Če želite ustvariti VPN strežnik, vam povem, da obstaja odlična možnost, s katero lahko dosežete svoj cilj: projekt Firezone razvija VPN strežnik za organizacijo dostopa do gostiteljev v notranjem omrežju, izoliranem od uporabniških naprav, ki se nahajajo v zunanjih omrežjih.
Cilj projekta je doseči visoko raven varnosti in poenostaviti postopek implementacije VPN.
O Firezone
Projekt razvija Ciscov inženir za varnostno avtomatizacijo , ki si je prizadeval ustvariti rešitev, ki avtomatizira delo s konfiguracijo gostitelja in odpravlja težave, s katerimi se je moral soočati pri organizaciji varnega dostopa do virtualnih računalnikov (VPC) v oblaku.
Firezone deluje kot vmesnik tako za jedrni modul WireGuard kot za jedrni podsistem netfilter. Ustvari vmesnik WireGuard (privzeto imenovan wg-firezone) in tabelo netfilter ter doda ustrezne poti v usmerjevalno tabelo. Drugi programi, ki spreminjajo usmerjevalno tabelo Linuxa ali požarni zid netfilter, lahko motijo delovanje Firezone.
Firezone si lahko predstavljamo kot odprtokodni dvojnik OpenVPN Access Server, ki je zgrajen na vrhu WireGuard namesto OpenVPN.
WireGuard se uporablja za organizacijo komunikacijskih kanalov v Firezone . Firezone ima tudi vgrajeno funkcionalnost požarnega zidu, ki uporablja nftables.
V svoji trenutni obliki je požarni zid omejen tako, da blokira odhodni promet do določenih gostiteljev ali podomrežij v notranjih ali zunanjih omrežjih. To je zato, ker je Firezone beta programska oprema, zato je zaenkrat njegova uporaba priporočljiva le z omejevanjem omrežnega dostopa do spletnega uporabniškega vmesnika, da se prepreči njegova izpostavljenost javnemu internetu.
Firezone za delovanje v produkciji zahteva veljavno potrdilo SSL in ustrezen zapis DNS, ki ga je mogoče ustvariti in upravljati z orodjem Let's Encrypt za ustvarjanje brezplačnega potrdila SSL.
Na strani administracije je omenjeno, da se to izvede prek spletnega vmesnika ali v načinu ukazne vrstice z uporabo pripomočka firezone-ctl. Spletni vmesnik je zgrajen na platformi Admin One Bulma.
Trenutno vse komponente Firezone delujejo na istem strežniku, vendar se projekt sprva razvija z mislijo na modularnost, v prihodnosti pa je načrtovana možnost distribucije komponent za spletni vmesnik, VPN in požarni zid med različnimi gostitelji.
Načrti omenjajo tudi integracijo blokatorja oglasov, ki temelji na DNS, podporo za sezname blokov gostiteljev in podomrežja, možnost preverjanja pristnosti prek LDAP/SSO in dodatne zmogljivosti upravljanja uporabnikov.
Od omenjenih lastnosti Firezone:
- Hitro: uporabite WireGuard, da boste 3-4 krat hitrejši od OpenVPN.
- Brez odvisnosti: vse odvisnosti so združene po zaslugi Chef Omnibusa.
- Preprosto: nastavitev traja nekaj minut. Upravljajte prek preprostega API-ja CLI.
- Varno: deluje brez privilegijev. Uporabljen je HTTPS.
- Šifrirani piškotki.
- Vključen požarni zid - uporablja Linuxove nftables za blokiranje neželenega odhodnega prometa.
Za namestitev so na voljo paketi rpm in deb za različne različice CentOS-a, Fedore, Ubuntuja in Debiana, katerih namestitev ne zahteva zunanjih odvisnosti, saj so vse potrebne odvisnosti že vključene z orodjem Chef Omnibus.
Za delovanje potrebuje le distribucijo Linuxa z jedrom Linuxa različice 4.19 ali starejše in modul jedra, preveden z WireGuard VPN . Po besedah avtorja je zagon in konfiguracija strežnika VPN mogoča v le nekaj minutah. Komponente spletnega vmesnika delujejo pod neprivilegiranim uporabniškim računom, dostop pa je mogoč le prek HTTPS.
Firezone je sestavljen iz enega samega razširljivega paketa Linux, ki ga lahko namesti in upravlja uporabnik. Koda projekta je napisana v Elixir in Ruby ter se distribuira pod licenco Apache 2.0.
Če vas zanima več o tem ali želite slediti navodilom za namestitev, lahko to storite na naslednji povezavi.