Trả lời nhanh: Cả ba đều dựng mạng riêng dạng mesh xuyên NAT. Khác nhau cốt lõi: Tailscale (nền WireGuard, trải nghiệm mượt nhất, hệ sinh thái lớn nhất), ZeroTier (giao thức riêng lâu đời, mạnh về mô phỏng mạng LAN lớp 2), NetBird (WireGuard, mã nguồn mở toàn phần kể cả control plane, đang tăng trưởng nhanh nhất). Cá nhân chọn Tailscale; đội muốn self-host trọn bộ có UI chọn NetBird; cần bridge lớp 2 hay IoT lâu năm chọn ZeroTier.
Ở Việt Nam, zerotier vẫn được tìm 4.400 lượt/tháng, nhiều hơn cả tailscale là gì, trong khi netbird tăng trưởng 65 lần trong 4 năm, nhanh nhất nhóm. Tức là cả ba đều có cộng đồng thật và câu hỏi chọn cái nào là câu hỏi thật. Bài này so sánh bằng tiêu chí thực dụng: giao thức, gói miễn phí, tự host, tốc độ, độ mượt vận hành, và chốt bằng bảng chọn theo cảnh.
- Tailscale: WireGuard + trải nghiệm không cấu hình, tài liệu và cộng đồng lớn nhất
- ZeroTier: giao thức riêng, mô phỏng LAN lớp 2 (broadcast, mDNS), thứ hai cái kia không làm
- NetBird: WireGuard, mã nguồn mở 100% kể cả management + UI, self-host bằng một script Docker
- Gói miễn phí đều đủ cho cá nhân (kiểm tra trang giá vì con số thay đổi theo năm)
- Cả ba đều khỏe hơn khi mạng có một node VPS: IP công cộng, relay tự chủ, luôn trực tuyến
Ba ứng viên, một bài toán
Bài toán chung: các thiết bị của bạn nằm rải rác sau NAT/CGNAT cần thấy nhau an toàn mà không mở port. Cách giải chung: mỗi thiết bị chạy một agent, một control plane điều phối danh tính và khóa, dữ liệu chạy P2P mã hóa, kẹt thì qua relay. Khác biệt nằm ở giao thức nền, mức độ mở của control plane, và trải nghiệm vận hành, đúng ba trục để so.
Giao thức và hiệu năng
Tailscale và NetBird cùng đứng trên WireGuard trong kernel, hiệu năng gần trần phần cứng, mã hóa hiện đại, codebase mỏng. ZeroTier dùng giao thức riêng ở userspace, thiết kế từ trước khi WireGuard phổ biến: vẫn nhanh đủ dùng cho hầu hết cảnh, nhưng benchmark thô thường thua WireGuard, đổi lại nó làm được thứ độc quyền, mô phỏng mạng lớp 2: broadcast, multicast, mDNS chạy như các máy cắm chung một switch. Ứng dụng cần LAN thật (một số game cũ, thiết bị dò nhau qua broadcast, hệ máy công nghiệp) là đất của ZeroTier.
Gói miễn phí và chuyện tự host
Gói miễn phí (tại thời điểm viết, con số này các hãng đổi khá thường xuyên, kiểm tra trang giá trước khi quyết): Tailscale cho 3 user/100 thiết bị; ZeroTier khoảng 10 thiết bị; NetBird rộng rãi theo hướng nhiều thiết bị cho ít user. Cá nhân và gia đình: cả ba đều đủ.
Tự host mới là điểm phân hóa mạnh: Tailscale, client mở, control server đóng, tự host qua dự án cộng đồng Headscale (CLI, UI bên thứ ba). ZeroTier, controller tự host được nhưng tài liệu và UI kém mượt. NetBird, toàn bộ stack mã nguồn mở chính chủ, kèm script cài Docker một lệnh ra đủ management, dashboard web, relay: trải nghiệm self-host trọn gói tốt nhất nhóm, và là lý do chính nó tăng trưởng 65 lần.
Trải nghiệm vận hành hằng ngày
Tailscale mượt nhất: MagicDNS gọi tên máy, Tailscale SSH, Funnel chia sẻ web, ACL ngôn ngữ rõ ràng, app mọi nền tảng đồng nhất, tài liệu xuất sắc. NetBird bắt kịp nhanh: dashboard web sạch, ACL theo nhóm, DNS nội bộ, một số góc còn mới nhưng nhịp phát triển dày. ZeroTier tối giản: tạo network ID, thiết bị join bằng ID, duyệt trong console, dễ hiểu, ít tính năng phụ trợ hơn; bù lại nền tảng nhúng/router hỗ trợ rất rộng nhờ tuổi đời.
Bảng chọn theo cảnh dùng
| Bạn là ai / cần gì | Chọn | Vì sao |
|---|---|---|
| Cá nhân, gia đình, NAS + VPS + điện thoại | Tailscale | Cài nhanh nhất, tài liệu nhiều nhất, hệ bài hướng dẫn sẵn |
| Đội nhóm cần self-host trọn bộ có web UI | NetBird | Control plane mã nguồn mở chính chủ, cài Docker một lệnh |
| Cần broadcast/mDNS như LAN thật, thiết bị nhúng cũ | ZeroTier | Duy nhất mô phỏng lớp 2 tử tế |
| Tự chủ tối đa nhưng thích client Tailscale | Tailscale + Headscale | Trải nghiệm client giữ nguyên, não đặt trên VPS của bạn |
| Chỉ nối 2-3 máy cố định, thích tối giản tuyệt đối | WireGuard thuần | Không phụ thuộc ai, xem bài so sánh WireGuard vs Tailscale |
Điểm chung cuối: node VPS làm mạng nào cũng khỏe hơn
Dù chọn hệ nào, mạng mesh toàn thiết bị sau NAT vẫn thiếu một điểm neo: máy luôn trực tuyến, IP công cộng, băng thông cam kết. Một VPS lấp chỗ đó cho cả ba: exit node (Tailscale/NetBird), moon/relay tự chủ (ZeroTier), nơi đặt control plane khi self-host (Headscale, NetBird management), và điểm nhận backup. Đặt tại Việt Nam thì mọi kết nối relay nội địa chỉ vài ms thay vì vòng qua Singapore.
Câu hỏi thường gặp
Chuyển từ ZeroTier sang Tailscale (hoặc ngược lại) có khó không?
Không khó, cả hai cài song song được nên cách êm nhất là chạy chồng: cài hệ mới lên các thiết bị, kiểm tra đủ đường, rồi gỡ hệ cũ. Thứ cần chuyển tay là các cấu hình trỏ IP nội bộ (100.x của Tailscale khác dải ZeroTier bạn đặt).
Dùng hai hệ cùng lúc trên một máy được không?
Được về kỹ thuật, mỗi hệ một giao diện mạng ảo riêng. Lưu ý tránh trùng dải IP và đừng để hai hệ cùng làm default route (cùng bật exit node) kẻo tranh nhau định tuyến.
Khi nào WireGuard thuần hợp lý hơn cả ba?
Khi topo mạng của bạn nhỏ và tĩnh, vài máy cố định, một VPS trung tâm, và bạn muốn zero phụ thuộc bên ngoài. Trả giá bằng việc tự quản khóa và không có NAT traversal tự động. Blog TND có bài WireGuard vs Tailscale phân tích riêng cho dân dev.
NetBird còn non thì có rủi ro gì?
Rủi ro kiểu dự án trẻ: một số tính năng còn đổi nhanh, tài liệu mỏng hơn Tailscale. Bù lại mã mở toàn phần nghĩa là không bị khóa chân: control plane chạy trên VPS của bạn, dữ liệu và cấu hình trong tay bạn kể cả khi dự án đổi hướng.
