NetBird

A NetBird liga notebooks, servidores e celulares numa rede privada construída sobre WireGuard, com conexão direta entre os dispositivos. O acesso depende da identidade do usuário e de regras por grupo, na linha do zero trust.

Para que serve

• Conectar a equipe a servidores e sistemas internos por túneis ponto a ponto, com relay quando a conexão direta falha.
• Exigir login por SSO e MFA e liberar cada recurso conforme o grupo do usuário.
• Checar a postura do dispositivo antes de liberar o acesso e registrar atividade e tráfego.
• Anunciar rotas para redes inteiras e usar nós de saída, inclusive em pfSense, OPNsense, MikroTik, Synology e TrueNAS.
• Automatizar a entrada de máquinas com API, Terraform e Ansible.

Como começar

Na NetBird Cloud, você instala o cliente pela página de instalação e cria a conta com Google, Microsoft, GitHub ou e-mail.

Para hospedar por conta própria, o README pede uma VM Linux com 1 CPU e 2 GB de memória, as portas TCP 80 e 443 e UDP 3478 abertas para a internet, um domínio público apontando para a máquina e Docker com Compose v2. Depois, rode:

export NETBIRD_DOMAIN=netbird.example.com; curl -fsSL https://github.com/netbirdio/netbird/releases/latest/download/getting-started.sh | bash

Licença e custo

O repositório tem duas licenças, ambas aprovadas pela OSI. Os diretórios management, signal, relay e combined estão sob AGPL-3.0: alterar esses diretórios e rodar o resultado como serviço em rede obriga a divulgar o código modificado. O resto segue a BSD-3-Clause, que só exige manter o aviso de copyright.

A NetBird Cloud tem plano Free para até 5 usuários e 100 máquinas. O Team custa 6 euros por usuário ao mês, o Business 12 euros e o Enterprise sai sob consulta. A versão self-hosted tem um contrato de licença próprio, linkado na página de preços.

Quando vale a pena

O melhor cenário é a empresa pequena que quer abandonar a VPN de concentrador e já usa um provedor de identidade. Se o problema é só navegar com privacidade, a ferramenta não resolve, e o texto sobre VPN grátis no computador da empresa explica esse risco. Alternativas conhecidas são o Tailscale e o WireGuard configurado à mão.