NetMaker: เชื่อมต่อทุกสิ่งด้วย WireGuard VPN

 (netmaker.io)
2 คะแนน โดย GN⁺ 2023-08-18 | 1 ความคิดเห็น | แชร์ทาง WhatsApp
  • Netmaker เป็นแพลตฟอร์มที่รวมอุปกรณ์ คลาวด์ สำนักงาน และสภาพแวดล้อมเอดจ์เข้าด้วยกันด้วย ท่อเชื่อมต่อบนพื้นฐาน WireGuard พร้อมเพิ่มการควบคุมการเข้าถึงแบบละเอียด เพื่อให้บริการ Zero Trust Network Access
  • เน้นว่ารวดเร็วกว่าทางเลือกอื่น 10–20 เท่าด้วย WireGuard ในเคอร์เนลและ รีเลย์ที่วางร่วมตำแหน่ง และสามารถรักษาความเป็นส่วนตัวของข้อมูลได้ด้วยการติดตั้งแบบ on-premises และรีเลย์เฉพาะ
  • กรณีใช้งานหลักได้แก่ การเข้าถึงของทีมระยะไกล การรวมเครือข่ายสำนักงาน, การจัดการอุปกรณ์เอดจ์, การแทนที่ VPN แบบเก่า, การโฮสต์บนโครงสร้างพื้นฐานของตนเอง และการเชื่อมต่อเวิร์กโหลด AI แบบกระจาย
  • ด้วยฟีเจอร์ Mesh VPN, การจัดการโหนด, การกำหนดเส้นทางทราฟฟิก, ACL และการจัดการผู้ใช้ สามารถแยกและบริหารหลายเครือข่ายเสมือนได้ พร้อมใช้นโยบาย OIDC, 2FA และการหมดอายุของเซสชัน
  • ใช้แดชบอร์ด·CLI·API และเอเจนต์ Netclient เพื่อกำหนดค่า WireGuard และกฎการกำหนดเส้นทาง จึงจัดการเครือข่ายโอเวอร์เลย์แบบกระจายให้อยู่ในสถานะที่ต้องการได้

แนวทางเครือข่ายความปลอดภัยของ Netmaker

  • Netmaker เป็น แพลตฟอร์มเครือข่ายแบบ Zero Trust ที่ลดความซับซ้อนของการตั้งค่า VPN และช่วยให้ทีมเชื่อมต่อได้ภายในไม่กี่นาทีจากทุกที่
  • มุ่งเน้นการเชื่อมต่ออุปกรณ์·คลาวด์·ไซต์อย่างปลอดภัย โดยอาศัยความเรียบง่ายและความเร็วของ WireGuard
  • ระบุว่ามีบริษัทมากกว่า 500 แห่งทั่วโลกใช้งาน
  • จุดเด่นหลักมีสามข้อ
    • ความเร็ว: ระบุว่ารวดเร็วกว่าทางเลือกอื่น 10–20 เท่าด้วย WireGuard ในเคอร์เนลและรีเลย์ที่วางร่วมตำแหน่ง
    • ความเป็นส่วนตัว: ตัวเลือก on-premises และรีเลย์เฉพาะช่วยให้เก็บข้อมูลไว้ในสภาพแวดล้อมของตนเองได้
    • การควบคุม: มอบแพลตฟอร์มที่ยืดหยุ่นสำหรับปรับใช้ กำหนดค่า และทำอัตโนมัติเครือข่ายกับเอนด์พอยต์

กรณีใช้งานหลัก

  • การเข้าถึงอย่างปลอดภัยสำหรับทีมระยะไกล

    • ช่วยให้ทีมแบบกระจายเข้าถึงทรัพยากรของบริษัทได้อย่างเสถียร
    • มุ่งลดความซับซ้อนที่เกิดจากการดำเนินงาน VPN แบบเดิม

  • การรวมเครือข่ายสำนักงาน

    • เชื่อมต่อหลายสถานที่ด้วยระบบเครือข่ายที่มีทั้งความปลอดภัยและประสิทธิภาพ
    • สามารถขยายได้ตามการเติบโตของธุรกิจ

  • การจัดการฟลีตและอุปกรณ์เอดจ์

    • สามารถปรับใช้ มอนิเตอร์ และปกป้องอุปกรณ์เอดจ์หลายพันเครื่องที่อยู่ในตำแหน่งกระจายได้จากศูนย์กลาง
    • รองรับการทำให้การเชื่อมต่อเป็นอัตโนมัติและการรักษานโยบายความปลอดภัยที่สอดคล้องกันจากแดชบอร์ดเดียว

  • การแทนที่ VPN แบบเก่า

    • ให้บริการเครือข่ายแบบ mesh ที่ก้าวข้ามข้อจำกัดของ VPN เดิม
    • ชูจุดเด่นด้านประสิทธิภาพที่ดีกว่า การจัดการที่ง่ายขึ้น และความปลอดภัยที่แข็งแกร่ง

  • โฮสต์ Netmaker บนโครงสร้างพื้นฐานของตนเอง

    • การติดตั้งแบบ on-premises ช่วยให้ควบคุมโครงสร้างพื้นฐานเครือข่ายได้อย่างสมบูรณ์
    • สามารถเก็บข้อมูลละเอียดอ่อนไว้ในสภาพแวดล้อมของตนเอง และตอบโจทย์ข้อกำหนด compliance ที่เข้มงวดบนฮาร์ดแวร์ของตนเองได้

  • ความปลอดภัยเครือข่ายสำหรับโครงสร้างพื้นฐาน AI

    • เชื่อมต่อเวิร์กโหลด AI ที่กระจายอยู่บนคลาวด์และ GPU แบบ on-premises ด้วยความปลอดภัยแบบ Zero Trust
    • เหมาะสำหรับทีม ML ที่รันงานเทรนนิงบนผู้ให้บริการคลาวด์หลายรายหรือสภาพแวดล้อมไฮบริด
    • ครอบคลุมการใช้งานเพื่อปกป้องการถ่ายโอนโมเดล การเทรนแบบกระจาย และการ inference ขนาดใหญ่

Mesh VPN และการแยกเครือข่าย

  • การออกแบบหลายเครือข่าย ของ Netmaker ช่วยให้สร้างเครือข่ายเสมือนที่แยกจากกันหลายชุดและจัดการได้จากที่เดียว
  • บริษัท B2B สามารถจัดการลูกค้าหลายรายจากบัญชีเดียว พร้อมแยกและปกป้องทราฟฟิกได้
  • สามารถแยกตามกรณีใช้งานได้เช่นกัน
    • การเข้าถึงอินเทอร์เน็ตอย่างปลอดภัย
    • การจัดการอุปกรณ์เอดจ์
    • การจัดวาง mesh สำหรับเซิร์ฟเวอร์คลาวด์
    • การเข้าถึงสำนักงานจากระยะไกล

โหนด การกำหนดเส้นทาง และการควบคุมการเข้าถึง

  • ตัวเลือก VPN client สำหรับเพิ่มเอนด์พอยต์เข้าสู่เครือข่ายมีสามแบบ
    • ติดตั้ง netclient เป็นเอเจนต์แบบ headless บน Linux, Docker, Windows, Mac เพื่อสร้างโหนดแบบ peer-to-peer
    • รวมอุปกรณ์ที่รองรับ WireGuard รวมถึงเราเตอร์ เข้ากับเครือข่ายด้วยไฟล์คอนฟิก WireGuard แบบเรียบง่าย
    • รัน Remote Access Client บนเดสก์ท็อปหรือมือถือ เพื่อให้แอปพลิเคชันการเข้าถึงระยะไกลสำหรับผู้ใช้ พร้อมการยืนยันตัวตนและการหมดอายุของเซสชัน
  • การกำหนดเส้นทางทราฟฟิกและ ACL ใช้ควบคุมเส้นทางเครือข่ายและสิทธิ์
    • ตั้งโหนดเป็น Hub เพื่อรีเลย์การเชื่อมต่อได้
    • ตั้งโหนดเป็น Forwarder เพื่อให้การเข้าถึงระยะไกลไปยังเครือข่ายภายนอก เช่น สำนักงาน คลาวด์ หรืออินเทอร์เน็ต
    • ตั้งค่า ACL ในเครือข่ายเพื่อกำหนดสิทธิ์ระหว่างอุปกรณ์และนำสถาปัตยกรรม Zero Trust ไปใช้
  • การจัดการผู้ใช้ครอบคลุมการ onboarding ผู้ใช้ปลายทาง การกำหนดบทบาทและสิทธิ์ และการมอบการเข้าถึงเครือข่าย
    • สามารถผสานกับผู้ให้บริการยืนยันตัวตนที่รองรับ OIDC ได้
    • สามารถเปิดใช้งาน 2FA ได้
    • สามารถตั้งกฎการหมดอายุของเซสชันได้

โฟลว์การดำเนินงานและแนวทางการขยาย

  • ผู้ดูแลระบบล็อกอินเข้าสู่แดชบอร์ดหรือ CLI เพื่อสร้างเครือข่าย และเพิ่มโฮสต์ด้วย Netclient
  • กำหนดสถานะเครือข่ายที่ต้องการด้วยฟีเจอร์อย่าง Egress, Ingress, Relays, ACL
  • สถานะที่กำหนดจะถูกส่งไปยังเอเจนต์ Netclient ที่ทำงานอยู่บนอุปกรณ์และเซิร์ฟเวอร์
  • Netclient จะกำหนดค่า WireGuard และกฎการกำหนดเส้นทางให้ตรงกับสถานะปลายทางที่ต้องการ
  • เมื่อกำหนดค่าเสร็จ เครือข่ายโอเวอร์เลย์แบบกระจายจะเริ่มทำงาน
  • สามารถเพิ่มระบบเครือข่ายระดับองค์กรให้กับแพลตฟอร์มผ่าน API ได้
  • ตัวเลือกโอเพนซอร์สมุ่งเป้าไปที่ผู้ใช้รายบุคคลและทีมขนาดเล็ก โดยรวมการใช้งานส่วนบุคคลไม่จำกัดและฟีเจอร์ความปลอดภัยหลัก

บทความที่เกี่ยวข้อง

1 ความคิดเห็น

 
GN⁺ 2023-08-18
ความคิดเห็นจาก Hacker News

  • บทความที่เกี่ยวข้องซึ่งโพสต์เมื่อต้นปีนี้: https://news.ycombinator.com/item?id=35584533
    ผู้เขียนเปรียบเทียบ Yggdrasil, tinc, Tailscale, Zerotier, Netmaker และ Nebula แล้วสุดท้ายก็ชอบ Yggdrasil มากกว่า แต่กลับกลายเป็นว่าการเปรียบเทียบนั้นทำให้ผมลองดู Netmaker และเมื่อรันแบบทดลองได้ไม่มีปัญหา ก็เริ่มชอบมากกว่าเดิม อยากให้กลับมาพูดถึง Netmaker อีกครั้ง
    โปรเจกต์เดินหน้าเร็วมากจนต้องคอยตามการเปลี่ยนแปลงการตั้งค่าในแต่ละ release แต่ก็เป็นเรื่องที่คาดได้เพราะยังเป็น release 0.xx
    โดยพื้นฐานแล้ว Netmaker เป็น WireGuard ปกติ ที่เพิ่มการปรับเส้นทางและ STUN/TURN เข้าไป จึงพอเข้าใจโครงสร้างได้ไม่ยาก และเอกสารก็เขียนโดยคำนึงถึงผู้ใช้ที่ self-host เป็นหลัก ซึ่งดูเป็นสัญญาณที่ดี

    • เอกสารทำมาสำหรับผู้ใช้ที่ self-host ถือว่าดี แต่ Netmaker ณ ตอนที่เขียนนี้ ไม่ใช่ FOSS: https://github.com/gravitl/netmaker/blob/16d5b5807/LICENSE.txt
    • อยากเพิ่ม Netbird เข้าไปในรายชื่อนั้นด้วย หลังจากลองผลิตภัณฑ์ข้างต้นทั้งหมด สุดท้ายผมก็ใช้ Netbird
      https://netbird.io/
    • ในสภาพแวดล้อมอย่างเครือข่ายองค์กรที่อนุญาตให้ออกไปข้างนอกได้เฉพาะ 80/443 การเชื่อมต่อ VPN มักต้อง ใช้ relay กันบ่อย แม้จะไม่ได้ใช้ relay ตลอดเวลา แต่บางการเชื่อมต่อในระหว่างวันอาจใช้ได้ และถ้ามีช่องโหว่ แค่การเชื่อมต่อครั้งเดียวก็อาจทำให้ความปลอดภัยพังได้
    • แม้อ่าน README บน GitHub แล้ว ก็ยังไม่ชัดเจนว่า การปรับเส้นทาง นั้น proxy ทราฟฟิกทั้งหมดผ่านเซิร์ฟเวอร์ของตัวเองหรือไม่

  • รายการฟีเจอร์ทำให้นึกถึง Tailscale เลยไปค้นดู แล้วพบว่าบนเว็บไซต์มีการเปรียบเทียบนี้: https://www.netmaker.io/resources/tailscale-vs-zerotier
    ดูตารางเปรียบเทียบด้านล่างแล้ว สิ่งที่ยกมาเป็นความแตกต่างจาก Tailscale คือ self-host ไม่ได้ (โดยไม่สนใจว่า headscale มีอยู่) และการรองรับ WireGuard มีข้อจำกัด อย่างหลังน่าจะหมายถึงค่าเริ่มต้นของ Tailscale ที่ทุก node เชื่อมถึงกัน ส่วน NetMaker น่าจะหมายความว่าสามารถจัดรูปแบบเครือข่ายแบบอื่นได้
    แต่ ACL ของ Tailscale ก็สามารถปรับโครงสร้างเครือข่ายให้เป็นแบบที่ต้องการได้เหมือนกัน เลยไม่แน่ใจว่าคำวิจารณ์นั้นยังใช้ได้อยู่ไหม ข้ออ้างที่ว่า “ข้อมูลผ่านเซิร์ฟเวอร์ DERP relay ค่อนข้างบ่อย” ก็น่าสงสัยเช่นกัน เพราะจะเกิดเฉพาะในเครือข่ายที่ทราฟฟิก UDP ระหว่าง client ไม่วิ่ง แม้จะมี STUN/TURN แล้ว ซึ่งในความเป็นจริงค่อนข้างหายากมาก
    ข้อดีที่พอหาได้คือ แผนฟรี ของ NetMaker ให้มากกว่า และใช้ WireGuard kernel module ถ้าทำได้ ก็ประมาณนั้น ไม่รู้เหมือนกันว่าทำไมไม่เอาจุดนี้มาเป็นจุดขายหลัก

    • จากการเปรียบเทียบ WireGuard กลายเป็น baseline ไปแล้ว และข้ออ้างที่ว่า Netmaker เร็วกว่าเพราะใช้ kernel WireGuard ก็ไม่ได้จริงกับทุกการตั้งค่าระบบ โดยเฉพาะบน macOS ยิ่งไม่ใช่
      ความยืดหยุ่นดูคล้าย Tailscale และให้ความรู้สึกเหมือนเอา use case ทั่วไปอย่าง gateway ขาออก/ขาเข้าไปทำการตลาดต่างกัน ใน Tailscale ก็สามารถใช้ ACL สร้างรูปแบบเครือข่ายได้
      เรื่องราคา ข้อเสนอของ Tailscale ก็เพียงพอสำหรับผู้ใช้ส่วนใหญ่ และข้อจำกัดก็ออกแนว “soft” อยู่แล้ว ผมจ่ายปีละ 45 ดอลลาร์เพราะอยากได้ความยั่งยืน ไม่ใช่ของฟรี กำลังหาเหตุผลที่จะเปลี่ยน แต่ยังหาไม่เจอ
    • เท่าที่รู้ Tailscale ไม่ได้ให้ control server แบบ self-host อย่างเป็นทางการ นั่นดูเป็นข้อดีของ NetMaker
      แต่ในมุมมองของผม ยังไม่มีฟีเจอร์ที่เทียบได้กับ tailnet lock
    • สงสัยว่าเหตุผลที่ Netmaker อ้างว่า ประสิทธิภาพสูงกว่า 5 เท่า เมื่อเทียบกับ Tailscale คือ kernel module หรือเปล่า ผมไม่เคยวัดประสิทธิภาพ Tailscale อย่างจริงจัง แต่ถ้าไม่ใช่ความต่างด้านประสิทธิภาพของ infrastructure ก็แทบไม่เห็นว่าจะอ้างแบบนั้นได้อย่างไร
    • Netmaker มี Client Gateways ที่สามารถสร้างและแก้ไขไฟล์ตั้งค่า WireGuard แบบดิบได้ มีประโยชน์มากเมื่อจะผสานกับ configuration ของ WireGuard แบบกำหนดเอง
      เช่น สร้างไฟล์ตั้งค่า แก้ไข แล้วนำไปใส่ใน router ก็จะเชื่อมต่อแบบ site-to-site ได้ทันที: https://www.netmaker.io/features/ingress
    • ควรลองตรวจสอบเองว่าใน Tailscale ทราฟฟิกถูก relay บ่อยแค่ไหน แม้ไม่มีตัวเลข แต่เคยมีผู้ใช้ที่ latency ใน Tailscale สูงมาก แล้วหลังวิเคราะห์ทราฟฟิกพบว่าทราฟฟิกถูก relay ไปไกลถึงอีกฟากหนึ่งของประเทศ
      การเจาะผ่าน NAT ของ Tailscale ยอดเยี่ยม แต่ก็ยังเป็นปัจจัยที่ควรพิจารณา

  • อาจเป็นคำถามโง่ ๆ แต่สงสัยว่าผลิตภัณฑ์พวกนี้มีข้อดีอะไรเมื่อเทียบกับการตั้งค่า เซิร์ฟเวอร์ WireGuard ปกติ เองบนที่อย่าง OpenBSD ผมไม่ใช่ผู้เชี่ยวชาญเครือข่าย แต่การตั้งค่าเองก็ค่อนข้างง่าย ถ้าผลิตภัณฑ์พวกนี้มีฟีเจอร์มากกว่า อยากรู้ว่าคือฟีเจอร์อะไร

    • ถ้าลองสร้าง mesh network ด้วย WireGuard อย่างเดียว จะเจอปัญหา combinatorial explosion อย่างรวดเร็ว
      ถ้ามี node 10 ตัว แล้วจะเพิ่ม node ตัวที่ 11 ก็ต้องอัปเดต node เดิมทั้ง 10 ตัวทั้งหมด
      โปรเจกต์เหล่านี้ทำให้การตั้งค่า node เป็นอัตโนมัติ แค่ตั้งค่า node ใหม่ node ที่เหลือก็จะรู้ว่ามี node ใหม่นั้นอยู่
    • สรุปคือไม่ต้องตั้งค่า WireGuard เอง และยังช่วยให้สอดคล้องกับ ตัวย่อด้าน compliance ต่าง ๆ ด้วย

  • บริษัทน่าจะเอาเงินไปลงทุนปรับปรุง WireGuard และ โซลูชันโอเพนซอร์ส อื่น ๆ ให้มากขึ้นไม่ดีกว่าหรือ?
    ไม่เข้าใจว่าจะไว้ใจฝากบริการความปลอดภัยที่สำคัญอย่าง VPN ไว้กับบริษัทอื่นได้อย่างไร ถ้ามีพนักงานของบริษัทนั้นสักคนขายคุณให้คนที่เสนอราคาสูงสุดจะทำอย่างไร?
    เวลาตัดสินใจว่าจะทำเองหรือซื้อใช้ ดูเหมือนคนมักลืมไปว่าถ้าเราไม่ได้เป็นเจ้าของกุญแจประตูบ้านตัวเอง ก็มีความเสี่ยงที่จะถูกใครสักคนล็อกไม่ให้เข้าได้

    • คนที่สร้าง WireGuard เคยพูดไว้อย่างชัดเจนว่า ฟีเจอร์การจัดการ เช่น การยืนยันตัวตนผู้ใช้ การตั้งค่าและปรับจูนอัตโนมัติ รวมถึง ACL อยู่นอกขอบเขตของโปรเจกต์ WireGuard
      แนวคิดคือคงความเรียบง่ายไว้ให้มากที่สุด และปล่อยให้บุคคลที่สามสร้างแพลตฟอร์ม VPN ที่ใช้ WireGuard ขึ้นมา
    • สำหรับคำถามว่าจะไว้ใจฝากบริการความปลอดภัย VPN ที่สำคัญไว้กับบริษัทอื่นได้อย่างไร บางคนก็ใช้แนวทางประมาณว่าเปิดดู Gartner Magic Quadrant แล้วเลือกตัวที่อยู่มุมขวาบน
      โซลูชัน VPN ใด ๆ ก็อาจมีช่องโหว่ได้ และถ้าเป็นบริษัทเดียวกันก็น่าจะคอยอัปเดตให้ทันสมัยอยู่เสมอ ไฟร์วอลล์ฮาร์ดแวร์จำนวนมากมี ASIC สำหรับเร่งความเร็วทราฟฟิก VPN และหากต้องรองรับปริมาณทราฟฟิกระดับบริษัท ก็อาจจำเป็นต้องมีสิ่งนี้
    • WireGuard เป็น โปรโตคอล ที่เข้ารหัสและส่งบิตโดยตรงที่ชั้น L3 การทำให้มันทำงานง่าย ๆ ได้ดีนั้นถูกต้องแล้ว

  • ยังมีความไม่สะดวกใน WireGuard ที่ยังแก้ไม่ได้ บนมือถืออยากเชื่อมต่อ homelab ผ่านเซิร์ฟเวอร์ WireGuard ที่บ้าน และส่งทราฟฟิกที่เหลือออกไปยัง WireGuard VPN ภายนอก
    ช่วง IP ของ homelab เป็นประมาณ 10.10.0.0/24 ส่วน VPN ภายนอกก็เป็นอีกช่วงหนึ่ง แต่ดูเหมือน WireGuard จะไม่ค่อยชอบการตั้งค่าแบบนี้
    ทางเลือกคือส่งทราฟฟิกทั้งหมดของมือถือกลับบ้าน แล้วให้เราเตอร์ที่บ้านส่งออกไปยัง VPN ภายนอก แต่เน็ตบ้านไม่ดี จึงไม่อยากให้กลายเป็น คอขวด
    ลองค้นเอกสารของ NetMaker แบบคร่าว ๆ แล้ว ก็ยังไม่เจอส่วนที่แสดงชัดเจนว่าตั้งค่า VPN อย่างไร หรือการตั้งค่าที่เชื่อมหลายเครือข่าย WireGuard เข้าด้วยกันเรียกว่าอะไร

    • อยากรู้ว่าการตั้งค่าปัจจุบันเป็นอย่างไร
      บนมือถือมีอินเทอร์เฟซ/คอนฟิก WireGuard หนึ่งชุด แล้วมี peer สองตัวหรือเปล่า? เช่น peer WireGuard ที่บ้านมี AllowedIPs เป็น 10.10.0.0/24 และ peer VPN ระยะไกลมี 0.0.0.0/24?
      อยากรู้ด้วยว่าเคยลองตัด CIDR ของ WireGuard ที่บ้านออกจาก AllowedIPs ของ VPN ระยะไกลหรือยัง วิธีคือไม่ได้ใช้ 0.0.0.0/24 รายการเดียว แต่กำหนดเป็นหลายรายการที่ยกเว้น CIDR โลคัลออก
    • ควรทำได้ด้วย peer สองตัว เพียงแต่อาจต้องกำหนด routing ให้ชัดเจน
      peer แรกตั้ง AllowedIPs เป็น 10.10.0.0/8 ก็ง่าย ส่วน peer ที่สองต้อง route ทราฟฟิกที่เหลือทั้งหมด จึงต้องตั้งค่าเพิ่ม
      ตัวอย่างการลิสต์ทุกช่วงที่ไม่ใช่ RFC1918 ดูคำตอบนี้ได้: https://serverfault.com/a/304791
      คาดว่าต้องใส่ช่วงเหล่านี้ลงใน AllowedIPs ของ peer ที่จะ route ออกอินเทอร์เน็ตสาธารณะ
    • Netmaker อาจช่วยได้ ตั้งค่า Egress Gateway ที่ไปยัง 0.0.0.0/0 ภายในเครือข่าย Netmaker 10.10.0.0/24 ให้เป็น VPN อินเทอร์เน็ตก็พอ
      Netmaker จัดการกฎ routing ต่างออกไป และถูกสร้างมาให้เข้ากันได้กับการตั้งค่าแบบนี้ แต่จากประสบการณ์ การตั้งค่าแบบนี้ใน WireGuard ปกติก็ค่อนข้างเสถียร จึงแปลกใจนิดหน่อยที่มีปัญหานี้
    • ถ้าเซิร์ฟเวอร์ WireGuard ที่บ้านรันบน Linux ก็ทำได้ด้วยการเพิ่ม routing table ตัวที่สอง แล้วใส่นโยบาย routing เข้าไป
    • ถ้ามีการเชื่อมต่อ WireGuard แบบถาวรระหว่างบ้านกับเซิร์ฟเวอร์ WireGuard ภายนอก แล้วให้มือถือเชื่อมต่อเฉพาะเซิร์ฟเวอร์ภายนอกไม่ได้หรือ?
      แบบนั้นทราฟฟิกที่ไปบ้านก็ route ผ่านการเชื่อมต่อ WireGuard ไปบ้าน ส่วนทราฟฟิกที่เหลือก็ออกจากเซิร์ฟเวอร์ภายนอกโดยตรงได้

  • ใช้ Netmaker มาหลายเดือนแล้ว และยอดเยี่ยมมาก ใช้เป็น การจัดการ bastion VPN สำหรับทุกสภาพแวดล้อม
    สิ่งที่ยังทำไม่สำเร็จคือการ forward ทั้งหมดผ่าน 0.0.0.0 ตามเอกสารบอกว่าทำได้ แต่ดูเหมือนไม่ใช่ use case ทั่วไป และพอลองทีไรก็มักเกิดอาการค้าง สุดท้ายมักต้องใช้ sshuttle
    นอกนั้นดีมากจริง ๆ

    • อยากรู้การตั้งค่าโฮสต์เซิร์ฟเวอร์ วาง Netmaker bastion สำหรับทุก VPC ให้เปิดออกอินเทอร์เน็ตสาธารณะ และวาง bastion ไว้นอก VPC ใช่ไหม?
      ตอนผมตั้งค่า เคยได้รับคำแนะนำแบบนั้น แต่ก็เคยพิจารณาวิธีวาง bastion ไว้ใน VPC แล้วเปิดออกอินเทอร์เน็ตด้วย
    • อยากรู้ว่าเวลาใช้ 0.0.0.0 เข้าถึงผ่าน external clients หรือใช้ netclient ปกติ
    • อยากรู้ว่าใช้สำหรับเครือข่ายสำนักงานหรือสำหรับโครงสร้างพื้นฐานเซิร์ฟเวอร์
      อยากรู้ด้วยว่าเคยเปรียบเทียบกับผลิตภัณฑ์อื่น ๆ ไหม และทำไมถึงเลือก Netmaker
    • น่าลองทำ MSS clamping ดู

  • Netmaker เป็นผลิตภัณฑ์ที่ใช้ได้ดี และยังได้รับการสนับสนุนจาก Y Combinator ด้วย เป็นแบบใช้ WireGuard เหมือน Tailscale และดูเหมือนจะเน้นการใช้งานกับ Kubernetes เป็นหลัก
    ในความเห็นผม มันดีกว่าโซลูชัน zero trust networking อื่น ๆ เพราะมี ACL ในตัว ฟีเจอร์ WireGuard/VPN แบบดั้งเดิม และ overlay mesh สำหรับส่งข้อความแบบ P2P ที่เข้ารหัสมาพร้อมกัน
    Zerotier หรือ Tailscale อาจใช้ง่ายกว่า แต่ NetMaker ก็น่าติดตามต่อไป ผมเคยเจอผู้ก่อตั้งในงาน KubeCon ปีที่แล้ว เขาเข้าถึงง่ายและเป็นคนดี ถ้ามีคำถามหรือข้อกังวลเฉพาะเจาะจง ก็ติดต่อเขาโดยตรงได้

    • Tailscale ค่อนข้างดี
      อยากรู้ว่าถ้าจะเชื่อมสองเครือข่ายคือ tailnet กับ netmaker-net เข้าด้วยกัน ควรทำอย่างไร

  • ลองคุ้ยดู repository บน GitHub แล้วค่อนข้างผิดหวังที่มี ไฟล์ _test.go น้อย เป็นผลิตภัณฑ์ด้านความปลอดภัยเลยกลัวว่าจะเกิดเรื่องไม่ดี

    • การทดสอบส่วนใหญ่ทำผ่าน integration tests ที่อยู่ใน repository อื่น

  • เคยสมัครใช้เครื่องมือแบบนี้มาหลายตัว และชอบ Netmaker มากกว่า อาจมีอคติอยู่บ้าง แต่รู้สึกว่าวิธีการตั้งค่าถูกนำเสนอมาให้เข้าใจง่าย

    • อยากรู้ว่าเคยใช้ตัวไหนบ้าง และมองแต่ละตัวอย่างไร
      ผมเองเคยใช้แค่ผลิตภัณฑ์เดียวที่คนที่ผมเชื่อถือใน HN และที่อื่น ๆ พูดถึงหลายครั้ง แต่ก็อยากรู้ประสบการณ์ของผู้ใช้ HN กับบริการอื่น ๆ

  • ใช้ Netmaker และ netclient ภายในคลัสเตอร์ Kubernetes เพื่อเข้าถึง พ็อด k8s ทั้งหมดผ่านอุโมงค์ WireGuard ที่ปลอดภัย
    ไม่ต้องกังวลเรื่องใบรับรอง SSL สำหรับแดชบอร์ดผู้ดูแลระบบอย่าง Longhorn, Pihole, Portainer, Linkerd และอื่น ๆ และไม่ต้องทำ k8s port forwarding ทุกครั้งที่ต้องการเข้าถึงบริการเฉพาะภายในเครือข่ายคลัสเตอร์
    มองว่าการผสาน Netmaker กับ Kubernetes นั้นยากจะหาอะไรมาเทียบได้สำหรับการเข้าถึงเครือข่ายคลัสเตอร์ที่ปลอดภัยและจัดการได้