netbirdio/netbird

NetBird 面向组织与家庭实验室提供私有网络覆盖层：每台机器运行一个管理 WireGuard 的 agent，中央 Management Service 保存网络状态并下发访问策略。它把开放端口、手写防火墙规则和 VPN 网关替换成基于身份的模式，从一处按组和规则授予访问权限 NetBird 仓库。

工作机制

每个 agent 向 Management Service 注册，通过 ICE 和 STUN 发现连接候选，再经 Signal Service 协商连接。NAT 穿透失败时（例如运营商级 NAT），流量回落到 Relay Service，仍然处于 WireGuard 隧道内 工作原理。实际结果是：直连的点对点链路不必让日常流量绕行中心网关，而中继保证没有直连路径时网络仍可用。

在此之上，README 列出访问组与规则、设备状态检查、活动与流量日志、私有 DNS 与 DNS 路由、用于访问外部网络的出口节点，以及带集中访问策略的 SSH 访问管理、状态检查、SSH。另有标注为 beta 的 agent-network 路径，为 AI agent 提供对 LLM API 和私有资源的身份感知访问，但明确处于测试阶段 agent network。

两种运行方式

云端： 从官网下载安装客户端，用 Google、Microsoft、GitHub 或邮箱注册，在管理界面管理节点 安装入口。自托管： 快速开始需要一台公网可达的 Linux VM，至少 1 CPU 和 2 GB 内存，开放 TCP 80、443 和 UDP 3478，有指向该 VM 的公共域名，并安装带 Compose v2 的 Docker；文档给出的方式是运行针对最新 release 的快速启动脚本 自托管快速开始。自托管是更重的一条路径，云端方式则免去这套基础设施配置。

客户端覆盖 Linux、macOS、Windows、iOS、Android、Android TV、Apple TV、FreeBSD，以及 pfSense、OPNsense、MikroTik、OpenWRT、Synology、TrueNAS、Proxmox、Raspberry Pi 等路由器和 NAS 平台，另有容器与 serverless 方式 安装文档、Linux。

需要注意的条件

main 分支在开发期间可能不稳定甚至无法工作，稳定版本应取 releases 仓库。许可证是分开的：仓库整体为 BSD-3-Clause，但 management/、signal/ 和 relay/ 目录为 AGPLv3 许可证，如果你要修改或再分发这些服务，这一点会影响你。Bug 报告走 Discussions 做分诊，而不是直接开 issue；支持请求需要提供版本、操作系统、部署类型和调试包，默认匿名化会遮蔽公网 IP、MAC 地址和非 NetBird 域名，但并非完全脱敏，严格级别还会遮蔽私有地址与 CGNAT 范围 仓库。

NetBird 主要属于部署与网络基础设施，是否适合取决于你希望采用还是自行运营这一覆盖层，而不只取决于客户端功能。