繁华尽处

NetBird

当然可以！不通过 NetBird 官网注册账号，完全使用开源项目 netbirdio/netbird 来实现内网穿透是完全可行的。这需要您自行搭建 NetBird 的控制面板 (Management Server) 和信号服务器 (Signal Server)，然后配置您的群晖 NAS 和公网服务器连接到您自建的服务。

以下是详细步骤和说明，帮助您使用 Docker 和开源 NetBird 项目完成内网穿透。

核心组件

为了实现这个目标，您需要了解 NetBird 开源项目的几个核心组件：

  1. Signal Server (信号服务器): 用于帮助 NetBird 客户端（Agent）发现彼此并建立直接连接。
  2. Management Server (控制面板): 用于管理 NetBird 网络，包括用户、设备、策略等。虽然您可以选择完全跳过 Management Server 进行最简化的设置，但为了更好的管理和控制，建议搭建。
  3. Agent (客户端): 运行在您的设备上（群晖 NAS 和公网服务器），负责建立和维护 VPN 连接。
  4. netbird CLI (命令行工具): 用于管理 NetBird 网络，例如生成密钥、配置策略等。

架构概览

您将需要搭建以下架构：

+---------------------+      +-----------------------+      +---------------------+
|   群晖 NAS (内网)   |----|   NetBird Agent     |------|   Signal Server     |
+---------------------+      +-----------------------+      +---------------------+
                                        ^                  ^
                                        |                  |
+---------------------+      +-----------------------+      |   Management Server  | (可选，但推荐)
|  公网服务器 (公网)  |----|   NetBird Agent     |------|   (您自己搭建)      |
+---------------------+      +-----------------------+      +---------------------+

步骤详解

步骤 1: 准备工作

  • 两台 Docker 环境: 您的群晖 NAS 和公网服务器都需要安装并运行 Docker 和 Docker Compose (推荐，简化部署)。
  • 公网服务器: 需要一台具有公网 IP 的服务器，用于部署 Signal Server (和可选的 Management Server)。
  • 域名 (可选但推荐): 为了方便访问自建的 Management Server (如果您搭建)，建议配置一个域名并解析到您的公网服务器 IP。如果您不使用域名，需要直接使用 IP 地址访问。
  • netbird CLI 工具: 在您的本地电脑上安装 netbird 命令行工具，用于生成密钥和管理配置。您可以从 NetBird GitHub Release 页面 下载对应您操作系统的版本。

步骤 2: 部署 Signal Server (信号服务器)

Signal Server 是最核心的组件，用于 Agent 之间的发现和连接建立。

  1. 创建 docker-compose.yml 文件: 在您的公网服务器上，创建一个目录用于存放 NetBird 相关文件，并在该目录下创建 docker-compose.yml 文件，内容如下：

    YAML

    version: '3.8'
services:
 signal:
   image: netbirdio/signal:latest
   ports:
     - "8080:8080" # HTTP 端口 (可选，用于健康检查)
     - "10000:10000/udp" # QUIC 端口，Agent 连接使用
   volumes:
     - ./signal-data:/data # 数据持久化
   restart: always

  2. 启动 Signal Server: 在 docker-compose.yml 文件所在目录，执行命令启动 Signal Server:

    Bash

    docker-compose up -d

    这将会启动一个名为 signal 的 Docker 容器，并将容器的 8080 (HTTP) 和 10000 (UDP) 端口映射到宿主机。数据将持久化在 ./signal-data 目录。

  3. 验证 Signal Server 运行 (可选): 您可以通过访问 http://<您的公网服务器IP>:8080/health 来检查 Signal Server 是否运行正常。正常情况下应该返回 {"status":"ok"}。

步骤 3: (可选但推荐) 部署 Management Server (控制面板)

如果您希望更方便地管理您的 NetBird 网络，例如用户、设备、策略等，可以部署 Management Server。如果您只需要最基本的点对点连接，可以跳过此步骤，直接进行步骤 4。

  1. 修改 docker-compose.yml 文件: 在步骤 2 创建的 docker-compose.yml 文件中，添加 Management Server 的服务定义：

    YAML

    version: '3.8'
services:
 signal:
   image: netbirdio/signal:latest
   ports:
     - "8080:8080"
     - "10000:10000/udp"
   volumes:
     - ./signal-data:/data
   restart: always

 management:
   image: netbirdio/management:latest
   ports:
     - "80:80"      # Web UI HTTP 端口
     - "443:443"    # Web UI HTTPS 端口 (需要配置 TLS)
     - "5000:5000"  # gRPC API 端口，Agent 连接使用
   environment:
     - SIGNAL_ADDRESS=signal:8080 # 指向 Signal Server
     - NB_API_LISTEN_ADDR=0.0.0.0:5000 # 监听所有接口的 API 端口
     - NB_UI_LISTEN_ADDR=0.0.0.0:80 # 监听所有接口的 UI 端口
     - NB_UI_BASE_URL=http://<您的域名或公网IP> # Web UI 访问地址 (HTTP)
     - NB_API_BASE_URL=http://<您的域名或公网IP>:5000 # API 访问地址 (HTTP)
     #  - TLS_CERT_FILE= # TLS 证书路径 (如果您配置 HTTPS)
     #  - TLS_PRIVATE_KEY_FILE= # TLS 私钥路径 (如果您配置 HTTPS)
   volumes:
     - ./management-data:/data # 数据持久化
   depends_on:
     - signal # 依赖 Signal Server 先启动
   restart: always

    重要配置说明:

  2. SIGNAL_ADDRESS=signal:8080: Management Server 需要知道 Signal Server 的地址。因为在 Docker Compose 中，服务可以通过服务名 signal 互相访问。

  3. NB_UI_BASE_URL 和 NB_API_BASE_URL: 根据您的域名或公网 IP 修改，用于 Web UI 和 API 的访问地址。如果您配置了 HTTPS，请将 http:// 修改为 https:// 并配置 TLS_CERT_FILE 和 TLS_PRIVATE_KEY_FILE 环境变量指向您的 TLS 证书和私钥文件。

  4. depends_on: signal: 确保 Management Server 在 Signal Server 启动之后再启动。

  5. 启动 Management Server: 在 docker-compose.yml 文件所在目录，执行命令重新启动 Docker Compose:

    Bash

    docker-compose up -d

    这将会启动 management 服务。

  6. 访问 Management Server Web UI: 在浏览器中访问 http://<您的域名或公网IP> (或 https://<您的域名或公网IP> 如果您配置了 HTTPS)。默认情况下，您可以使用用户名 admin@netbird.io 和密码 netbird 登录。首次登录后请立即修改密码！

步骤 4: 生成 Agent 连接所需的密钥

无论是使用 Management Server 还是直接连接 Signal Server，您都需要生成密钥 (预共享密钥，Pre-Shared Key, PSK) 用于 Agent 连接。

方法一: 使用 netbird CLI (推荐)

  1. 配置 netbird CLI 连接到您的 Management Server (如果部署了 Management Server):

    netbird auth --api-url http://<您的域名或公网IP>:5000 --management-url http://<您的域名或公网IP> login

按照提示完成登录 (使用默认账号 `admin@netbird.io` 和默认密码 `netbird`)。

  2. 生成预共享密钥 (PSK):

    netbird psk generate --name my-psk

    这会生成一个名为 my-psk 的预共享密钥，并输出密钥的值。记录下这个密钥值，后面配置 Agent 时需要用到。

方法二: 手动生成密钥 (如果您没有部署 Management Server，或者希望简化)

如果您跳过了 Management Server 的部署，您可以手动生成一个随机的 UUID 作为预共享密钥。您可以使用在线 UUID 生成工具，或者使用命令行工具如 uuidgen (Linux/macOS) 或 PowerShell 的 [guid]::NewGuid() (Windows)。

步骤 5: 配置群晖 NAS 上的 NetBird Agent

  1. 在群晖 NAS 上创建 docker-compose.yml 文件: 在您群晖 NAS 的 Docker 目录 (例如 /volume1/docker/netbird-agent) 下创建 docker-compose.yml 文件，内容如下：
    如果部署了 Management Server:

    version: '3.8'
services:
 agent:
   image: netbirdio/agent:latest
   privileged: true # NetBird 需要 privileged 权限来操作网络接口
   environment:
     - NETBIRD_PRESHARED_KEY=<您在步骤 4 生成的 PSK 值> # 替换为您的 PSK 值
     - NETBIRD_MANAGEMENT_URL=http://<您的域名或公网IP>:5000 # 指向您的 Management Server API 地址
     - NETBIRD_SIGNAL_ADDRESS=<您的公网服务器IP>:10000 # 指向您的 Signal Server 地址 (可选，Management Server 会自动同步 Signal 地址)
     - NETBIRD_TUN_WIREGUARD_DEV_NAME=netbird-wg0 # 自定义 WireGuard 接口名称 (可选)
   restart: always

    如果跳过了 Management Server (简化配置):

    version: '3.8'
services:
 agent:
   image: netbirdio/agent:latest
   privileged: true
   environment:
     - NETBIRD_PRESHARED_KEY=<您在步骤 4 生成的 PSK 值> # 替换为您的 PSK 值
     - NETBIRD_SIGNAL_ADDRESS=<您的公网服务器IP>:10000 # 指向您的 Signal Server 地址
     - NETBIRD_MANAGEMENT_ENABLED=false # 禁用 Management Server 功能
     - NETBIRD_TUN_WIREGUARD_DEV_NAME=netbird-wg0 # 自定义 WireGuard 接口名称 (可选)
   restart: always

    重要配置说明:

  2. NETBIRD_PRESHARED_KEY: 替换为步骤 4 生成的预共享密钥 (PSK) 值。

  3. NETBIRD_MANAGEMENT_URL: (如果部署了 Management Server) 指向您的 Management Server API 地址。

  4. NETBIRD_SIGNAL_ADDRESS: 指向您的 Signal Server 的公网 IP 和端口 (UDP 10000)。

  5. NETBIRD_MANAGEMENT_ENABLED=false: (如果跳过了 Management Server) 禁用 Management Server 功能。

  6. privileged: true: NetBird Agent 需要 privileged 权限来操作网络接口，这是必须的。

  7. NETBIRD_TUN_WIREGUARD_DEV_NAME: 可选配置，自定义 WireGuard 接口的名称，方便您在系统网络接口中识别。

  8. 启动 NetBird Agent: 在群晖 NAS 上，进入 docker-compose.yml 文件所在目录，执行命令启动 Agent:

    docker-compose up -d

    步骤 6: 配置公网服务器上的 NetBird Agent

步骤与步骤 5 类似，只是配置上略有不同。

  1. 在公网服务器上创建 docker-compose.yml 文件: 在您的公网服务器上 (例如在 Signal Server 所在的目录的同级目录创建一个新目录 netbird-agent) 创建 docker-compose.yml 文件，内容与步骤 5 中群晖 NAS 的配置基本相同，只需确保 NETBIRD_PRESHARED_KEY 值一致即可。

  2. 启动 NetBird Agent: 在公网服务器上，进入 docker-compose.yml 文件所在目录，执行命令启动 Agent:

    docker-compose up -d

    步骤 7: 验证连接

  3. 检查 Agent 状态: 使用 docker logs <agent 容器名称> 命令查看群晖 NAS 和公网服务器上的 Agent 容器日志，检查是否有连接成功的日志信息，例如 “Peer connected” 或 “Registered peer”。您可以使用 docker ps 命令查看 Agent 容器的名称 (通常是 netbird-agent-agent-1 或类似的名称)。

  4. 网络连通性测试: 在群晖 NAS 上尝试 ping 公网服务器的 NetBird 内网 IP 地址，或者反过来，在公网服务器上 ping 群晖 NAS 的 NetBird 内网 IP 地址。您可以在 Agent 的日志中或者在 Management Server Web UI (如果部署了) 中查看到分配给每个 Agent 的 NetBird 内网 IP 地址。

    例如，如果群晖 NAS 的 NetBird 内网 IP 是 10.10.10.1，公网服务器的 NetBird 内网 IP 是 10.10.10.2，您可以在群晖 NAS 上执行 ping 10.10.10.2 测试连通性。如果 ping 通，说明内网穿透已经成功建立。

高级配置和优化 (可选)

  • 配置固定内网 IP: 默认情况下，NetBird 会动态分配内网 IP 地址。如果您需要固定的内网 IP 地址，可以在 Management Server Web UI 中为每个设备配置静态 IP (如果部署了 Management Server)。
  • 配置访问控制策略: 如果您部署了 Management Server，可以使用 Web UI 配置更精细的访问控制策略，限制哪些设备可以访问哪些设备和服务。
  • 配置 HTTPS 访问 Management Server: 为了安全起见，强烈建议为 Management Server 配置 HTTPS 访问。您需要准备 TLS 证书和私钥，并在 docker-compose.yml 文件中配置 TLS_CERT_FILE 和 TLS_PRIVATE_KEY_FILE 环境变量。
  • 监控和日志: 您可以配置 Docker 的日志驱动，将 NetBird 组件的日志输出到外部日志系统，方便监控和排错。

注意事项

  • 防火墙: 请确保您的群晖 NAS、公网服务器以及网络环境的防火墙允许 UDP 10000 端口的入站和出站流量，以及您配置的其他端口 (例如 Management Server 的 HTTP/HTTPS 端口)。
  • 安全性: 预共享密钥 (PSK) 的安全性至关重要，请妥善保管。如果 PSK 泄露，可能会导致未授权的设备接入您的 NetBird 网络。如果使用 Management Server，请务必修改默认管理员密码。
  • 性能: 内网穿透的性能会受到多种因素影响，例如服务器带宽、网络延迟等。如果您需要更高的性能，可以考虑优化 WireGuard 的配置，或者选择更靠近您的用户的公网服务器。
  • Docker Compose 版本: 请确保您的 Docker Compose 版本在 1.24 或以上，以支持 docker-compose.yml 文件中使用的 version: '3.8' 语法。

总结

通过以上步骤，您应该能够成功使用开源的 NetBird 项目，在不注册 NetBird 官网账号的情况下，完成群晖 NAS 和公网服务器之间的内网穿透。 整个过程主要依赖 Docker 和 Docker Compose，配置相对简单，但需要您对 Docker 和网络基础知识有一定的了解。

如果您在配置过程中遇到任何问题，请随时提供更详细的错误信息或配置截图，以便我更好地帮助您排查问题。

嗯，用户的问题是关于如何在群晖（Synology NAS）内网和公网服务器之间使用Docker部署NetBird的开源项目，而不经过其官网注册账号来实现内网穿透。首先，我需要理解NetBird，查看他们的GitHub仓库文档，弄清楚它的工作原理和使用方式。

用户提到不希望通过官网注册账号，可能是因为隐私考虑或者希望完全自己掌控配置。因此，我需要检查NetBird开源项目的文档，看看是否有支持离线或自托管的方式配置如是否允许自己搭建服务器或者使用自定义的身份验证机制。

接下来，NetBird是基于WireGuard的，可能他们的服务简化了配置过程，但开源版本是否允许不依赖官方服务器呢？可能需要用户自己生成WireGuard的配置，或者项目中有提CLI工具进行对等连接。

群晖支持Docker，所以需要在群晖NAS上安装Docker，并运行NetBird的容器。同样地，公网服务器也需要Docker环境运行对应的容器。用户的问题是如何让这两个容器之间建立连接，内网穿透。

关键步骤可能有：安装Docker环境，拉取NetBird的镜像，配置两端节点的参数，生成密钥，确保两端能够通信而不通过NetBird的官方服务器。可能需要手动配置节点间的对等连接，设置公网服务为接入点，群晖作为客户端，进行隧道配置。

可能的难点在于如何在没有NetBird官方账号的情况下，配置双方的连接参数，包括IP地址、端口、密钥交换等。另外，网络配置是否正确，比如防火墙是否允许UDP流量（WireGuard使UDP），以及公网服务器是否有暴露的端口。

还需要考虑安全性，比如如何安全地交换密钥，避免中间人攻击。可能需要手动交换配置信息，或者通过其他安全渠道传输密钥文件。

可能的解决方案步骤包括：在公网服务器上运行NetBd作为服务端，配置为公开访问；群晖作为客户端，通过配置文件连接到公网服务器的IP和端口，使用生成的WireGuard密钥对。然后测试连接是否成功，确保数据能穿透内网。

需要检查NetBird的文档或示例配置，否有自托管的选项，或者如何使用CLI指定对等节点的信息。如果有，用户可能需要在两边分别配置对等节点，设置正确的隧道参数。

根据你的需求，无需通过 NetBird 官网注册账号，直接利用开源项目实现穿透，可以通过以下步骤完成配置：

解决方案步骤

  1. 环境准备

    • 群晖 NAS（内网端）：确保已安装 Docker 并具备基础操作权限。
    • 公网服务器：具备 Docer 环境，且有公网 IP 或域名可访问。

  2. 部署 NetBird 容器

    • 公网服务器（服务端）：

      docker run -d --name netbird-server \
  -v /path/to/config:/ \
  netbirdio/netbird \
  --mode server --public-key <公网服务器公钥> --private-key <公网服务器私钥>

    • 群晖 NAS（客户端）：

      docker run -d --name netbird-client \
  -v /path/to/config:/config \
  netbirdio/netbird \
  --mode client --server-ip <公网服务器IP> --public-key <客户端公钥> --private-key <客户端私钥>
`

  3. 密钥生成与配置

    • 生成 WireGuard 密钥对（双方各自生成）：

      wg genkey | tee private.key | wg pubkey > public.key

    • *手动交换公：

      • 客户端配置需包含服务端的公钥。
      • 服务端配置需包含客户端的公钥。

  4. 配置隧道参数

    • 服务端配置示例（/config/server.conf）：
     [Interface]
 PrivateKey = <服务端私钥>
 Address = 10.0.0.1/24

 [Peer]
 PublicKey = <客户端公钥>
 AllowedIPs  10.0.0.2/32

    • 客户端配置示例（/config/client.conf）：

      [Interface]
PrivateKey = <客户端私钥>
Address = 10.0.0.2/24

    [Peer] PublicKey = <服务端公钥> Endpoint = <公网服务器IP>:51820 AllowedIPs = 10.0.0.1/32

  5. 网络与防火墙调整 - 公网服务器：确保 UDP 端口 51820 开放（WireGuard 默认端口）。

    • 群晖 NAS：检查本地防火墙是否允许 NetBird 容器的出站流量。

  6. 验证连接 在客户端执行 ping 10.0.0.1（服务端隧道 IP）。

    • 在服务端执行 ping 10.0.0.2（客户端隧道 IP）。

关键注意事项

  • *自托管密：NetBird 依赖 WireGuard，需严格保密私钥，避免泄露。
  • 隧道 IP 规划：确保双方 AllowedIPs 配置正确，避免冲突。
  • 日志排查：通过 Docker 容器日志（dockers netbird-server/client）检查连接状态。

通过以上配置，群晖 NAS 即可通过 NetBird 容器穿透内网，直接与公网服务器建立隧道通信，全程无需依赖 NetBird 官方账号。

site logo

Hi,Friend

© 2025 繁华尽处