Numa full-mesh, cada nó mantém um túnel direto com todos os outros, pelo que o tráfego entre quaisquer dois nós segue o caminho mais curto sem retransmissor central. É isso que torna uma mesh rápida.
O senão: é tudo manual
O próprio WireGuard não gere pares, não distribui chaves, não atribui endereços nem atravessa o NAT. Numa mesh feita à mão, cada novo nó significa atualizar a lista de pares e as chaves nos outros, e o trabalho cresce com o quadrado do número de nós.
A travessia de NAT não está integrada
O WireGuard precisa de saber como alcançar cada par. Atrás de NAT, é preciso um mecanismo de descoberta e de hole punching por cima, além de um plano para quando não se consegue formar uma ligação direta. O protocolo base não fornece nada disto.
Como a Vexaro prevê tratar disso por si
Aquilo de que o Vexaro Mesh foi concebido para tratar, para que não tenha de operar sozinho as peças móveis.
Interligação automática
Os gateways foram concebidos para se encontrarem uns aos outros e levantarem a full-mesh por si próprios, pelo que não há listas de pares para editar em cada nó quando se adiciona ou remove um.
Chaves geridas
Está previsto aprovisionar e gerir o material de chaves por si, eliminando a tarefa propensa a erros de gerar, distribuir e rodar chaves à mão numa malha em crescimento.
Travessia de NAT, integrada por conceção
Os pares atrás de NAT foram concebidos para se ligarem diretamente sempre que a rede o permita e, quando não o permite, através de um retransmissor. Não é preciso configurar encaminhamento de portas nem endereços públicos.
Políticas centrais
Está previsto definir as regras de acesso de forma centralizada a partir de uma consola. Uma configuração WireGuard básica deixa essa camada operacional a seu cargo.
Mesh WireGuard própria vs gerida
Uma comparação operacional entre montar à mão uma mesh WireGuard e usar uma full-mesh gerida. Trata de quem faz o trabalho, e não da qualidade do protocolo.
| Vexaro (malha gerida, prevista) | Mesh WireGuard própria | |
|---|---|---|
| Interligação | Descoberta automática | Listas de pares manuais por nó |
| Gestão de chaves | Aprovisionadas e tratadas | Gerar / distribuir à mão |
| Travessia de NAT | Integrada: direto, retransmissor de recurso | O seu próprio STUN e retransmissor |
| Políticas | Centrais | Configuração / scripts por nó |
Uma nota sobre protocolos
O WireGuard é um protocolo excelente e moderno, e esta página não o critica: trata da realidade operacional de correr uma full-mesh. Ferramentas como o Tailscale e o NetBird constroem meshes geridas sobre WireGuard. O Vexaro Mesh está em desenvolvimento, e este site não indica o protocolo de túnel que vai usar; está previsto proteger o seu tráfego com criptografia moderna. A comparação aqui é entre operar por conta própria e usar um serviço gerido, não entre dois protocolos.
Onde uma mesh gerida assenta
Quer a velocidade e as ligações diretas de uma full-mesh, mas não quer gerir à mão pares, chaves e endereços à medida que o número de nós cresce.
Os seus nós ficam atrás de NAT e prefere não construir nem operar por conta própria STUN, hole punching e um retransmissor de recurso.
Precisa de funcionalidades operacionais, como políticas centrais e auditoria, que uma configuração WireGuard base o obriga a montar sozinho.
Prefere ligar locais inteiros como gateways em vez de manter a configuração de túneis dispositivo a dispositivo em toda a frota.