Wenn Sie einen VPN-Server erstellen möchten, möchte ich Ihnen eine hervorragende Option vorstellen, mit der Sie Ihr Ziel erreichen können: Das Firezone-Projekt entwickelt einen VPN-Server, der den Zugriff auf Hosts in einem internen Netzwerk organisiert, das von Benutzergeräten in externen Netzwerken isoliert ist.
Ziel des Projekts ist es, ein hohes Maß an Sicherheit zu erreichen und den VPN-Implementierungsprozess zu vereinfachen.
Ãœber Firezone
Das Projekt wird von einem Cisco-Sicherheitsautomatisierungsingenieur entwickelt , der eine Lösung schaffen wollte, die die Arbeit mit der Hostkonfiguration automatisiert und die Probleme beseitigt, mit denen er bei der Organisation des sicheren Zugriffs auf VPCs in der Cloud konfrontiert war.
Firezone fungiert als Schnittstelle sowohl für das WireGuard-Kernelmodul als auch für das Netfilter-Kernelsubsystem. Es erstellt eine WireGuard-Schnittstelle (standardmäßig wg-firezone genannt) und eine Netfilter-Tabelle und fügt der Routingtabelle die entsprechenden Routen hinzu. Andere Programme, die die Linux-Routingtabelle oder die Netfilter-Firewall verändern, können die Funktion von Firezone beeinträchtigen.
Sie können sich Firezone als Open-Source-Gegenstück zu OpenVPN Access Server vorstellen, das auf WireGuard anstelle von OpenVPN basiert.
WireGuard wird verwendet, um Kommunikationskanäle in Firezone zu organisieren . Firezone verfügt außerdem über eine integrierte Firewall-Funktionalität, die nftables verwendet.
In ihrer aktuellen Form ist die Firewall darauf beschränkt, ausgehenden Datenverkehr zu bestimmten Hosts oder Subnetzen in internen oder externen Netzwerken zu blockieren. Da Firezone sich noch in der Beta-Phase befindet, wird die Nutzung derzeit nur empfohlen, wenn der Netzwerkzugriff auf die Web-Benutzeroberfläche beschränkt wird, um eine öffentliche Erreichbarkeit über das Internet zu vermeiden.
Firezone erfordert ein gültiges SSL-Zertifikat und einen passenden DNS-Eintrag, um in der Produktion ausgeführt zu werden, die vom Let's Encrypt-Tool generiert und verwaltet werden können, um ein kostenloses SSL-Zertifikat zu generieren.
Die Administration erfolgt entweder über die Weboberfläche oder im Kommandozeilenmodus mithilfe des Dienstprogramms firezone-ctl. Die Weboberfläche basiert auf der Admin One Bulma-Plattform.
Aktuell laufen alle Firezone-Komponenten auf demselben Server, aber das Projekt wird von Anfang an mit Blick auf Modularität entwickelt, und zukünftig ist die Möglichkeit geplant, Komponenten für die Weboberfläche, VPN und Firewall auf verschiedene Hosts zu verteilen.
Die Pläne erwähnen auch die Integration eines DNS-basierten Werbeblockers, die Unterstützung von Host- und Subnetz-Sperrlisten, die Möglichkeit zur Authentifizierung über LDAP/SSO und zusätzliche Funktionen zur Benutzerverwaltung.
Von den genannten Funktionen von Firezone:
- Schnell: Verwenden Sie WireGuard, um 3-4 mal schneller als OpenVPN zu sein.
- Keine Abhängigkeiten: Dank Chef Omnibus sind alle Abhängigkeiten gruppiert.
- Ganz einfach: Die Einrichtung dauert einige Minuten. Verwalten Sie über eine einfache CLI-API.
- Sicher: funktioniert ohne Privilegien. HTTPS angewendet.
- Verschlüsselte Cookies.
- Firewall enthalten - Verwendet Linux nftables, um unerwünschten ausgehenden Datenverkehr zu blockieren.
Für die Installation werden rpm- und deb-Pakete für verschiedene Versionen von CentOS, Fedora, Ubuntu und Debian angeboten , deren Installation keine externen Abhängigkeiten erfordert, da alle notwendigen Abhängigkeiten bereits durch das Chef Omnibus Toolkit enthalten sind.
Für den Betrieb wird lediglich eine Linux-Distribution mit Kernel-Version 4.19 oder älter und ein mit WireGuard VPN kompiliertes Kernelmodul benötigt . Laut Autor lässt sich ein VPN-Server in wenigen Minuten starten und konfigurieren. Die Webinterface-Komponenten laufen unter einem Benutzerkonto mit eingeschränkten Rechten, und der Zugriff ist ausschließlich über HTTPS möglich.
Firezone besteht aus einem einzelnen verteilbaren Linux-Paket, das vom Benutzer installiert und verwaltet werden kann. Der Projektcode ist in Elixir und Ruby geschrieben und wird unter der Apache 2.0-Lizenz vertrieben.
Wenn Sie schließlich mehr darüber erfahren möchten oder den Installationsanweisungen folgen wollen, können Sie dies über den folgenden Link tun.