NetBird: interne Systeme ohne offene Ports
Ein selbst gehostetes NetBird-Netz mit Anmeldung über Keycloak ersetzt bei uns klassisches VPN, offene Ports und IP-Freigaben. Interne Server und Anwendungen sind damit einfacher und sicherer erreichbar, für unser Team ebenso wie für unsere KI-Agenten.
- Rolle
- Konzept, Einrichtung & Betrieb
- Zeitraum
- 2026
- Status
- Im eigenen Einsatz
Ausgangslage
Unsere internen Ressourcen, also Server und Admin-Oberflächen, interne Web-Anwendungen sowie Datenbanken und Speicher, waren über eine Mischung aus klassischem VPN, offenen Ports und IP-Allowlists erreichbar.
Im Alltag hieß das: Jedes neue Gerät brauchte eine eigene VPN-Konfiguration, jede neue IP-Adresse eine Freigabe, und jeder offene Port vergrößerte die Angriffsfläche. Wer worauf Zugriff hatte, war nur mühsam nachzuvollziehen.
Lösung
NetBird läuft bei uns selbst gehostet auf eigener Infrastruktur. Geräte verbinden sich über verschlüsselte WireGuard-Tunnel direkt miteinander, angemeldet wird per Single Sign-on über unseren Keycloak.
Zugriffsregeln hängen an Gruppen statt an IP-Adressen: Wer in der passenden Gruppe ist, erreicht genau die Dienste, die er braucht, und sonst nichts. Verlässt jemand das Team, endet mit dem Keycloak-Konto auch der Zugriff.
Auf demselben Weg greifen unsere KI-Agenten auf ihre Ressourcen zu (Agentic Network). Sie hängen als eigene Teilnehmer im Netz und bekommen über eigene Gruppen nur die Dienste freigegeben, die sie für ihre Aufgabe brauchen.
- Anmeldung per Single Sign-on über Keycloak
- Zugriff nach Gruppen statt nach IP-Adressen
- Keine offenen Ports und IP-Freigaben für interne Dienste
- Neues Gerät: Client installieren, anmelden, fertig
- KI-Agenten mit eigenen, eng begrenzten Zugriffsrechten
SSO
Anmeldung über Keycloak
E2E
WireGuard-verschlüsselt
Gruppen
Zugriffsregeln statt IP-Listen
KI
Agenten im selben Netz