Ak chcete vytvoriť VPN server, dovoľte mi povedať vám, že existuje vynikajúca možnosť, ktorú môžete použiť na dosiahnutie svojho cieľa: projekt Firezone vyvíja VPN server na organizáciu prístupu k hostiteľom v internej sieti izolovanej od používateľských zariadení umiestnených v externých sieťach.
Cieľom projektu je dosiahnuť vysokú úroveň zabezpečenia a zjednodušiť proces implementácie VPN.
O Firezone
Projekt vyvíja bezpečnostný automatizačný inžinier spoločnosti Cisco , ktorého cieľom bolo vytvoriť riešenie, ktoré automatizuje prácu s konfiguráciou hostiteľa a eliminuje problémy, ktorým musel čeliť pri organizácii zabezpečeného prístupu k VPC v cloude.
Firezone funguje ako rozhranie pre modul jadra WireGuard aj pre subsystém jadra netfilter. Vytvára rozhranie WireGuard (štandardne s názvom wg-firezone) a tabuľku netfilter, pričom pridáva príslušné trasy do smerovacej tabuľky. Iné programy, ktoré upravujú smerovaciu tabuľku Linuxu alebo firewall netfilter, môžu rušiť prevádzku Firezone.
Firezone si môžete predstaviť ako open source náprotivok servera OpenVPN Access Server postaveného na vrchole WireGuard namiesto OpenVPN.
WireGuard sa používa na organizáciu komunikačných kanálov vo Firezone . Firezone má tiež zabudovanú funkciu firewallu, ktorá používa nftables.
V súčasnej podobe je firewall obmedzený blokovaním odchádzajúcej prevádzky na konkrétne hostiteľské počítače alebo podsiete v interných alebo externých sieťach. Je to preto, že Firezone je beta softvér, takže zatiaľ sa jeho používanie odporúča iba obmedzením sieťového prístupu na webové používateľské rozhranie, aby sa predišlo jeho vystaveniu verejnému internetu.
Firezone vyžaduje na spustenie vo výrobe platný certifikát SSL a zodpovedajúci záznam DNS, ktorý je možné vygenerovať a spravovať nástrojom Let's Encrypt na vygenerovanie bezplatného certifikátu SSL.
Na strane administrácie sa uvádza, že sa to robí cez webové rozhranie alebo v režime príkazového riadku pomocou utility firezone-ctl. Webové rozhranie je postavené na platforme Admin One Bulma.
V súčasnosti všetky komponenty Firezone bežia na rovnakom serveri, ale projekt sa spočiatku vyvíja s ohľadom na modularitu a v budúcnosti sa plánuje možnosť distribúcie komponentov pre webové rozhranie, VPN a firewall medzi rôznymi hostiteľmi.
Plány tiež spomínajú integráciu blokovania reklám na báze DNS, podporu zoznamov blokov hostiteľov a podsietí, schopnosť autentifikácie prostredníctvom LDAP / SSO a ďalšie možnosti správy používateľov.
Zo spomínaných funkcií Firezone:
- Rýchlo: Použite WireGuard, aby bol 3-4 krát rýchlejší ako OpenVPN.
- Žiadne závislosti: všetky závislosti sú zoskupené vďaka šéfkuchárovi Omnibusovi.
- Jednoduché: Nastavenie trvá niekoľko minút. Spravujte pomocou jednoduchého rozhrania CLI API.
- Bezpečný: funguje bez oprávnení. Použitý protokol HTTPS.
- Šifrované súbory cookie.
- Zahrnutý firewall - používa Linux nftables na blokovanie nechceného odchádzajúceho prenosu.
Na inštaláciu sú k dispozícii balíky rpm a deb pre rôzne verzie CentOS, Fedora, Ubuntu a Debian, ktorých inštalácia nevyžaduje externé závislosti, pretože všetky potrebné závislosti sú už zahrnuté pomocou sady nástrojov Chef Omnibus.
Na fungovanie je potrebná iba distribúcia Linuxu s jadrom Linuxu verzie 4.19 alebo staršej a modul jadra kompilovaný s WireGuard VPN . Podľa autora je spustenie a konfigurácia VPN servera možná len za pár minút. Komponenty webového rozhrania bežia pod neprivilegovaným používateľským účtom a prístup je možný iba cez HTTPS.
Firezone pozostáva z jedného distribuovateľného balíka Linux, ktorý môže nainštalovať a spravovať používateľ. Kód projektu je napísaný v jazykoch Elixir a Ruby a je distribuovaný pod licenciou Apache 2.0.
Nakoniec, ak sa chcete dozvedieť viac o tomto alebo chcete postupovať podľa pokynov na inštaláciu, môžete tak urobiť prostredníctvom nasledujúceho odkazu.