Beide Projekte beantworten dieselbe Frage — wie betreibe ich ein privates Mesh-Netz, ohne einem Unternehmen dafür zu zahlen, dass es die Karte hält — und sie beantworten sie auf fast entgegengesetzte Weise. Die Wahl ist keine Performance-Entscheidung. Sie ist eine Entscheidung darüber, von welcher Client-Software Sie abhängen wollen und welchen Ausfall Sie Ihren Kollegen lieber erklären.
Die Ein-Satz-Fassung
Headscale ersetzt den Tailscale-Koordinationsserver durch einen, den Sie betreiben, und behält die offiziellen Clients und die WireGuard-Datenebene. Nebula ersetzt alles: eigenes Protokoll, eigene Binärdatei und eine Zertifizierungsstelle, die Sie selbst führen — weshalb ein Vergleich von Nebula mit WireGuard selbst ein ganzes Netz mit einem Tunnelprotokoll vergleicht.
Beide sind, wohlgemerkt, Meshes. Wenn die Frage darunter lautet, ob überhaupt ein Mesh statt eines einzelnen Servers, in den sich alles einwählt, dann ist das ein anderer Vergleich — Headscale vs OpenVPN stellt ihn als Frage der Topologie und nicht der Funktionen.
Wo das Vertrauen tatsächlich liegt
Das ist der Unterschied, der jeden Feature-Vergleich überdauert.
In einem Headscale-Netz tritt eine Maschine bei, indem sie sich bei Ihrem Control-Server authentifiziert. Der Server gehört Ihnen, also gehört Ihnen die Entscheidung — aber der Client ist Software, die von Tailscale Inc. gepflegt und per überschriebener Login-URL auf Ihren Server gerichtet wird. Diese Konstruktion hält seit Jahren, und sie ist nicht vertraglich abgesichert.
In einem Nebula-Netz tritt eine Maschine bei, weil sie ein Zertifikat hält, das Ihre Zertifizierungsstelle signiert hat. Sie erzeugen diese CA, und sie muss die Maschine, auf der sie entstanden ist, nie verlassen. Nichts wird aufgenommen ohne Ihre Signatur. Der Preis: Der Zertifikatslebenszyklus — ausstellen, verteilen, ablaufen lassen, widerrufen — ist ab Tag eins Ihre Aufgabe und nicht etwas, in das Sie hineinwachsen.
Keines der beiden Modelle ist abstrakt sicherer. Das eine verlangt Vertrauen in die fortdauernde Duldung durch einen Client-Anbieter; das andere verlangt Kompetenz im Umgang mit einer CA.
Wie jedes seine Peers findet
Nebula nutzt Lighthouses: Knoten mit stabiler, erreichbarer Adresse, deren Aufgabe es ist zu wissen, wo alle sind, und Peers einander vorzustellen. Es sind gewöhnliche Nebula-Knoten mit einem gesetzten Flag, sie tragen sehr wenig Verkehr, und man betreibt typischerweise zwei auf günstigen VPS-Instanzen.
Headscale übernimmt die Koordinationsrolle selbst, verteilt Schlüssel und die Netzkarte und nutzt DERP-Relays für Verkehr, der keinen direkten Weg findet. Ein eigenes DERP lässt sich betreiben, statt öffentliche zu nutzen.
Die Architekturen reimen sich. Was sich unterscheidet, ist die betriebliche Form: Nebulas Lighthouse ist ein Knoten im Mesh, Headscales Control Plane ein Dienst mit einer Datenbank dahinter.
Firewall-Regeln, und wo sie durchgesetzt werden
Nebula legt eine Host-Firewall in die Konfiguration des Knotens selbst. Jeder Host erklärt, welche eingehenden Verbindungen er annimmt, formuliert in Zertifikatsgruppen statt in IP-Adressen. Die Durchsetzung ist lokal — eine kompromittierte Control Plane kann also nicht stillschweigend einen Host öffnen.
Headscale formuliert Zugriffskontrolle als Tailscale-kompatible ACLs, zentral definiert und ausgerollt. Eine Datei beschreibt das ganze Netz, was weit leichter zu prüfen und zu durchdenken ist — und was umso mehr Gewicht darauf legt, dass diese Datei stimmt.
Zentrale Policy ist lesbarer; verteilte Policy ist schwerer von einer Stelle aus auszuhebeln.
Ein praktischer Weg zur Entscheidung
| Wenn das auf Ihre Flotte zutrifft | Tendieren Sie zu |
|---|---|
| Laptops und Telefone von Menschen, die keine Zertifikate verwalten sollen | Headscale |
| Server, Container und Appliances, die Sie ohnehin deklarativ konfigurieren | Nebula |
| Sie wollen MagicDNS, Exit Nodes und einen vertrauten Login-Ablauf | Headscale |
| Sie wollen keinerlei Abhängigkeit von der Client-Roadmap eines Anbieters | Nebula |
| Ihr Instinkt sagt: Eine kompromittierte Control Plane darf keine Hosts öffnen | Nebula |
| Ihr Instinkt sagt: Eine prüfbare Policy-Datei schlägt viele | Headscale |
Was wir nicht behaupten würden
Durchsatzvergleiche zwischen beiden kursieren breit und messen meist die Maschine, auf der sie liefen. WireGuard läuft unter Linux üblicherweise im Kernel, Nebulas Transport im Userspace, was auf einem Linux-Server tendenziell für WireGuard spricht — aber auf ausgelasteten Strecken, auf anderen Betriebssystemen oder auf bescheidenen CPUs verschwindet dieser Vorsprung oft im Rauschen. Wenn Durchsatz wirklich Ihr entscheidender Faktor ist, ist die einzige brauchbare Zahl die, die Sie auf Ihrem eigenen Pfad messen, mit Ihrer Hardware, auf der Route, die Ihr Verkehr tatsächlich nimmt.
★ Nürnberger DSGVO-Rechenzentrum · ✓ Dedizierte IPv4 inklusive · 200+ Mbps garantiert
Hoste dein VPN auf deinem eigenen VPS → ContaboVoller Root-Zugriff · öffentliche IPv4 · wähle deine Region→
