Αν θέλετε να δημιουργήσετε έναν διακομιστή VPN, επιτρέψτε μου να σας πω ότι υπάρχει μια εξαιρετική επιλογή που μπορείτε να χρησιμοποιήσετε για να επιτύχετε τον στόχο σας: το έργο Firezone αναπτύσσει έναν διακομιστή VPN για την οργάνωση της πρόσβασης σε κεντρικούς υπολογιστές σε ένα εσωτερικό δίκτυο που είναι απομονωμένο από συσκευές χρηστών που βρίσκονται σε εξωτερικά δίκτυα.
Το έργο στοχεύει στην επίτευξη υψηλού επιπέδου ασφάλειας και στην απλοποίηση της διαδικασίας υλοποίησης VPN.
Σχετικά με το Firezone
Το έργο αναπτύσσεται από έναν μηχανικό αυτοματισμού ασφαλείας της Cisco , ο οποίος επιδίωξε να δημιουργήσει μια λύση που αυτοματοποιεί την εργασία με τη διαμόρφωση του κεντρικού υπολογιστή και εξαλείφει τα προβλήματα που έπρεπε να αντιμετωπίσουν κατά την οργάνωση της ασφαλούς πρόσβασης σε VPC στο cloud.
Το Firezone λειτουργεί ως διεπαφή τόσο για τη μονάδα πυρήνα WireGuard όσο και για το υποσύστημα πυρήνα netfilter. Δημιουργεί μια διεπαφή WireGuard (με προεπιλογή όνομα wg-firezone) και έναν πίνακα netfilter, προσθέτοντας τις κατάλληλες διαδρομές στον πίνακα δρομολόγησης. Άλλα προγράμματα που τροποποιούν τον πίνακα δρομολόγησης Linux ή το τείχος προστασίας netfilter ενδέχεται να επηρεάσουν τη λειτουργία του Firezone.
Το Firezone μπορεί να θεωρηθεί ως αντίστοιχο ανοιχτού κώδικα στον διακομιστή πρόσβασης OpenVPN, που είναι χτισμένο πάνω από το WireGuard αντί για το OpenVPN.
Το WireGuard χρησιμοποιείται για την οργάνωση των καναλιών επικοινωνίας στο Firezone . Το Firezone διαθέτει επίσης ενσωματωμένη λειτουργία τείχους προστασίας που χρησιμοποιεί nftables.
Στην τρέχουσα μορφή του, το τείχος προστασίας περιορίζεται μπλοκάροντας την εξερχόμενη κίνηση σε συγκεκριμένους κεντρικούς υπολογιστές ή υποδίκτυα σε εσωτερικά ή εξωτερικά δίκτυα. Αυτό συμβαίνει επειδή το Firezone είναι λογισμικό beta, επομένως προς το παρόν, η χρήση του συνιστάται μόνο περιορίζοντας την πρόσβαση δικτύου στη διεπαφή χρήστη ιστού για να αποφευχθεί η έκθεσή του στο δημόσιο διαδίκτυο.
Το Firezone απαιτεί ένα έγκυρο πιστοποιητικό SSL και μια αντίστοιχη εγγραφή DNS για εκτέλεση, τα οποία μπορούν να δημιουργηθούν και να διαχειριστούν από το εργαλείο Let's Encrypt για να δημιουργήσουν ένα δωρεάν πιστοποιητικό SSL.
Από την πλευρά της διαχείρισης , αναφέρεται ότι αυτό γίνεται μέσω της διεπαφής ιστού ή σε λειτουργία γραμμής εντολών χρησιμοποιώντας το βοηθητικό πρόγραμμα firezone-ctl. Η διεπαφή ιστού είναι χτισμένη στην πλατφόρμα Admin One Bulma.
Προς το παρόν, όλα τα στοιχεία του Firezone εκτελούνται στον ίδιο διακομιστή, αλλά το έργο αρχικά αναπτύσσεται με γνώμονα την αρθρωτή δομή και στο μέλλον σχεδιάζεται η δυνατότητα διανομής στοιχείων για τη διεπαφή ιστού, το VPN και το τείχος προστασίας σε διαφορετικούς κεντρικούς υπολογιστές.
Τα σχέδια αναφέρουν επίσης την ενσωμάτωση ενός αποκλεισμού διαφημίσεων που βασίζεται σε DNS, υποστήριξη για λίστες αποκλεισμού κεντρικού υπολογιστή και υποδικτύου, τη δυνατότητα ελέγχου ταυτότητας μέσω LDAP / SSO και πρόσθετες δυνατότητες διαχείρισης χρηστών.
Από τα αναφερόμενα χαρακτηριστικά του Firezone:
- Γρήγορο: χρησιμοποιήστε το WireGuard για να είναι 3-4 φορές πιο γρήγορο από το OpenVPN.
- Χωρίς εξαρτήσεις: όλες οι εξαρτήσεις ομαδοποιούνται χάρη στον Chef Omnibus.
- Απλό: χρειάζεται λίγα λεπτά για να ρυθμιστεί. Διαχειριστείτε μέσω ενός απλού CLI API.
- Ασφαλές: λειτουργεί χωρίς προνόμια. Εφαρμόστηκε HTTPS.
- Κρυπτογραφημένα cookie.
- Περιλαμβάνεται τείχος προστασίας - Χρησιμοποιεί Linux nftables για να αποκλείσει ανεπιθύμητη εξερχόμενη κίνηση.
Για την εγκατάσταση, προσφέρονται πακέτα rpm και deb για διαφορετικές εκδόσεις των CentOS, Fedora, Ubuntu και Debian, των οποίων η εγκατάσταση δεν απαιτεί εξωτερικές εξαρτήσεις, καθώς όλες οι απαραίτητες εξαρτήσεις περιλαμβάνονται ήδη χρησιμοποιώντας το κιτ εργαλείων Chef Omnibus.
Για να λειτουργήσει, απαιτείται μόνο μια διανομή Linux με πυρήνα Linux έκδοση 4.19 ή παλαιότερη και μια ενότητα πυρήνα που έχει μεταγλωττιστεί με το WireGuard VPN . Σύμφωνα με τον συγγραφέα, η εκκίνηση και η διαμόρφωση ενός διακομιστή VPN μπορεί να γίνει σε λίγα μόνο λεπτά. Τα στοιχεία της διεπαφής ιστού εκτελούνται με έναν λογαριασμό χρήστη χωρίς δικαιώματα και η πρόσβαση είναι δυνατή μόνο μέσω HTTPS.
Το Firezone αποτελείται από ένα ενιαίο διανεμόμενο πακέτο Linux που μπορεί να εγκατασταθεί και να διαχειριστεί ο χρήστης. Ο κώδικας του έργου είναι γραμμένος σε Elixir και Ruby και διανέμεται με την άδεια Apache 2.0.
Τέλος, αν ενδιαφέρεστε να μάθετε περισσότερα σχετικά με αυτό ή θέλετε να ακολουθήσετε τις οδηγίες εγκατάστασης, μπορείτε να το κάνετε από τον παρακάτω σύνδεσμο.