Сеть между филиалами без сервера: EasyTier для 1С и камер

Три точки и ни одного белого адреса

Офис, склад, магазин. 1С стоит в офисе, на складе принтер этикеток и камеры, в магазине касса. У каждой точки свой провайдер, белых адресов нет. Камеры склада видит только тот, кто сидит на складе, а до 1С из магазина добираются через удалённый рабочий стол.

Я уже разбирал схемы, где все приходят на один свой сервер: mssh для SSH к кассам, nps с его порталом и рисками, Pangolin для веб-сервисов. EasyTier решает другую задачу: сеть между самими филиалами, где центра нет и все узлы равны.

Что за проект и что я проверил

Проверял 19.10.2026. Репозиторий EasyTier/EasyTier создан 29 сентября 2023 года, около 14,1 тысячи звёзд, не архивирован, последнее обновление 18 октября 2026. Пост в GitHub Radar от 16.09.2026 я считаю вторичным, факты сверены с репозиторием и документацией на easytier.cn.

Лицензия по файлу LICENSE: LGPL-3.0. Но подвал сайта документации гласит «Apache License 2.0», хотя страница лицензии в той же документации называет LGPL 3.0. Перед внедрением сверьте файл нужной версии.

Последний стабильный релиз v2.6.4 вышел 12 мая 2026. Версия 2.7.0 от 6 октября помечена как предрелиз. Основную работу ведёт один человек: у KKRainbow 572 коммита, у второго по списку 122, участников около сотни. Проекту три года, для сетевого ПО это молодо.

Как устроены узлы

По README различия между сервером и клиентом нет. Первый узел запускается командой easytier-core -i 10.144.144.1, остальные подключаются к любому существующему адресом -p. Узел слушает порт 11010 по TCP и UDP.

Без белого адреса документация предлагает бесплатные общие узлы сообщества: они помогают найти друг друга и при неудаче обхода NAT пропускают трафик. В README среди спонсоров публичных серверов китайские облака. Где физически стоят общие узлы и как они доступны из России, не проверял, уточняйте.

Для компании я бы ставил свой узел-маяк на сервер с белым адресом. Запускается он командой easytier-core без параметров. Две настройки из документации: --private-mode true пускает только узлы с вашим именем сети и ключом, а пустой --relay-network-whitelist отключает пересылку чужого трафика. По умолчанию каждый узел пересылает трафик других сетей, даже если сам состоит в вашей.

Что видит чужой общий узел: по политике приватности адрес и порт клиента, параметры сети и виртуальный адрес. Пересылаемый трафик остаётся зашифрованным, узел его не расшифрует. Официальных серверов проект, по той же политике, не держит.

Шифрование и сетевой ключ

Шифрование включено по умолчанию, отключается флагом. В списке алгоритмов есть xor, его я бы не выбирал. На всех узлах задаются одинаковые имя сети и секрет, по ним узел понимает, что он свой.

В обычном режиме все, кто знает секрет, равны, и по документации утечка секрета ставит под угрозу трафик всей сети. Для этого есть Secure Mode (с v2.6.0): рукопожатие по Noise, ключи для каждой пары узлов, закрепление открытого ключа общего узла и временные ключи с TTL, которые админ-узел отзывает командой. Временный узел по умолчанию не может пересылать трафик и открывать подсети. Клиент в этом режиме не подключится к старому серверу, обновлять нужно сначала сервер.

Подсети для 1С, камер и принтеров

Параметр -n 192.168.1.0/24 открывает остальным узлам подсеть, в которой стоит узел. По документации устройства подсети общаются с подсетью другого филиала без установки EasyTier. На Linux-шлюзе нужны пересылка пакетов и правила FORWARD.

Мой вывод, в документации не искал: в каждом филиале должен быть свой диапазон адресов. Если везде 192.168.1.0/24, маршрутизировать нечем. Про 1С ни слова, проверяйте пилотом.

Права доступа задают ACL. С версии 2.4.0 есть правила по адресам, с 2.4.3 группы по идентичности. Правила идут по убыванию приоритета, первое совпавшее решает, по умолчанию можно запрещать всё. Документация советует включать запрет постепенно и предупреждает, что утечка секрета группы даёт доступ в сеть. В 2.7.0 исправлена ошибка, из-за которой встречные пинги обходили правила входящего запрета. Это значит, что ACL нужно проверять самому.

Чем отличается от WireGuard, Tailscale, Headscale, NetBird

В WireGuard по быстрому старту каждый пир прописывается вручную: ключ, адреса, endpoint. Поиска узлов и обхода NAT на этой странице нет. EasyTier умеет принимать клиентов WireGuard, например телефоны.

У Tailscale по описанию сервер координации хранит публичные ключи и политики доступа и почти не пропускает трафик. Headscale (BSD-3) заменяет этот сервер своим. NetBird, по README, даёт SSO, группы и правила, журнал событий и самостоятельную установку, лицензия BSD-3, но каталоги management, signal и relay под AGPLv3. У EasyTier центра нет, а входа через SSO и журнала подключений в прочитанных страницах нет.

Что важно учесть

Сеть без центра сложнее контролировать. Кто в ней состоит, видно только с самих узлов. Убрать человека значит менять секрет на каждом узле. Консоль в 2.7.0 заводит сети и участников, но это предрелиз, а миграция базы требует бэкапа.

Консоль раздаёт настройки узлам, а адрес config-server.easytier.cn в заметках релиза говорит, что общий сервер консоли существует. Для компании её лучше поднять у себя. В самостоятельной по умолчанию две учётные записи, admin и user, их нужно сменить. Ошибка, при которой любой вошедший пользователь видел сессии всех, исправлена в main 20.07.2026, то есть после последнего стабильного релиза.

TUN-интерфейс требует прав администратора. Режим --no-tun работает без них, но узел только принимает подключения, исходящие идут через SOCKS5. Скорость: документация приводит около 1,4 Гбит/с на одной машине в тесте версии 1.2.1 от 2024 года. Для связи между городами цифры нет.

Что можно сделать уже сейчас

Поднимите три узла на тестовых машинах и проверьте обход NAT.

Поставьте свой узел на VPS с private mode.

Включите Secure Mode, закрепите ключ узла, задайте каждой точке свой диапазон адресов и закройте всё ACL, кроме порта 1С и принтеров. Настрою и проверю в рамках защищённого удалённого доступа.

Частые вопросы

Нужен ли белый IP в филиалах?

Нет, но хотя бы один узел или общий сервер должен быть доступен по адресу.

Можно ли заменить VPN-сервер?

Для Pritunl из разбора корпоративного VPN нужен центр. EasyTier обходится без него, а доступа по ролям и журнала подключений в прочитанных страницах нет.

Есть ли русская документация?

Нет, только английская и китайская.

Коротко о главном

EasyTier соединяет филиалы без центрального сервера, но контроль над составом сети остаётся на вас. Прежде чем пускать в неё 1С, нужны свой узел, Secure Mode и проверенные правила.

Если хотите связать офис, склад и магазины закрытой сетью и проверить её на пилоте, напишите мне в Telegram кодовое слово «ФИЛИАЛЫ».