Pokud si chcete vytvořit VPN server, dovolte mi říct, že existuje vynikající možnost, kterou můžete k dosažení svého cíle použít: projekt Firezone vyvíjí VPN server pro organizaci přístupu k hostitelům v interní síti izolované od uživatelských zařízení umístěných v externích sítích.
Cílem projektu je dosáhnout vysoké úrovně zabezpečení a zjednodušit proces implementace VPN.
O Firezone
Projekt vyvíjí bezpečnostní automatizační inženýr společnosti Cisco , jehož cílem bylo vytvořit řešení, které automatizuje práci s konfigurací hostitele a eliminuje problémy, kterým musel čelit při organizaci zabezpečeného přístupu k VPC v cloudu.
Firezone funguje jako rozhraní pro modul jádra WireGuard i subsystém jádra netfilter. Vytváří rozhraní WireGuard (ve výchozím nastavení s názvem wg-firezone) a tabulku netfilter, čímž přidává příslušné trasy do směrovací tabulky. Jiné programy, které upravují směrovací tabulku Linuxu nebo firewall netfilter, mohou narušovat provoz Firezone.
Firezone si můžete představit jako open source protějšek OpenVPN Access Server postaveného na WireGuard místo OpenVPN.
WireGuard se používá k organizaci komunikačních kanálů ve Firezone . Firezone má také vestavěnou funkci firewallu, která využívá nftables.
Ve své současné podobě je firewall omezen blokováním odchozího provozu na konkrétní hostitele nebo podsítě v interních nebo externích sítích. Je to proto, že Firezone je beta verze softwaru, takže prozatím se jeho použití doporučuje pouze omezením síťového přístupu k webovému uživatelskému rozhraní, aby se zabránilo jeho vystavení veřejnému internetu.
Firezone vyžaduje ke spuštění ve výrobě platný certifikát SSL a odpovídající záznam DNS, který lze vygenerovat a spravovat nástrojem Let's Encrypt pro generování certifikátu SSL zdarma.
Na straně administrace je uvedeno, že se to provádí přes webové rozhraní nebo v režimu příkazového řádku pomocí utility firezone-ctl. Webové rozhraní je postaveno na platformě Admin One Bulma.
V současné době všechny komponenty Firezone běží na stejném serveru, ale projekt je zpočátku vyvíjen s ohledem na modularitu a v budoucnu se plánuje možnost distribuce komponent pro webové rozhraní, VPN a firewall mezi různé hostitele.
Plány také zmiňují integraci blokování reklam založených na DNS, podporu seznamů bloků hostitelů a podsítí, možnost autentizace prostřednictvím LDAP / SSO a další možnosti správy uživatelů.
Ze zmíněných funkcí Firezone:
- Rychle: Použijte WireGuard, abyste byli 3-4krát rychlejší než OpenVPN.
- Žádné závislosti: všechny závislosti jsou seskupeny díky Chef Omnibus.
- Jednoduché: Nastavení trvá několik minut. Spravujte pomocí jednoduchého rozhraní CLI API.
- Bezpečné: funguje bez oprávnění. Použito HTTPS.
- Šifrované cookies.
- Včetně brány firewall - používá Linux nftables k blokování nežádoucího odchozího provozu.
Pro instalaci jsou k dispozici balíčky rpm a deb pro různé verze systémů CentOS, Fedora, Ubuntu a Debian, jejichž instalace nevyžaduje externí závislosti, protože všechny potřebné závislosti jsou již zahrnuty pomocí sady nástrojů Chef Omnibus.
K provozu vyžaduje pouze linuxovou distribuci s jádrem Linuxu verze 4.19 nebo starší a modul jádra kompilovaný s WireGuard VPN . Podle autora lze spuštění a konfiguraci VPN serveru provést během několika minut. Komponenty webového rozhraní běží pod neprivilegovaným uživatelským účtem a přístup je možný pouze přes HTTPS.
Firezone se skládá z jednoho distribuovatelného balíčku Linux, který může nainstalovat a spravovat uživatel. Kód projektu je napsán v Elixiru a Ruby a je distribuován pod licencí Apache 2.0.
A konečně, pokud se chcete o tomto tématu dozvědět více nebo se řídit pokyny k instalaci, můžete tak učinit na následujícím odkazu.