NetBirdで会社のLinuxサーバーを遠隔操作——Tailscaleとの違いと小さな会社の始め方

以前、このサイトでは「Tailscaleで会社のMac miniを遠隔操作——自宅から安全に画面共有する方法」を紹介しました。今回はその続編のような位置づけです。京都で小さな会社を営む筆者の手元には、社内に置いたLinuxマシンが2台あり、これを自宅や出張先から安全に操作したいと考えています。

候補として新しく検討しているのが、オープンソースのメッシュVPN「NetBird」です。Tailscaleと同じくWireGuardという暗号化技術を土台にしながら、管理サーバー側まで公開されていて、自社で運用（セルフホスト）する道も用意されています。この記事では、NetBirdの特徴、Tailscaleとの違い、料金の比較、そしてLinux 2台をつなぐ具体的な手順と注意点を、2026年10月22日時点の公式情報をもとに整理します。

NetBirdとは何か
公式の紹介動画
Tailscaleとの違い
料金をTailscale・ZeroTierと比較する
会社のLinux 2台をNetBirdでつなぐ手順
SSHは2つの方法から選ぶ
自分のPCだけがサーバーに届くようにする
クラウド版とセルフホスト版、どちらを選ぶか
公式Xで公開された紹介動画
導入前に押さえておきたい注意点
NetBirdとTailscale、どちらを選ぶか
同じMacでTailscaleとNetBirdを両方使えるのか？
NetBirdに切り替えるべきか？
まとめ
参考リンク

NetBirdとは何か

NetBirdは、NetBird GmbHが開発する「ゼロトラスト型」のネットワークサービスです。会社のサーバー、自宅のPC、スマホなど離れた場所にある端末を、まるで同じ社内LANにいるかのように暗号化された専用の通り道でつなぎます。ルーターのポートを開けたり、従来型のVPN装置を置いたりする必要はありません。

仕組みは、各端末に入れる「クライアント」と、誰がどこへつながってよいかを管理する「管理サービス」などで構成されます。端末同士は可能な限り直接つながり、難しい環境ではリレー経由で暗号化通信を続けます。管理サービスは「名簿と通行許可証の発行係」と考えると分かりやすいでしょう。

GitHubの公式リポジトリによると、クライアント部分はBSD-3-Clause、管理（management）・シグナル・リレーなどのサーバー部分はAGPLv3で公開されています。2026年10月22日時点の最新リリースはv0.81.3（GitHub上の公開日時は2026年10月19日 22:50、日本時間）です。

公式の紹介動画

NetBird公式YouTubeチャンネルでは「NetBird Explained: Architecture for Simple and Secure Remote Access」という解説動画が公開されています。動画の説明文によると、NetBirdの概要、P2P接続、ルーティング、管理パネル、シグナルサービス、リレーサービスといった構成要素を順に解説する内容です（英語）。

Tailscaleとの違い

使い勝手の面では、NetBirdとTailscaleはよく似ています。どちらもWireGuardを使い、端末にアプリを入れてログインすれば専用ネットワークに参加でき、アクセス制御で「誰がどこへ行けるか」を決められます。大きな違いは、ネットワーク全体を取り仕切る管理サーバーの扱いです。

比べるポイント	NetBird	Tailscale
通信の土台	WireGuard	WireGuard
ソースコードの公開範囲	クライアントも管理サーバーもオープンソース（BSD-3／AGPLv3）	クライアントの中核やリレー（DERP）は公開。公式の調整サーバーは非公開
自社運用（セルフホスト）	公式のセルフホスト手順とインストールスクリプトあり	公式サービスはクラウドのみ。独立したオープンソース実装Headscaleがある
ログインとMFA	Freeプランからソーシャルログイン（SSO）とMFAに対応	OktaやGitHubなど外部のID（IdP）で認証
SSH機能	NetBird SSH（Freeプランから利用可）	Tailscale SSH（全プランで利用可）
端末の承認・状態チェック	端末承認・ポスチャーチェックはクラウドのBusinessプラン	デバイス承認や端末状態の確認機能あり（連携機能は有料プラン）

「管理の仕組みまで中身を確認でき、いざとなれば自社で動かせる」のがNetBirdの個性で、Tailscaleは管理を公式に任せて運用の手間を減らす方向です。

料金をTailscale・ZeroTierと比較する

2026年10月22日に各社の公式料金ページを確認した内容をまとめます。NetBirdはユーロ、TailscaleとZeroTierは米ドル表記で、いずれも月額です。

サービス・プラン	月額料金	主な上限・特徴
NetBird Free	€0	最大5ユーザー、100台。P2P暗号化、ソーシャルSSOとMFA、アクセス制御、NetBird SSH
NetBird Team	1ユーザー€6	ユーザー無制限、100台＋1ユーザーごとに10台。企業向けIdP連携、SCIM、監査ログ。追加1台€0.50
NetBird Business	1ユーザー€12	Teamの内容に加え、端末承認、ポスチャーチェック、通信イベントのログ。追加1台€0.50
NetBird Enterprise	個別見積もり	ユーザー・台数無制限、請求書払い、優先サポートなど
Tailscale Personal	$0	最大6ユーザー、ユーザー端末無制限。公式FAQで「非商用利用向け」と明記
Tailscale Standard	1ユーザー$8	ユーザー無制限、SCIM、MDM連携、端末状態の外部連携など
Tailscale Premium	1ユーザー$18	ネットワークフローログ、ログ転送、Advanced Tailscale SSHなど
Tailscale Enterprise	個別見積もり	台数のカスタム、請求書払いなど
ZeroTier Personal	無料	非商用利用、10台・1ネットワーク
ZeroTier Essential	$18	商用ライセンス、10台込み（以降1台$2）、OIDCによるSSO
ZeroTier Scale	$179	100台込み（以降1台$1.80）、ネットワーク数無制限

筆者のケース（使うのは自分1人、つなぐのはLinux 2台と自分のPC）に当てはめると、NetBirdはFreeプランの範囲に収まります。NetBirdの料金ページには、期間中に実際に接続・ログインしたユーザーと端末だけが課金対象になるとも書かれています。料金ページ上ではFreeプランに商用利用の制限は見当たりませんでしたが、正式導入前には利用規約も確認しておくと安心です。

Tailscaleは、無料のPersonalプランが非商用向けと明記されているため、会社の業務で使うならStandard以上が前提になり、1人なら単純計算で月$8からです。ZeroTierも商用ならEssentialの月$18からとなります。いずれも為替や税は別で、料金は変わることがあるため、契約前に公式ページで最新の金額を確認してください。

会社のLinux 2台をNetBirdでつなぐ手順

ここからはクラウド版（NetBird Cloud）を前提に、公式ドキュメントに沿った流れを紹介します。画面のないサーバーは、ブラウザでのログインの代わりに「セットアップキー」で登録します。サーバーをネットワークへ迎え入れる「合鍵入りの招待状」のようなものです。

NetBird Cloudにアカウントを作り、管理画面（ダッシュボード）に入る。ログインに使うGoogleやMicrosoftのアカウントには、多要素認証（MFA）を設定しておく
自分のPCにNetBirdアプリを入れ、同じアカウントでログインする
管理画面でグループを用意する。たとえばサーバー用に「office-servers」、自分のPC用に「admin-pc」
「Settings」→「Setup Keys」でセットアップキーを作り、自動割り当てグループに「office-servers」を指定する
各Linuxサーバーで、NetBirdをインストールしてセットアップキーで接続する

セットアップキーには1回限りの「One-off」と複数台用の「Reusable」があり、公式はOne-offを推奨しています（有効期限も設定可能）。2台なら1台に1つずつ作るのが丁寧です。キーはパスワードと同じように扱いましょう。

Linuxへのインストールは、公式のインストールスクリプトを使うのが簡単です。UbuntuやDebianならAPTリポジトリを登録する方法も公式に案内されています。

curl -fsSL https://pkgs.netbird.io/install.sh | sh

インストールできたら、管理画面で作ったセットアップキーを使ってネットワークに参加させ、状態を確認します。

netbird up --setup-key <SETUP KEY>
netbird status
ip addr show wt0

「wt0」に割り当てられたIPアドレス（NetBird IP）が、あとでSSH接続に使う宛先です。管理画面のPeers一覧で2台がオンラインかも確認します。

再起動後も自動でつながるかは大切です。公式インストールスクリプトは内部で「netbird service install」「netbird service start」を実行し、NetBirdをシステムのサービスとして登録します（バイナリを手動で入れた場合はこの2つを自分で実行）。一度再起動して「sudo systemctl status netbird」で動作を確かめておくと安心です。

なお、ブラウザでログインした自分のPCには「Peer Session Expiration」という定期的な再ログインの仕組みがあり、新規アカウントでは初期値24時間で有効です。一方、セットアップキーで登録したサーバーはこの再ログインの対象外です。

SSHは2つの方法から選ぶ

つながったら、いよいよSSHでサーバーを操作します。方法は大きく2つあります。

1つ目は、普段どおりのOpenSSHを使う方法です。サーバー側のSSHは鍵認証にしておき、自分のPCから「ssh ユーザー名@NetBird IP」で接続します。ルーターの22番ポートをインターネットに公開しなくても、NetBirdの専用経路の中だけで届くようになります。使い慣れた方法なので、まずはここから始めるのが分かりやすいでしょう。

2つ目は、NetBirdに組み込まれた「NetBird SSH」です。サーバー側で次のように有効化し、管理画面でもそのサーバーのSSHを有効にしたうえで、プロトコルに「NetBird SSH」を選んだアクセスポリシーを作ります。

sudo netbird down
sudo netbird up --allow-server-ssh

NetBird SSHは初期設定で接続ごとにNetBirdのログインで本人確認を行い、「誰が、サーバー上のどのアカウントで入れるか」まで決められます。接続は「netbird ssh ユーザー名@NetBird IP」か通常のsshコマンドです。SSHを使う端末すべてでv0.61.0以降が必要で、サーバーの時計が合っていることも条件です。有効にするとNetBird経由の22番への接続はNetBird側のSSHに振り向けられるため、どちらの方法で運用するか先に決めておきましょう。

自分のPCだけがサーバーに届くようにする

ここが一番大切な設定です。NetBirdのアカウントを作ると、すべての端末同士が自由に通信できる「Default」ポリシーが自動で作られます。公式ドキュメントは、これを「補助輪」のようなもので、本番運用では削除すべきだと説明しています。

筆者のケースなら、次のようなポリシーを1つ作れば十分です。

項目	設定例
送信元（Source）	admin-pc（自分のPC）
宛先（Destination）	office-servers（Linux 2台）
プロトコルとポート	TCP 22（NetBird SSHを使う場合はプロトコル「NetBird SSH」）
方向	一方向（PC → サーバー）

新しいポリシーで接続できることを確かめてから、Defaultポリシーを削除します。順番を逆にすると、全端末の通信が止まってしまうので注意してください。こうしておけば、万一サーバーの1台が乗っ取られても、そこから自分のPCへ逆に入り込まれる経路を作らずに済みます。

クラウド版とセルフホスト版、どちらを選ぶか

公式のセルフホスト手順では、1CPU・2GBメモリ以上のLinux VM、インターネットから受け付けるTCP 80・443番とUDP 3478番、独自ドメイン、Dockerが必要です。スクリプトで手早く立ち上げられても、管理サーバーの更新、バックアップ、障害対応はすべて自社の仕事になります。

管理サーバー自体がインターネットに公開されるので、守る対象もひとつ増えます。また端末承認（Peer approval）は、クラウド版ではBusinessプラン、セルフホストでは「Enterprise Commercial License」での提供で、オープンソースのCommunity Editionには含まれません。

Linux 2台を自分ひとりで操作する規模なら、まずはクラウド版のFreeプランで始め、「顧客データの扱い上、管理サーバーも社内に置きたい」「台数や拠点が増えてきた」といった理由がはっきりしたときにセルフホストを検討する、という順番が現実的です。

公式Xで公開された紹介動画

セルフホスト版の安全性に関連して、NetBird公式Xは2026年5月、セルフホスト版のローカルユーザーでMFAを有効にできるようになったことを動画付きで告知しています。投稿によると、外部のIDサービスを使わない利用者向けに、ログイン時の確認を一段増やせる機能です。公式ドキュメントでは、ログイン時にTOTP（認証アプリのワンタイムコード）の入力を求める仕組みと説明されています。

導入前に押さえておきたい注意点

会社のルールを確認する：社内端末にVPNソフトを入れることが、情報セキュリティ規程や取引先との約束に反しないかを先に確認します
SSHは鍵認証にし、パスワードログインは無効にする：NetBirdの内側に限定しても、サーバーの入り口は固くしておきます。ルーターで22番ポートを外部へ転送する設定も入れません
アクセス制御を最小限にする：Defaultポリシーを残さず、「誰から・どこへ・どのポート」を絞ります
セットアップキーを管理する：期限切れや取り消しをしても、すでに登録済みの端末はつながったままです。不要になった端末は管理画面から削除します
更新を続ける：パッケージで入れた場合はOSの更新と一緒にNetBirdも更新します。NetBird SSHでは過去にバージョン間の互換性が変わったこともあり、更新前にリリースノートを確認する習慣をつけましょう
記録を残す：クラウド版ではTeamプランで監査ログ、Businessプランで通信イベントのログが使えます。Free運用なら、サーバー側のログイン記録を定期的に確認します

NetBirdとTailscale、どちらを選ぶか

どちらが優れているというより、何を重視するかで選び方が変わります。

NetBirdが向いているのは、管理サーバーまで含めてオープンソースであることに安心感を覚える会社、将来的に自社運用へ移る選択肢を残したい会社、そして少人数で業務利用を無料枠から始めたい会社です。Freeプランでも最大5ユーザー・100台まで使え、NetBird SSHやアクセス制御も含まれています。

Tailscaleが向いているのは、管理サーバーの運用を完全に任せたい会社や、すでにTailscaleで仕組みが回っている会社です。前回の記事のようにMac miniの画面共有で使っていて困っていないなら、急いで乗り換える理由はありません。ただし、業務で使うなら無料のPersonalプランではなく有料プランが前提になる点は押さえておきましょう。

では、すでにTailscaleを使っている筆者のような場合、同じMacで両方を動かせるのでしょうか。また、NetBirdへ切り替えるべきなのでしょうか。続く2つの章で整理します。

同じMacでTailscaleとNetBirdを両方使えるのか？

筆者の構成では、会社のMac miniと自宅のMacがすでにTailscaleでつながっています（前回の記事の構成です）。NetBirdを入れるのは、操作する側の自宅のMacと会社のLinux 2台なので、2つが同居するのは自宅のMac 1台です。

結論から言うと、「同じMacで両方を同時に使える」と保証する公式の説明は、Tailscale・NetBirdのどちらにも見当たりませんでした。2026年10月22日時点の公式ドキュメントとGitHubで分かったことを、出典つきで整理します。

確認したこと	公式資料に書かれている内容	出典
他のVPNとの併用	「理論上は可能」だが、多くの場合は回避策なしでは併用できないと説明。原因として、強いファイアウォール設定、端末の制約、IPアドレスの衝突を挙げている	Tailscale公式KB
IPアドレスの範囲	Tailscaleは100.64.0.0/10（CGNATと呼ばれる範囲）から割り当てる。NetBirdも同じ100.64.0.0/10の中から、アカウントごとにランダムに選んだ/16のブロックを割り当てる	Tailscale公式ドキュメント／NetBird公式ドキュメント
範囲の変更	NetBirdはアカウントのネットワーク範囲を変更でき、管理画面の「Settings」→「Networks」やAPIで設定する。Tailscaleはベータ機能「IP pool」で、割り当てる範囲を一部に絞れる	NetBird公式ドキュメント／Tailscale公式ドキュメント
DNS	macOSのNetBirdは、ネームサーバーを設定しない限りDNS設定を変更しない（その場合、端末名は引けないがNetBird IPで接続できる）。グループ単位でDNS管理を無効にする「Unmanaged」モードもある	NetBird公式ドキュメント
出口ノード	Tailscaleの出口ノード（Exit Node）は、使うと従来型VPNのように全通信を引き受け、同時に1つのVPNにしか対応しない	Tailscale公式KB
macOSでの動き方	Tailscaleのスタンドアロン版はSystem Extension、App Store版はNetwork Extensionを使う（スタンドアロン版は、VPNトンネルに干渉する他社ツールを検知すると通知できる）。NetBirdのmacOS版は、rootで動くlaunchdのデーモンがWireGuardのネットワークインターフェースを管理する	Tailscale公式ドキュメント／NetBird公式ドキュメント

IPアドレスの範囲は、特に気をつけたい点です。2つのサービスが同じ100.64.0.0/10の中から番号を配るため、NetBirdの/16ブロックとTailscale側の端末のアドレスが重なると、通信の行き先が混乱するおそれがあります。Tailscale公式KBも、同じアドレス範囲を使う他のVPNとは衝突しうると明記しています。

NetBirdのGitHubには、Linuxマシンで両方を動かしたところNetBirdの通信が届かなかったという報告があります。原因は、TailscaleがLinuxで設定するファイアウォールのルールが、自分のインターフェース以外から来る100.64.0.0/10の通信を遮断することだと説明され、この件は閉じられています。また、NetBirdのコントリビューターは別のissueで、複数のVPNを同時に動かす使い方は個々の製品の実装に左右されるため、サポートを期待すべきではないとの見方を示しています。

一方、まだ確認できていないこともあります。上のファイアウォールの問題はLinuxでの報告で、macOSで同じことが起きるかは公式資料では確認できませんでした。macOSで同時に有効にできるVPNの数についても、Tailscaleの資料はiOSとAndroidは同時に1つだけと明記していますが、macOSについての明確な記載は見つかりませんでした。筆者自身も、まだ自宅のMacで両方を同時に動かす検証はしていません。

それでも試してみるなら、次の順番で進めると安全です。

Linuxサーバー2台にはNetBirdだけを入れ、Tailscaleは入れない（Linuxで報告されているファイアウォールの衝突を避けるため）
自宅のMacで「netbird status」を実行してNetBird IPを確認し、Tailscaleの管理画面に並ぶ端末のアドレスと同じ/16に入っていないかを見る
重なっていたら、NetBird側のネットワーク範囲を変えるか、TailscaleのIP poolで範囲を分ける。範囲を変えると端末のIPアドレスが変わることがあるので、本格的に使い始める前に済ませておく
出口ノードはどちらのサービスでも使わない
NetBird側ではMacにプライマリネームサーバーを配らない（またはMacのグループをUnmanagedにする）。Linuxへの接続はNetBird IPで行い、Mac miniへの接続はこれまでどおりTailscaleの端末名を使う
まず片方ずつ接続を確かめ、次に両方を同時にオンにして、Mac miniの画面共有とLinuxへのSSHが両方できるかを確認する

もし不安定になる場合は、無理に同時接続を続ける必要はありません。「Mac miniを触るときはTailscale、Linuxを触るときはNetBird」と、その都度どちらかをオフにして使い分けるだけでも、実用上は十分に回ります。

NetBirdに切り替えるべきか？

結論として、筆者の会社では「いきなり全面的に切り替えない」ことにしました。いま問題なく動いている仕組みを止める理由はなく、新しく必要になったLinuxの遠隔操作から小さく試せば、失敗しても影響は限られるからです。状況別の考え方は次のとおりです。

状況	おすすめ
Mac miniの画面共有がTailscaleで問題なく動いている	当面はTailscaleのまま続ける
会社のLinux 2台を新しく遠隔操作したい	NetBirdのFreeプランで試験導入する
Tailscaleを業務で使っていて、無料のPersonalプランのままになっている	Personalは非商用向けなので、有料プランへの移行かNetBirdへの集約を検討する
管理サーバーまでオープンソースであることや、将来の自社運用を重視する	NetBirdを本命にする
管理画面やアクセス制御を1つにまとめたい	試験期間のあと、どちらか1つに統一する
スマホからも接続したい	iOS・Androidは同時に1つのVPNしか使えないため、使うたびに切り替えるか、1つに統一する

具体的な進め方は、3段階を考えています。まず、Mac miniの画面共有はTailscaleのまま残します。次に、NetBirdのFreeプランでLinux 2台をつなぎ、前章のチェックリストに沿って自宅のMacでの併用を試します。1〜2か月ほど使ってみて、NetBirdの使い勝手やアクセス制御に満足できれば、Mac miniにもNetBirdを入れて画面共有用のポリシー（自分のPCからTCP 5900番だけを許可）を作り、Tailscaleを外して1つにまとめる、という流れです。

最後の統一は必須ではありません。2つのサービスを併用すると、管理画面、アクセス制御、更新作業がそれぞれ2つずつになります。小さな会社ほど「覚えることが少ない構成」の価値は大きいので、試験期間の結果を見て、どちらか一方に寄せるのが長い目で見て楽になるはずです。

まとめ

NetBirdは、WireGuardを土台にしたオープンソースのゼロトラストネットワークで、管理サーバーまで公開されている点がTailscaleとの大きな違いです。会社のLinux 2台を遠隔操作するなら、クラウド版のFreeプランで始め、サーバーはセットアップキーで登録し、アクセス制御で「自分のPCからサーバーの22番だけ」に絞るのが基本形になります。

すでにTailscaleを使っているなら、同じMacでの併用はIPアドレスの範囲やDNS、出口ノードに注意しながら試し、まずはLinuxだけをNetBirdに任せる段階的な導入が無理のない選択です。

便利な道ができるほど、その道を誰が通れるかの管理が重要になります。SSHの鍵認証、Defaultポリシーの削除、定期的な更新とログ確認をセットにして、会社の仕事机を安全に自宅までつなげていきましょう。