אם אתם רוצים ליצור שרת VPN, הרשו לי לספר לכם שיש אפשרות מצוינת בה תוכלו להשתמש כדי להשיג את המטרה שלכם: פרויקט Firezone מפתח שרת VPN לארגון גישה למארחים ברשת פנימית המבודדת ממכשירי משתמשים הממוקמים ברשתות חיצוניות.
הפרויקט שואף להשיג רמת אבטחה גבוהה ולפשט את תהליך הטמעת ה-VPN.
לגבי Firezone
הפרויקט פותח על ידי מהנדס אוטומציה של אבטחה מסיסקו , שביקש ליצור פתרון שמאפשר אוטומציה של עבודה עם תצורת המארח ומבטל את הבעיות איתן נאלצו להתמודד בעת ארגון גישה מאובטחת ל-VPC בענן.
Firezone משמש כממשק הן עבור מודול הליבה של WireGuard והן עבור תת-מערכת הליבה של netfilter. הוא יוצר ממשק WireGuard (שנקרא wg-firezone כברירת מחדל) וטבלת netfilter, ומוסיף את הנתיבים המתאימים לטבלת הניתוב. תוכניות אחרות שמשנות את טבלת הניתוב של לינוקס או את חומת האש של netfilter עלולות להפריע לפעולת Firezone.
אפשר לחשוב על Firezone כמקבילה של קוד פתוח לשרת OpenVPN Access, הבנוי על גבי WireGuard במקום OpenVPN.
WireGuard משמש לארגון ערוצי תקשורת ב-Firezone . ל-Firezone יש גם פונקציונליות חומת אש מובנית המשתמשת ב-nftables.
בצורתה הנוכחית, חומת האש מוגבלת על ידי חסימת תעבורה יוצאת למארחים או תת-רשתות ספציפיים ברשתות פנימיות או חיצוניות. הסיבה לכך היא ש-Firezone היא תוכנת בטא, ולכן לעת עתה, השימוש בה מומלץ רק על ידי הגבלת גישת הרשת לממשק המשתמש באינטרנט כדי למנוע חשיפה שלו לאינטרנט הציבורי.
Firezone דורש אישור SSL תקף ורשומת DNS תואמת להפעלה, שניתן לייצר ולנהל אותו על ידי הכלי Let's Encrypt ליצירת תעודת SSL בחינם.
בצד הניהול , צוין כי הדבר נעשה דרך ממשק האינטרנט או במצב שורת פקודה באמצעות כלי השירות firezone-ctl. ממשק האינטרנט בנוי על פלטפורמת Admin One Bulma.
נכון לעכשיו, כל רכיבי Firezone פועלים על אותו שרת, אך הפרויקט מפותח בתחילה תוך התמקדות במודולריות, ובעתיד מתוכננת היכולת להפיץ רכיבים עבור ממשק האינטרנט, VPN וחומת האש בין מארחים שונים.
התוכניות מזכירות גם שילוב של חוסם מודעות מבוסס DNS, תמיכה ברשימות חסימות מארח ורשתות משנה, יכולת אימות באמצעות LDAP / SSO ויכולות ניהול משתמשים נוספות.
מבין התכונות שהוזכרו ב- Firezone:
- מהיר: השתמש ב- WireGuard כדי להיות מהיר פי 3-4 מ- OpenVPN.
- אין תלות: כל התלות מקובצות בזכות השף אומניבוס.
- פשוט: לוקח כמה דקות להתקנה. נהל באמצעות ממשק API פשוט של CLI.
- בטוח: עובד ללא הרשאות. HTTPS הוחל.
- עוגיות מוצפנות.
- חומת אש כלולה - משתמש ב- Linux nftables לחסימת תעבורה יוצאת לא רצויה.
לצורך התקנה, מוצעות חבילות rpm ו-deb עבור גרסאות שונות של CentOS, Fedora, Ubuntu ו-Debian, שהתקנתן אינה דורשת תלויות חיצוניות, מכיוון שכל התלויות הדרושות כבר כלולות באמצעות ערכת הכלים Chef Omnibus.
כדי לפעול, נדרשת הפצת לינוקס עם גרסת ליבה 4.19 או גרסה מוקדמת יותר ומודול ליבה שעבר קומפילציה עם WireGuard VPN . לדברי המחבר, הפעלה וקביעת תצורה של שרת VPN ניתנות לביצוע תוך דקות ספורות. רכיבי ממשק האינטרנט פועלים תחת חשבון משתמש לא מורשה, והגישה אפשרית רק דרך HTTPS.
Firezone מורכבת מחבילת לינוקס אחת הניתנת להפצה הניתנת להתקנה ולניהול על ידי המשתמש. קוד הפרויקט כתוב ב- Elixir and Ruby, ומופץ תחת רישיון Apache 2.0.
לבסוף, אם אתם מעוניינים ללמוד עוד על כך או רוצים לעקוב אחר הוראות ההתקנה, תוכלו לעשות זאת מהקישור הבא.