Se desideri creare un server VPN, sappi che esiste un'ottima soluzione per raggiungere il tuo obiettivo: il progetto Firezone sta sviluppando un server VPN per organizzare l'accesso agli host su una rete interna, isolandoli dai dispositivi degli utenti situati su reti esterne.
Il progetto si propone di raggiungere un elevato livello di sicurezza e di semplificare il processo di implementazione delle VPN.
Informazioni su Firezone
Il progetto è in fase di sviluppo da parte di un ingegnere di automazione della sicurezza di Cisco , il quale ha cercato di creare una soluzione che automatizzasse la gestione della configurazione degli host ed eliminasse i problemi riscontrati nell'organizzazione dell'accesso sicuro alle VPC nel cloud.
Firezone funge da interfaccia sia per il modulo del kernel WireGuard che per il sottosistema del kernel netfilter. Crea un'interfaccia WireGuard (denominata wg-firezone per impostazione predefinita) e una tabella netfilter, aggiungendo i percorsi appropriati alla tabella di routing. Altri programmi che modificano la tabella di routing di Linux o il firewall netfilter potrebbero interferire con il funzionamento di Firezone.
Puoi pensare a Firezone come una controparte open source di OpenVPN Access Server, costruito su WireGuard anziché su OpenVPN.
WireGuard viene utilizzato per organizzare i canali di comunicazione in Firezone . Firezone dispone anche di una funzionalità firewall integrata che utilizza nftables.
Nella sua forma attuale, il firewall è limitato dal blocco del traffico in uscita verso host o sottoreti specifici, sia su reti interne che esterne. Questo perché Firezone è un software in versione beta, quindi per ora se ne consiglia l'utilizzo solo limitando l'accesso alla rete tramite l'interfaccia utente web, al fine di evitare di esporla a Internet.
Firezone richiede un certificato SSL valido e un record DNS corrispondente per l'esecuzione in produzione, che può essere generato e gestito dallo strumento Let's Encrypt per generare un certificato SSL gratuito.
Per quanto riguarda l'amministrazione , viene specificato che questa viene effettuata tramite l'interfaccia web o in modalità riga di comando utilizzando l'utility firezone-ctl. L'interfaccia web è basata sulla piattaforma Admin One Bulma.
Attualmente, tutti i componenti di Firezone vengono eseguiti sullo stesso server, ma il progetto è inizialmente concepito per essere modulare e, in futuro, è prevista la possibilità di distribuire i componenti dell'interfaccia web, della VPN e del firewall su host diversi.
I piani menzionano anche l'integrazione di un ad blocker basato su DNS, il supporto per gli elenchi di blocchi di host e sottoreti, la possibilità di autenticarsi tramite LDAP/SSO e ulteriori funzionalità di gestione degli utenti.
Delle caratteristiche menzionate di Firezone:
- Veloce: usa WireGuard per essere 3-4 volte più veloce di OpenVPN.
- Nessuna dipendenza: tutte le dipendenze sono raggruppate grazie a Chef Omnibus.
- Semplice: richiede pochi minuti per l'installazione. Gestisci tramite una semplice API CLI.
- Sicuro: funziona senza privilegi. HTTPS applicato.
- Cookie crittografati.
- Firewall incluso: utilizza Linux nftables per bloccare il traffico in uscita indesiderato.
Per l'installazione, sono disponibili pacchetti rpm e deb per diverse versioni di CentOS, Fedora, Ubuntu e Debian, la cui installazione non richiede dipendenze esterne, poiché tutte le dipendenze necessarie sono già incluse tramite il toolkit Chef Omnibus.
Per funzionare, è sufficiente una distribuzione Linux con kernel Linux versione 4.19 o precedente e un modulo del kernel compilato con WireGuard VPN . Secondo l'autore, l'avvio e la configurazione di un server VPN possono essere completati in pochi minuti. I componenti dell'interfaccia web vengono eseguiti con un account utente non privilegiato e l'accesso è possibile solo tramite HTTPS.
Firezone consiste in un singolo pacchetto Linux distribuibile che puoi installare e gestire. Il codice del progetto è scritto in Elixir e Ruby ed è distribuito con la licenza Apache 2.0.
Infine, se siete interessati ad approfondire l'argomento o desiderate seguire le istruzioni di installazione, potete farlo tramite il seguente link.