VPNSmith
self-host-vpnCOMP

Nebula vs WireGuard (2026): Sie vergleichen ein Netz mit einem Protokoll

WireGuard ist ein Tunnel, den Sie konfigurieren; Nebula ist ein Netz, das sich um eine von Ihnen ausgestellte Identität herum selbst konfiguriert. Die eigentliche Frage ist nicht, was schneller ist, sondern ob Sie die Peer-Konfiguration von Hand pflegen wollen, während die Flotte wächst.

Von Eric Gerard · Gründer · VPNSmith - Spezialist für selbstgehostete VPNs & DSGVO-VPS4 Min. LesezeitFoto: Pexels

Die Frage wird ständig gestellt und ist subtil falsch gestellt - deshalb sind die Antworten, die man findet, unbefriedigend. WireGuard ist ein Protokoll: eine Art, verschlüsselte Pakete zwischen zwei Maschinen zu bewegen, die bereits voneinander wissen. Nebula ist ein Netz: Identität, Discovery, Policy und Transport in einem Paket. Zu fragen, was besser sei, kommt der Frage nahe, ob eine Schiene besser ist als eine Eisenbahn.

Die nützliche Frage liegt darunter: Wollen Sie die Peer-Konfiguration von Hand pflegen, während die Flotte wächst, oder das an ein System abgeben?

Was Ihnen jedes von beiden tatsächlich gibt

WireGuard gibt Ihnen einen Tunnel und hört dann auf. Sie erzeugen pro Maschine ein Schlüsselpaar, tragen den öffentlichen Schlüssel jedes Peers und dessen AllowedIPs ein - das ist das ganze Modell. Es gibt keine Discovery, keinen Gruppenbegriff, keine Policy-Sprache. Dieser Minimalismus ist Absicht und macht WireGuard prüfbar: rund 4.000 Zeilen Kernel-Code und eine feste moderne Krypto-Suite, ohne Aushandlung, die man falsch machen könnte.

Nebula gibt Ihnen eine Zertifizierungsstelle, die Sie selbst betreiben. Jeder Host hält ein Zertifikat mit seiner Identität und seinen Gruppen — laptop, db, ci —, signiert von Ihrer CA. Lighthouse-Knoten verfolgen, wer wo ist, damit Peers einander finden. Und jeder Host trägt eine Firewall in seiner eigenen Konfiguration, formuliert in diesen Gruppen statt in IP-Adressen.

Eine 3D-Darstellung einer Gruppe durchscheinender, schillernder Kugeln in Rosa, Blau und Grün, verbunden durch glatte röhrenförmige Stege, vor dunkelblaugrauem Hintergrund
Eine gerenderte Gruppe durchscheinender Kugeln, verbunden durch glatte Röhren, auf dunklem Hintergrund. Jeder Knoten mit jedem verbunden - genau diese Form müssen Sie bei WireGuard von Hand ausschreiben.

Die Kurve, die entscheidet

Dies ist der Teil, den man verinnerlichen sollte, denn er ist der eigentliche Grund für Migrationen - und er hat nichts mit Geschwindigkeit zu tun.

Ein volles WireGuard-Mesh verlangt auf jeder Maschine einen Peer-Eintrag für jede andere. Die Konfiguration wächst also quadratisch mit der Flotte:

Maschinenzu pflegende Peer-Paare
33
510
1045
20190

Eine Maschine zu einem 20-Knoten-Mesh hinzuzufügen bedeutet, zwanzig bestehende Konfigurationen zu bearbeiten. Daran ist technisch nichts schwierig; es ist schlicht die Art Arbeit, die Menschen nach einer Weile nicht mehr korrekt erledigen. Nebula, Tailscale und Headscale existieren alle, um diese Matrix zu beseitigen — sie unterscheiden sich im Wie, nicht im Warum.

Wenn Sie stattdessen eine Hub-Topologie betreiben - alles wählt sich bei einem Server ein -, bleibt reines WireGuard unbegrenzt handhabbar. Das Quadrat beißt nur beim vollen Mesh.

Wo reines WireGuard die richtige Antwort ist

  • Wenige Maschinen, stabile Mitgliedschaft. Drei Laptops und ein VPS sind ein Fall für WireGuard; ein Overlay wäre Aufwand ohne Gegenwert.
  • Sie wollen die kleinstmögliche Angriffsfläche. Nichts sonst in diesem Feld hat 4.000 Zeilen.
  • Kernel-Geschwindigkeit zählt und Ihre Hosts sind Linux. Userspace-Transporte zahlen einen Kontextwechsel pro Paket; auf einer ausgelasteten 10-Gb-Leitung zeigt sich das.
  • Standortkopplungen, die sich nie ändern. Zwei Router, ein Tunnel, kein Discovery-Problem.

Wo Nebula seine zusätzlichen Teile verdient

  • Die Mitgliedschaft ändert sich häufig. Maschinen kommen und gehen, ohne dass jemand Peers bearbeitet.
  • Sie brauchen Policy, nicht nur Konnektivität. „Nur Hosts in ci dürfen Port 5432 auf Hosts in db erreichen" ist bei Nebula eine Konfigurationszeile - und mit WireGuard allein ein eigenes Stück Infrastruktur.
  • Die Durchsetzung soll eine kompromittierte Control Plane überleben. Nebulas Firewall lebt auf jedem Host, also kann nichts Zentrales stillschweigend einen Port öffnen.
  • Gemischte und sperrige Netze. Lighthouses erledigen NAT-Traversal, das Sie sonst pro Verbindung lösen müssten.

Das ehrliche Fazit

Reines WireGuard ist kein kleineres Nebula; es ist etwas Kleineres, das absichtlich weniger tut - und das sehr gut. Nehmen Sie es, solange Ihre Flotte klein oder Ihre Topologie ein Hub ist. Nehmen Sie Nebula, wenn die Peer-Matrix zur Last wird oder wenn Sie Identität und Policy brauchen statt nur Tunnel — und akzeptieren Sie im Gegenzug, dass Sie nun eine Zertifizierungsstelle betreiben.

Wenn Sie das Mesh wollen, aber lieber keine CA betreiben, gibt es einen dritten Weg: ein WireGuard-basiertes Mesh mit einem Koordinationsserver. Das löst Nebulas Problem mit WireGuards Datenebene - und ist genau das, was Headscale tut, hier im Vergleich mit Nebula.

★ Nürnberger DSGVO-Rechenzentrum · ✓ Dedizierte IPv4 inklusive · 200+ Mbps garantiert

Hoste dein VPN auf deinem eigenen VPS → ContaboVoller Root-Zugriff · öffentliche IPv4 · wähle deine Region→

Häufig gestellte Fragen

Baut Nebula auf WireGuard auf?
Nein, und das ist das häufigste Missverständnis. Tailscale und Headscale bauen auf WireGuard auf - dieselbe Datenebene, eine andere Control Plane. Nebula nicht: Es implementiert einen eigenen verschlüsselten Transport auf Basis des Noise-Protokoll-Frameworks, mit eigener Client-Binärdatei und eigenem Zertifikatsformat. Nebula mit WireGuard zu vergleichen heißt also, ein vollständiges Netz mit einem Tunnelprotokoll zu vergleichen - deshalb führen Feature-Tabellen zwischen beiden meist in die Irre.
Was ist schneller, Nebula oder WireGuard?
Reines WireGuard gewinnt auf einem Linux-Host meist, weil es im Kernel läuft, während Nebula im Userspace läuft und pro Paket einen Kontextwechsel bezahlt. Dieser Vorsprung schrumpft oder verschwindet, sobald das Netz und nicht die CPU der Engpass ist, und auf Plattformen, wo auch WireGuard im Userspace läuft. Wer Ihnen ein festes Verhältnis nennt, hat es auf seiner eigenen Hardware gemessen; messen Sie Ihren eigenen Pfad, wenn Durchsatz wirklich den Ausschlag gibt.
Wann reicht reines WireGuard?
Wenn die Zahl der Maschinen klein und stabil ist und Sie mit dem Bearbeiten von Konfigurationsdateien zurechtkommen. Drei Laptops und ein VPS sind ein Fall für WireGuard: eine Handvoll öffentlicher Schlüssel, ein paar AllowedIPs-Zeilen, fertig. Der Minimalismus von WireGuard ist hier ein Vorteil - rund 4.000 Zeilen Kernel-Code, eine feste moderne Krypto-Suite, nichts, was man über die Peers hinaus falsch konfigurieren könnte.
Ab wann skaliert handgepflegtes WireGuard nicht mehr?
Sobald Sie ein vollständiges Mesh statt eines Hubs wollen. Ein volles WireGuard-Mesh braucht auf jeder Maschine einen Peer-Eintrag für jede andere, die Konfiguration wächst also quadratisch mit der Flotte: 5 Knoten sind 10 Paare, 20 Knoten sind 190. Eine Maschine hinzuzufügen bedeutet, jede bestehende anzufassen. Diese Kurve, nicht der Durchsatz, treibt Leute zu Nebula, Tailscale oder Headscale - alle drei existieren, damit Menschen diese Matrix nicht pflegen müssen.
Was gibt Nebula Ihnen, das WireGuard nicht gibt?
Drei Dinge, die WireGuard bewusst außen vor lässt. Identität: Jeder Host hält ein von Ihrer CA signiertes Zertifikat, das Gruppen wie 'db' oder 'laptop' trägt. Discovery: Lighthouse-Knoten verfolgen, wer wo ist, sodass Peers einander finden, ohne dass Sie Adressen auflisten. Policy: eine Host-Firewall in der Konfiguration des Knotens selbst, formuliert in diesen Gruppen statt in IP-Adressen und lokal auf jeder Maschine durchgesetzt.
Kann ich beides einsetzen?
Sie bedienen verschiedene Schichten, also ja - wenn auch selten auf denselben Maschinen. Eine übliche Form ist reines WireGuard für ein paar feste Standortkopplungen, bei denen sich die Peers nie ändern, und Nebula für die Flotte aus Arbeitsplätzen und Servern, deren Mitgliedschaft sich ändert. Der Preis sind zwei Systeme, die man verstehen muss - und der lohnt sich nur, wenn sich die beiden Populationen wirklich unterschiedlich verhalten.
Verwandte Artikel

Als nächstes lesen