适用场景：

团队约 20 人

内网服务器没有公网 IP

有一台公网 Ubuntu VPS

公网 VPS 部署 NetBird 控制面与 Relay

内网 Ubuntu Server 作为普通 Peer、跳板机或 Routing Peer

外部 Windows / macOS / Linux 用户通过 NetBird 访问内网

主要用途为 SSH、SCP、rsync、VS Code Remote SSH

当前自部署域名示例：
1
https://netbird.example.com

1. NetBird 整体工作原理#

NetBird 是基于 WireGuard 的 Overlay Network。

一套自部署 NetBird 主要分成两个部分：

1
控制平面
2
Management
3
Signal
4
Dashboard
5
Embedded IdP
6
STUN
7
Relay
8

9
数据平面
10
NetBird Peer ↔ NetBird Peer

当前 getting-started.sh 新部署使用组合式架构：

1
Traefik
2
Dashboard
3
netbird-server

其中 netbird-server 已经整合：

1
Management
2
Signal
3
Relay
4
STUN
5
Embedded IdP

官方快速安装要求公网服务器至少 1 CPU、2 GB RAM，并且 TCP 80、443 与 UDP 3478 公网可达，同时要求一个解析到该服务器公网 IP 的域名。

2. 推荐网络拓扑#

2.1 公网侧#

1
Internet
2

3
        │
4
        ▼
5
netbird.example.com
6
        │
7
        ▼
8
公网 Ubuntu VPS
9
┌─────────────────────────────┐
10
│ Traefik                     │
11
│ Dashboard                   │
12
│ NetBird Management          │
13
│ Signal                      │
14
│ Relay                       │
15
│ STUN                        │
16
│ Embedded IdP                │
17
└─────────────────────────────┘

公网 VPS 至少负责：

1
设备注册
2
用户登录
3
Peer 信息下发
4
访问策略下发
5
连接协商
6
STUN
7
P2P 失败后的 Relay

实际 SSH 数据并不一定经过 VPS。

正常情况下：

1
外部客户端
2
      │
3
      │ WireGuard P2P
4
      ▼
5
内网 Peer

如果 P2P 无法建立：

1
外部客户端
2
      │
3
      ▼
4
公网 NetBird Relay
5
      │
6
      ▼
7
内网 Peer

3. 两种推荐的内网访问模式#

必须先决定自己到底需要哪一种。

3.1 模式 A：只通过 SSH 跳板机#

如果需求是：

1
外部用户
2
   │
3
   │ NetBird
4
   ▼
5
内网跳板机
6
   │
7
   │ SSH
8
   ▼
9
其他内网服务器

那么：

不需要配置 Network，也不需要 Routing Peer。

只要在跳板机安装 NetBird。

例如：

1
跳板机：
2
LAN IP      = 10.21.76.240
3
NetBird IP  = 100.x.x.x

用户：

1
ssh username@100.x.x.x

进入后：

1
ssh username@10.21.76.244

或者：

1
ssh -J username@100.x.x.x username@10.21.76.244

这套方案：

1
NetBird = 网络入口
2
Jump Host = SSH 登录与审计入口

最适合目前以 SSH 为核心的团队。

3.2 模式 B：直接访问整个远程内网#

如果希望用户直接：

1
ssh user@10.21.76.244
2
curl http://10.21.76.200:8000
3
psql -h 10.21.76.210

则需要：

1
Network
2
+
3
Resource
4
+
5
Access Policy
6
+
7
Routing Peer

拓扑：

1
外部 NetBird 用户
2
        │
3
        ▼
4
Routing Peer
5
NetBird IP：100.x.x.x
6
LAN IP：10.21.76.x
7
        │
8
        ├── 10.21.76.244
9
        ├── 10.21.76.239
10
        └── 其他服务器

NetBird 官方目前推荐新配置使用 Networks，旧 Routes 已属于 legacy/deprecated；除 Exit Node 等特殊情况外应优先使用 Networks。

4. 公网 NetBird Server 部署#

4.1 VPS 要求#

官方最低配置：

1
Linux VM
2
1 CPU
3
2 GB RAM

公网放行：

1
TCP 80
2
TCP 443
3
UDP 3478

域名：

1
netbird.example.com

必须解析到 VPS 公网 IP。

对于约 20 人团队：

1
建议：
2
2 CPU
3
2～4 GB RAM
4
20 GB+ 磁盘

如果大量连接走 Relay，更重要的是：

1
公网带宽
2
月流量
3
VPS 到用户和内网出口的线路质量

5. DNS 配置#

添加：

1
Type: A
2
Host: netbird
3
Value: <VPS公网IP>

验证：

1
dig +short netbird.example.com

应返回 VPS 的公网 IP。

如果 DNS 使用 Cloudflare：

1
Proxy status = DNS only

不要首先开启 Cloudflare Orange Cloud 代理。

6. VPS 防火墙#

云服务器安全组开放：

1
TCP 80
2
TCP 443
3
UDP 3478

SSH 建议只允许管理员来源：

1
TCP 22

如果使用 UFW：

1
sudo ufw default deny incoming
2
sudo ufw default allow outgoing
3

4
sudo ufw allow 80/tcp
5
sudo ufw allow 443/tcp
6
sudo ufw allow 3478/udp
7

8
sudo ufw enable
9
sudo ufw status

7. 安装依赖#

NetBird Quickstart 需要：

1
Docker
2
Docker Compose v2
3
jq
4
curl

检查：

1
docker --version
2
docker compose version
3
jq --version
4
curl --version

Ubuntu：

1
sudo apt update
2
sudo apt install -y jq curl

Docker 建议按照 Docker 官方 Ubuntu 仓库安装。

8. 部署 NetBird Server#

在准备存放配置的目录中执行：

1
mkdir -p ~/netbird
2
cd ~/netbird

然后运行官方安装脚本：

1
curl -fsSL \
2
  https://github.com/netbirdio/netbird/releases/latest/download/getting-started.sh \
3
  | bash

这是当前官方推荐的快速自部署方式。脚本会生成完整的 Compose 和配置文件。

9. Reverse Proxy 选择#

安装脚本会询问：

1
Which reverse proxy will you use?
2

3
[0] Traefik
4
[1] Existing Traefik
5
[2] Nginx
6
[3] Nginx Proxy Manager
7
[4] External Caddy
8
[5] Other / Manual

如果没有自己的反向代理：

1
直接选择 0

即：

1
Traefik

官方 Quickstart 同样推荐 Traefik，它负责自动申请和更新 Let’s Encrypt TLS 证书。

10. 当前部署产生的主要文件#

安装完成后通常存在：

1
docker-compose.yml
2
config.yaml
3
dashboard.env

其中：

1
docker-compose.yml
2
→ Docker 服务、网络、卷、端口
3

4
config.yaml
5
→ Management / Signal / Relay / STUN / Embedded IdP
6

7
dashboard.env
8
→ Dashboard 和 OIDC 配置

当前新部署使用的是 combined netbird-server 架构，而不是旧版 management/signal/relay 多容器架构。

检查：

1
docker compose ps

日志：

1
docker compose logs --tail=200

11. GeoLite2 下载卡死问题#

首次启动可能看到：

1
Geolocation database file
2
GeoLite2-City_xxxxxxxx.mmdb not found,
3
file will be downloaded

然后：

1
Waiting for NetBird server to become ready
2
. . . . . . . .

GeoLite 数据库由 Management 启动时自动检查并下载。在受限出口、代理、DPI、防火墙或无法访问 pkgs.netbird.io 的环境中可能失败。

如果不使用：

1
GeoLocation Posture Check
2
国家/城市访问策略

可以直接关闭：

1
NB_DISABLE_GEOLOCATION=true

官方说明开启该变量以后：

1
Management 不初始化 Geolocation
2
不会下载 GeoLite 数据库

推荐创建：

1
nano docker-compose.override.yml

加入：

1
services:
2
  netbird-server:
3
    environment:
4
      NB_DISABLE_GEOLOCATION: "true"

验证：

1
docker compose config -q

重新创建：

1
docker compose up -d \
2
  --force-recreate \
3
  netbird-server

查看：

1
docker compose logs -f \
2
  --tail=100 netbird-server

12. 验证 NetBird Server#

查看容器：

1
docker compose ps

检查域名：

1
curl -Iv https://netbird.example.com

检查 OIDC：

1
curl -k \
2
  https://netbird.example.com/oauth2/.well-known/openid-configuration

正常应返回 JSON，并包含类似：

1
{
2
  "issuer": "https://netbird.example.com/oauth2"
3
}

如果返回：

1
502

说明 Traefik 无法连接 netbird-server。

如果安装一直显示：

1
Waiting for NetBird server to become ready

官方建议依次检查：

1
dig +short netbird.example.com
2

3
curl -vI https://netbird.example.com
4

5
docker compose logs traefik
6

7
curl -k \
8
  https://netbird.example.com/oauth2/.well-known/openid-configuration

官方指出 502 通常说明反向代理已经收到请求，但无法到达 netbird-server。

13. 创建首个管理员#

第一次成功打开：

1
https://netbird.example.com

如果数据库中还没有账户，会进入：

1
/setup

输入：

1
Email
2
Password
3
Name

创建首个：

1
Owner

当前 Quickstart 自带 Embedded IdP，可以直接维护本地用户，不必额外部署 Keycloak。

14. 创建团队用户#

进入：

1
Team
2
→ Users

建议约 20 名成员全部使用：

1
Role = User

管理员使用：

1
Admin

只保留极少数：

1
Owner

Embedded IdP 当前支持：

1
Owner
2
Admin
3
User

其中 User 可以连接设备和查看自己有权访问的资源。

15. 建议启用 MFA#

当前自部署 Embedded IdP 已支持 Local MFA。

进入：

1
Settings
2
→ Authentication
3
→ Local MFA

开启：

1
Local MFA = ON

用户下一次登录时会使用 TOTP：

1
Google Authenticator
2
1Password
3
Authy
4
其他 TOTP App

官方当前已经支持自部署 Embedded IdP 用户的 TOTP MFA。

16. Group 设计#

建议创建：

1
remote-users
2
admins
3
jump-hosts
4
routing-peers
5
gpu-servers

Groups 相当于标签，一个 Peer 可以同时属于多个 Group。Policy 以 Source Group 和 Destination Group 为主要控制对象。

17. 删除默认 All → All 策略#

NetBird 初始化后存在：

1
Default Policy

本质：

1
All → All
2
所有协议
3
双向访问

这意味着所有 Peer 默认可以互相访问。

正式团队使用前，应先建立必要规则，然后禁用或删除：

1
Default

官方明确建议需要更严格控制时删除 Default Policy 并建立自定义访问规则。

18. 模式 A：只配置 SSH 跳板机#

如果只需要：

1
用户
2
  ↓
3
NetBird
4
  ↓
5
Jump Host
6
  ↓
7
其他服务器

无需创建 Network。

18.1 跳板机安装 NetBird#

Ubuntu：

1
curl -fsSL https://pkgs.netbird.io/install.sh | sh

服务器建议使用 Setup Key 注册。

Dashboard：

1
Settings
2
→ Setup Keys
3
→ Create

建议：

1
Name:
2
jump-host
3

4
Type:
5
One-off
6

7
Usage:
8
1
9

10
Ephemeral:
11
OFF
12

13
Auto Group:
14
jump-hosts

Setup Key 专门适合无人值守服务器；One-off Key 只能注册一台设备，Key 后续过期或撤销不会影响已经注册成功的 Peer。

连接：

1
sudo netbird up \
2
  --management-url https://netbird.example.com \
3
  --setup-key '<SETUP_KEY>'

检查：

1
sudo netbird status -d

查看 NetBird IP：

1
ip addr show wt0

例如：

1
100.90.0.5

19. 跳板机访问策略#

创建：

1
Source:
2
remote-users
3

4
Destination:
5
jump-hosts
6

7
Protocol:
8
TCP
9

10
Port:
11
22
12

13
Direction:
14
Unidirectional

用户：

1
ssh username@100.90.0.5

再进入其他内网主机：

1
ssh username@10.21.76.244

或者：

1
ssh \
2
  -J username@100.90.0.5 \
3
  username@10.21.76.244

20. SSH Config 推荐配置#

Linux/macOS：

1
~/.ssh/config

Windows：

1
C:\Users\<USER>\.ssh\config

例如：

1
Host team-jump
2
    HostName 100.90.0.5
3
    User amax
4
    IdentityFile ~/.ssh/id_ed25519
5

6
Host server244
7
    HostName 10.21.76.244
8
    User amax
9
    ProxyJump team-jump
10
    IdentityFile ~/.ssh/id_ed25519

之后：

1
ssh server244

SCP：

1
scp file.tar server244:/data/

rsync：

1
rsync -av ./project/ server244:/data/project/

21. 模式 B：部署 Routing Peer#

Routing Peer 的含义是：

把 NetBird Overlay 中的流量转发到没有安装 NetBird 的 LAN/VPC 设备。

官方推荐 Linux 作为生产 Routing Peer，因为它可以直接使用内核 nftables / iptables 进行转发。

22. Routing Peer 安装#

先创建 Setup Key：

1
Settings
2
→ Setup Keys

建议：

1
Name:
2
office-routing-peer
3

4
Type:
5
One-off
6

7
Usage:
8
1
9

10
Auto Groups:
11
routing-peers
12

13
Ephemeral:
14
OFF

内网 Ubuntu：

1
curl -fsSL https://pkgs.netbird.io/install.sh | sh

1
sudo netbird up \
2
  --management-url https://netbird.example.com \
3
  --setup-key '<SETUP_KEY>'

检查：

1
sudo netbird status -d

23. Routing Peer 必须满足的条件#

最关键：

1
Routing Peer 自己必须能直接访问目标内网设备。

例如：

1
ping 10.21.76.244

1
nc -vz 10.21.76.244 22

如果 Routing Peer 本身：

1
Routing Peer -X-> 10.21.76.244

NetBird 不可能帮助它访问目标。

这是官方列出的 Routing Peer 最常见故障原因之一。

24. IP Forwarding#

Linux NetBird Agent 正常会自动启用 IP Forwarding。

检查：

1
sysctl net.ipv4.ip_forward

正常：

1
net.ipv4.ip_forward = 1

否则：

1
sudo sysctl -w net.ipv4.ip_forward=1

持久化：

1
echo 'net.ipv4.ip_forward=1' \
2
  | sudo tee /etc/sysctl.d/99-netbird.conf

应用：

1
sudo sysctl --system

这是 NetBird 官方 Routing Peer 文档要求。

25. Routing Peer 开机自动连接#

官方 Linux Client 安装后使用后台 NetBird Service。

检查：

1
sudo systemctl status netbird --no-pager

1
sudo systemctl is-enabled netbird

1
sudo systemctl is-active netbird

正常：

1
enabled
2
active

若没有：

1
sudo systemctl enable --now netbird

NetBird 的 Connect on Startup 默认开启，服务在系统重启后启动时会自动连接 Management 并重新加入网络。

明确重新打开：

1
sudo netbird up \
2
  --disable-auto-connect=false

重启验证：

1
sudo reboot

回来以后：

1
sudo systemctl is-enabled netbird
2
sudo systemctl is-active netbird
3
sudo netbird status -d

查看本次启动日志：

1
sudo journalctl \
2
  -u netbird \
3
  -b \
4
  --no-pager

Setup Key 注册成功后，不需要每次重启重新输入 Setup Key。

26. NetBird Network 的正确概念#

官方当前把 Network 定义成：

1
Network
2
  ├── Resources
3
  ├── Access Policies
4
  └── Routing Peers

可以记成：

1
Network      = 一个环境
2
Resource     = 要访问什么
3
Policy       = 谁能访问
4
Routing Peer = 从哪条路走过去

官方原始 Mental Model 是：

1
Resources      = destinations
2
Policies       = gatekeepers
3
Routing Peers  = roads

27. 创建 Network#

进入 Dashboard：

1
Network Routing
2
→ Networks
3
→ Add Network

例如：

1
Name:
2
Office LAN

这里仅仅创建了一个逻辑容器：

1
Office LAN

此时还没有任何可访问资源。

28. 添加 Resource#

打开：

1
Network Routing
2
→ Networks
3
→ Office LAN
4
→ Add Resource

Resource 可以是：

1
单个 IP
2
10.21.76.244/32
3

4
整个 CIDR
5
10.21.76.0/24
6

7
Domain
8
gpu.internal
9

10
Wildcard Domain
11
*.internal

官方推荐遵循最小权限原则：

能使用 /32 就优先使用 /32，不要一开始发布整个 /24。

例如：

1
Name:
2
GPU-244
3

4
Address:
5
10.21.76.244/32
6

7
Resource Group:
8
gpu-servers

29. 创建 Network Resource Policy#

例如只允许科研成员 SSH：

1
Source:
2
remote-users
3

4
Destination:
5
gpu-servers
6

7
Protocol:
8
TCP
9

10
Port:
11
22

含义：

1
remote-users
2
       │ TCP 22
3
       ▼
4
10.21.76.244

没有 Policy 的 Resource 默认不可访问。

如果要 Ping，还需另外允许：

1
ICMP

TCP 22 并不会自动允许 ICMP。

30. 添加 Routing Peer#

打开：

1
Network Routing
2
→ Networks
3
→ Office LAN
4
→ Add Routing Peer

选择：

1
office-routing-peer

最终：

1
Office LAN
2
├── Resource
3
│   └── 10.21.76.244/32
4
│
5
├── Policy
6
│   └── remote-users → TCP 22
7
│
8
└── Routing Peer
9
    └── office-routing-peer

官方示例的推荐流程同样是：

1
创建 Network
2
→ 添加 /32 Resource
3
→ 创建 Policy
4
→ 添加 Routing Peer
5
→ 客户端 netbird networks ls 验证

31. Masquerade#

Routing Peer 默认：

1
Masquerade = Enabled

数据：

1
客户端
2
   ↓
3
Routing Peer
4
   ↓ SNAT
5
目标服务器

因此目标服务器一般看到：

1
Routing Peer LAN IP

而不是：

1
用户 NetBird 100.x IP

优点：

1
内网无需添加返回路由

官方推荐初始部署保留默认 Masquerade。

只有确实需要保留来源 NetBird IP 时才关闭。

关闭后内网必须知道如何返回：

1
100.x 网络
2
via Routing Peer

32. Routing Peer 本机与后方 Resource 是两回事#

这是最容易配置错误的地方。

例如 Routing Peer：

1
NetBird IP:
2
100.90.0.5
3

4
LAN IP:
5
10.21.76.240

如果访问：

1
ssh user@100.90.0.5

这是：

1
TO Routing Peer

需要：

1
Peer-to-Peer Policy

例如：

1
remote-users
2
→ routing-peers
3
TCP 22

如果访问：

1
ssh user@10.21.76.244

是：

1
THROUGH Routing Peer

需要：

1
Network Resource Policy

NetBird 官方明确区分：

1
TO Routing Peer
2
→ input chain
3
→ Peer Policy
4

5
THROUGH Routing Peer
6
→ forward chain
7
→ Network Resource Policy

33. 推荐 Routing Peer 与跳板机分开#

长期推荐：

1
Routing Peer
2
只负责 IP 转发
3

4
Jump Host
5
只负责 SSH 登录与审计

例如：

1
Routing Peer
2
10.21.76.230
3

4
Jump Host
5
10.21.76.240

优点：

1
网络权限更清晰
2
SSH 权限更清晰
3
日志更清晰
4
降低单机暴露面
5
排障更容易

小规模环境也可以使用同一台机器同时承担两个角色；官方允许同一个 Peer同时作为普通 Peer、Routing Peer 和 Exit Node。

34. Routing Peer 高可用#

同一个 Network 可以添加多个 Routing Peer。

例如：

1
Routing Peer A
2
metric = 100
3

4
Routing Peer B
5
metric = 200

则：

1
A = 主
2
B = 备用

A 不可用时自动切 B。

如果：

1
A = 100
2
B = 100

则客户端根据延迟选择。

官方当前 Routing Peer HA 完全由 metric 控制。

35. Windows 客户端#

安装官方 Windows EXE/MSI。

安装后包括：

1
NetBird GUI
2
NetBird daemon service

默认目录：

1
C:\Program Files\NetBird

当前 Windows 安装器会安装后台 daemon。

首次运行：

1
NetBird
2
→ Connect
3
→ Self-hosted

输入：

1
https://netbird.example.com

然后浏览器登录自己的 NetBird 用户账号。

也可以使用管理员 PowerShell：

1
netbird up `
2
  --management-url https://netbird.example.com

检查：

1
netbird status

1
netbird status -d

36. Linux 用户客户端#

安装：

1
curl -fsSL https://pkgs.netbird.io/install.sh | sh

用户设备不要用 Setup Key，建议使用用户身份认证：

1
netbird up \
2
  --management-url https://netbird.example.com

浏览器登录自己的账户。

检查：

1
netbird status -d

官方建议 Setup Key 主要用于无人值守服务器，而普通终端用户通过交互式身份认证注册。

37. 查看 Network 是否正确下发#

客户端：

1
netbird networks ls

这是当前官方 Networks 的主要验证命令之一。

Linux 查看：

1
ip route

或者：

1
ip route get 10.21.76.244

Windows：

1
route print

或者：

1
Get-NetRoute

38. 外网测试方法#

不要只在客户端和 Routing Peer 位于同一 LAN 时测试。

因为此时可能只是：

1
LAN 直接连接

无法验证：

1
公网 Management
2
Signal
3
STUN
4
P2P
5
Relay

39. 本地与远程 IP 冲突#

例如：

1
本地网络：
2
10.21.76.244
3

4
远程 Network：
5
10.21.76.244

这属于：

1
Overlapping IP

同一个客户端无法通过相同目的 IP 自动知道：

1
我要本地 244
2
还是
3
我要远程 244

如果只需要 SSH，最推荐：

1
用户
2
→ 跳板机的 NetBird 100.x IP
3
→ 远程 10.21.76.244

即：

1
ssh \
2
  -J user@100.x.x.x \
3
  user@10.21.76.244

这样：

1
用户本地访问 10.21.76.244
2
→ 本地 244
3

4
ProxyJump 后访问 10.21.76.244
5
→ 跳板机所在远程 LAN 的 244

两边不会冲突。

40. NetBird Server 自动启动#

Quickstart 使用 Docker Compose。

检查容器 RestartPolicy：

1
docker inspect \
2
  -f '{{.Name}} restart={{.HostConfig.RestartPolicy.Name}}' \
3
  $(docker compose ps -q)

应看到类似：

1
restart=unless-stopped

检查 Docker 开机启动：

1
systemctl is-enabled docker

正常：

1
enabled

检查：

1
systemctl is-active docker

正常：

1
active

不要在关机前执行：

1
docker compose down

因为 down 会删除 Compose 容器。

正常：

1
reboot

之后 Docker 根据 RestartPolicy 恢复容器。

41. Routing Peer 自动启动#

对于通过：

1
curl -fsSL https://pkgs.netbird.io/install.sh | sh

安装的 Linux NetBird Agent：

1
sudo systemctl is-enabled netbird
2
sudo systemctl is-active netbird

正常：

1
enabled
2
active

确保 Connect on Startup：

1
sudo netbird up \
2
  --disable-auto-connect=false

官方当前说明该功能默认就是开启状态。

重启验证：

1
sudo reboot

登录回来：

1
sudo netbird status -d

42. 常用状态检查#

Server#

1
cd ~/netbird
2
docker compose ps

1
docker compose logs \
2
  --tail=100 \
3
  netbird-server

1
docker compose logs \
2
  --tail=100 \
3
  traefik

Client#

1
netbird status

1
netbird status -d

1
netbird networks ls

Routing Peer#

1
sudo netbird status -d

1
ip addr show wt0

1
sysctl net.ipv4.ip_forward

1
ip route

43. SSH 不通排查顺序#

不要一上来排 NetBird。

严格按以下顺序检查。

第一步：Routing Peer 自己能访问目标吗#

1
nc -vz 10.21.76.244 22

失败：

1
先处理内网路由、目标 SSH、防火墙

第二步：Routing Peer 在线吗#

1
sudo netbird status -d

检查：

1
Management
2
Signal
3
Relay

第三步：Network 是否下发#

客户端：

1
netbird networks ls

第四步：Policy 是否正确#

检查：

1
Source Group
2
Destination Resource Group
3
TCP
4
Port 22

第五步：IP Forwarding#

1
sysctl net.ipv4.ip_forward

第六步：抓包#

Routing Peer：

1
sudo tcpdump \
2
  -ni any \
3
  host 10.21.76.244 \
4
  and port 22

用户同时：

1
ssh user@10.21.76.244

44. 用户撤权#

如果成员离开团队：

1
Team
2
→ Users
3
→ Disable/Delete

同时建议：

1
Peers
2
→ 删除该用户设备

SSH 层还需要：

1
删除 Linux 用户
2
或
3
删除 authorized_keys

NetBird 权限与 Linux SSH 权限是两层独立控制。

45. 日志与审计#

NetBird 自部署可以记录：

1
用户
2
Peer
3
Group
4
Policy
5
Setup Key
6
配置变化

但 NetBird 本身不是 SSH 堡垒机。

它不能默认记录：

1
用户在 SSH 中执行了什么命令

如果需要：

1
SSH 登录审计
2
命令审计
3
sudo 操作审计

可以在 Jump Host 进一步部署：

1
auditd
2
tlog
3
sudo I/O logging
4
JumpServer
5
Teleport

46. Server 备份#

官方要求至少备份：

1
docker-compose.yml
2
config.yaml
3
dashboard.env
4
Management 数据目录

在 NetBird 安装目录：

1
mkdir -p backup

1
cp \
2
  docker-compose.yml \
3
  dashboard.env \
4
  config.yaml \
5
  backup/

停止 Server：

1
docker compose stop netbird-server

复制数据：

1
docker compose cp -a \
2
  netbird-server:/var/lib/netbird/ \
3
  backup/

重新启动：

1
docker compose start netbird-server

47. NetBird Server 更新#

先备份。

然后：

1
docker compose pull \
2
  netbird-server \
3
  dashboard

如果使用 Traefik：

1
docker compose pull

重新创建：

1
docker compose up -d \
2
  --force-recreate

检查：

1
docker compose ps

1
docker compose logs \
2
  --tail=100

官方升级流程同样要求先备份，再 Pull 新镜像并 up -d --force-recreate。

48. Linux NetBird Client 更新#

如果使用安装脚本：

1
netbird down

1
curl -fsSLO \
2
  https://pkgs.netbird.io/install.sh

1
chmod +x install.sh

1
sudo ./install.sh --update

1
netbird up

这是当前官方 Linux 更新流程。

49. 推荐的最终生产配置#

对于当前约 20 人团队，建议最终采用：

1
                   Internet
2
                      │
3
                      ▼
4
            netbird.example.com
5
                      │
6
                      ▼
7
             公网 NetBird VPS
8
           Management / Relay
9
                      │
10
          ┌───────────┴───────────┐
11
          │                       │
12
    用户 NetBird              内网 NetBird
13
      Clients                   Gateway
14
                                   │
15
                   ┌───────────────┴──────────────┐
16
                   │                              │
17
               Routing Peer                   Jump Host
18
               网络转发                         SSH登录
19
                   │                              │
20
              内网资源                        内网服务器

第一阶段可以进一步简化成：

1
用户
2
 ↓
3
NetBird
4
 ↓
5
Jump Host
6
 ↓
7
其他服务器

此时：

1
不需要 Network
2
不需要 Routing Peer

只配置：

1
remote-users
2
     ↓ TCP 22
3
jump-hosts

50. 后续需要直接访问内网资源时#

再增加：

1
Office LAN Network

资源按 /32 添加：

1
10.21.76.239/32
2
10.21.76.240/32
3
10.21.76.244/32

而不是：

1
10.21.76.0/24

然后：

1
remote-users
2
     ↓ TCP 22
3
gpu-servers
4
     ↓
5
Routing Peer
6
     ↓
7
目标服务器

这样遵循最小权限原则，也符合当前官方 Networks 的设计方式。

51. 最重要的几个概念#

1
NetBird Server
2
= 控制面 + Signal + Relay + STUN
3

4
Peer
5
= 安装了 NetBird 的设备
6

7
Jump Host
8
= 用户实际 SSH 登录的服务器
9

10
Routing Peer
11
= 网络层转发设备，用户无需登录它
12

13
Network
14
= 某个 LAN / VPC / 环境的逻辑容器
15

16
Resource
17
= Network 中真正要访问的 IP / CIDR / Domain
18

19
Policy
20
= 谁可以访问什么、什么协议、什么端口
21

22
Setup Key
23
= 无人值守服务器注册凭据

最容易混淆的一点：

1
访问 Routing Peer 自己
2
→ Peer-to-Peer Policy
3

4
通过 Routing Peer 访问它后面的服务器
5
→ Network Resource Policy

52. 当前最推荐的配置策略#

普通用户#

1
Group:
2
remote-users

跳板机#

1
Group:
2
jump-hosts

Routing Peer#

1
Group:
2
routing-peers

SSH 规则#

1
remote-users
2
→ jump-hosts
3
→ TCP 22
4
→ Unidirectional

Network 资源规则#

1
remote-users
2
→ gpu-servers
3
→ TCP 22

安全原则#

1
禁用 Default All → All
2
只发布必须访问的资源
3
优先 /32
4
不要共享 NetBird 用户
5
不要共享 SSH 私钥
6
每人独立 NetBird 用户
7
每人独立 Linux 用户/SSH Key
8
Routing Peer 用 Setup Key
9
普通用户设备使用交互式登录
10
开启 Local MFA
11
定期备份 NetBird Server

53. 最常用命令速查#

NetBird Server#

1
docker compose ps

1
docker compose logs \
2
  --tail=100 \
3
  netbird-server

1
docker compose restart \
2
  netbird-server

Linux Peer#

1
sudo netbird status -d

1
sudo netbird down

1
sudo netbird up \
2
  --management-url https://netbird.example.com

Routing Peer#

1
sudo systemctl is-enabled netbird
2
sudo systemctl is-active netbird
3
sudo netbird status -d
4
sysctl net.ipv4.ip_forward
5
ip addr show wt0

Networks#

1
netbird networks ls

SSH#

1
ssh user@100.x.x.x

或者：

1
ssh \
2
  -J user@100.x.x.x \
3
  user@10.21.76.244

54. 当前部署决策建议#

如果主要需求仍然是：

1
20 个成员
2
→ 命令行
3
→ 一台内网服务器
4
→ 再访问其他内网服务器

优先采用：

1
NetBird Peer + SSH Jump Host

暂时不要：

1
直接发布整个 10.x.x.x/24

等后续需要：

1
直接访问 GPU
2
Jupyter
3
数据库
4
NAS
5
内部 Web

再配置：

1
Networks
2
+ Routing Peer
3
+ /32 Resources
4
+ Resource Policies

这样是当前最清晰、最容易审计、权限范围最小，也最符合 NetBird 官方最新 Networks 模型的部署方式。