Als je een VPN-server wilt opzetten, kan ik je vertellen dat er een uitstekende optie is om je doel te bereiken: het Firezone-project ontwikkelt een VPN-server om de toegang tot hosts op een intern netwerk te organiseren, geïsoleerd van gebruikersapparaten op externe netwerken.
Het project heeft als doel een hoog beveiligingsniveau te bereiken en het VPN-implementatieproces te vereenvoudigen.
Over Firezone
Het project wordt ontwikkeld door een Cisco security automation engineer , die een oplossing wilde creëren die het werken met hostconfiguratie automatiseert en de problemen elimineert waarmee ze te maken hadden bij het organiseren van beveiligde toegang tot VPC's in de cloud.
Firezone fungeert als interface voor zowel de WireGuard-kernelmodule als het netfilter-kernelsubsysteem. Het creëert een WireGuard-interface (standaard genaamd wg-firezone) en een netfilter-tabel, waarbij de juiste routes aan de routeringstabel worden toegevoegd. Andere programma's die de Linux-routeringstabel of de netfilter-firewall wijzigen, kunnen de werking van Firezone verstoren.
Je kunt Firezone zien als een open source tegenhanger van OpenVPN Access Server, gebouwd bovenop WireGuard in plaats van OpenVPN.
WireGuard wordt gebruikt om communicatiekanalen in Firezone te organiseren . Firezone heeft ook ingebouwde firewallfunctionaliteit die gebruikmaakt van nftables.
In de huidige vorm is de firewall beperkt tot het blokkeren van uitgaand verkeer naar specifieke hosts of subnetten op interne of externe netwerken. Dit komt doordat Firezone nog in de bètafase is. Daarom wordt het gebruik ervan voorlopig alleen aanbevolen door de netwerktoegang te beperken tot de webinterface, om te voorkomen dat deze toegankelijk is voor het openbare internet.
Firezone vereist een geldig SSL-certificaat en een bijbehorend DNS-record om in productie te worden uitgevoerd, dat kan worden gegenereerd en beheerd door de Let's Encrypt-tool om een ​​gratis SSL-certificaat te genereren.
Aan de beheerderskant wordt vermeld dat dit via de webinterface of via de commandoregel met het hulpprogramma firezone-ctl kan worden gedaan. De webinterface is gebouwd op het Admin One Bulma-platform.
Momenteel draaien alle Firezone-componenten op dezelfde server, maar het project wordt in eerste instantie ontwikkeld met het oog op modulariteit. In de toekomst is het de bedoeling dat de componenten voor de webinterface, VPN en firewall over verschillende hosts verdeeld kunnen worden.
De plannen vermelden ook de integratie van een op DNS gebaseerde adblocker, ondersteuning voor host- en subnetblokkeringslijsten, de mogelijkheid om te authenticeren via LDAP / SSO en extra gebruikersbeheermogelijkheden.
Van de genoemde kenmerken van Firezone:
- Snel: gebruik WireGuard om 3-4 keer sneller te zijn dan OpenVPN.
- Geen afhankelijkheden: alle afhankelijkheden zijn gegroepeerd dankzij Chef Omnibus.
- Simpel: duurt een paar minuten om in te stellen. Beheer via een eenvoudige CLI API.
- Veilig: werkt zonder privileges. HTTPS toegepast.
- Versleutelde cookies.
- Firewall inbegrepen - Gebruikt Linux nftables om ongewenst uitgaand verkeer te blokkeren.
Voor de installatie worden rpm- en deb-pakketten aangeboden voor verschillende versies van CentOS, Fedora, Ubuntu en Debian. De installatie hiervan vereist geen externe afhankelijkheden, aangezien alle benodigde afhankelijkheden al zijn opgenomen met behulp van de Chef Omnibus-toolkit.
Om het te gebruiken, is alleen een Linux-distributie met een Linux-kernelversie 4.19 of ouder en een kernelmodule met WireGuard VPN nodig . Volgens de auteur kan het opzetten en configureren van een VPN-server in slechts enkele minuten worden gedaan. De webinterfacecomponenten draaien onder een gebruikersaccount zonder beheerdersrechten en toegang is alleen mogelijk via HTTPS.
Firezone bestaat uit een enkel distribueerbaar Linux-pakket dat door de gebruiker kan worden geïnstalleerd en beheerd. De projectcode is geschreven in Elixir en Ruby en wordt gedistribueerd onder de Apache 2.0-licentie.
Als u tot slot meer wilt weten over dit onderwerp of de installatie-instructies wilt volgen, kunt u dat doen via de volgende link.