หากคุณต้องการสร้างเซิร์ฟเวอร์ VPN ผมขอแนะนำว่ามีตัวเลือกที่ยอดเยี่ยมที่คุณสามารถใช้เพื่อบรรลุเป้าหมายนั้นได้ นั่นคือโครงการ Firezone กำลังพัฒนาเซิร์ฟเวอร์ VPN เพื่อจัดการการเข้าถึงโฮสต์บนเครือข่ายภายในที่แยกออกจากอุปกรณ์ของผู้ใช้ที่อยู่ในเครือข่ายภายนอก
โครงการนี้มีเป้าหมายเพื่อให้ได้ระดับความปลอดภัยที่สูงและลดความซับซ้อนของกระบวนการติดตั้ง VPN
เกี่ยวกับ Firezone
โครงการนี้กำลังได้รับการพัฒนาโดยวิศวกรด้านระบบรักษาความปลอดภัยอัตโนมัติของซิสโก้ซึ่งต้องการสร้างโซลูชันที่ทำให้การทำงานกับการกำหนดค่าโฮสต์เป็นไปโดยอัตโนมัติ และขจัดปัญหาที่พวกเขาต้องเผชิญเมื่อจัดการการเข้าถึง VPC ที่ปลอดภัยในระบบคลาวด์
Firezone ทำหน้าที่เป็นอินเทอร์เฟซสำหรับทั้งโมดูลเคอร์เนล WireGuardและระบบย่อยเคอร์เนล netfilter โดยจะสร้างอินเทอร์เฟซ WireGuard (ชื่อ wg-firezone ตามค่าเริ่มต้น) และตาราง netfilter พร้อมเพิ่มเส้นทางที่เหมาะสมลงในตารางการกำหนดเส้นทาง โปรแกรมอื่นๆ ที่แก้ไขตารางการกำหนดเส้นทางของ Linux หรือไฟร์วอลล์ netfilter อาจรบกวนการทำงานของ Firezone
Firezone ถือได้ว่าเป็นโอเพ่นซอร์สคู่กับ OpenVPN Access Server ซึ่งสร้างขึ้นบน WireGuard แทน OpenVPN
WireGuard ใช้สำหรับจัดระเบียบช่องทางการสื่อสารใน Firezoneนอกจากนี้ Firezone ยังมีฟังก์ชันไฟร์วอลล์ในตัวที่ใช้ nftables อีกด้วย
ในรูปแบบปัจจุบันไฟร์วอลล์นี้มีข้อจำกัดในการบล็อกการรับส่งข้อมูลขาออกไปยังโฮสต์หรือซับเน็ตเฉพาะบนเครือข่ายภายในหรือภายนอก เนื่องจาก Firezone เป็นซอฟต์แวร์รุ่นเบต้า ดังนั้นในขณะนี้จึงแนะนำให้ใช้งานโดยจำกัดการเข้าถึงเครือข่ายไปยังส่วนติดต่อผู้ใช้บนเว็บเพื่อหลีกเลี่ยงการเปิดเผยสู่สาธารณะทางอินเทอร์เน็ต
Firezone ต้องการใบรับรอง SSL ที่ถูกต้องและบันทึก DNS ที่ตรงกันเพื่อเรียกใช้ในการผลิต ซึ่งสามารถสร้างและจัดการได้โดยเครื่องมือ Let's Encrypt เพื่อสร้างใบรับรอง SSL ฟรี
ในส่วนของการบริหารจัดการนั้น มีการระบุว่าสามารถทำได้ผ่านทางเว็บอินเทอร์เฟซหรือในโหมดบรรทัดคำสั่งโดยใช้ยูทิลิตี้ firezone-ctl โดยเว็บอินเทอร์เฟซนั้นสร้างขึ้นบนแพลตฟอร์ม Admin One Bulma
ปัจจุบันส่วนประกอบทั้งหมดของ Firezone ทำงานอยู่บนเซิร์ฟเวอร์เดียวกันแต่โครงการนี้กำลังได้รับการพัฒนาโดยคำนึงถึงความยืดหยุ่นเป็นหลัก และในอนาคต มีแผนที่จะเพิ่มความสามารถในการกระจายส่วนประกอบสำหรับเว็บอินเทอร์เฟซ VPN และไฟร์วอลล์ไปยังโฮสต์ต่างๆ ได้
แผนดังกล่าวยังกล่าวถึงการรวมตัวบล็อกโฆษณาบน DNS การสนับสนุนรายการบล็อกโฮสต์และซับเน็ต ความสามารถในการตรวจสอบสิทธิ์ผ่าน LDAP / SSO และความสามารถในการจัดการผู้ใช้เพิ่มเติม
จากคุณสมบัติที่กล่าวถึงของ Firezone:
- รวดเร็ว: ใช้ WireGuard ให้เร็วกว่า OpenVPN ถึง 3-4 เท่า
- ไม่มีการพึ่งพา: การพึ่งพาทั้งหมดถูกจัดกลุ่มด้วย Chef Omnibus
- ง่าย: ใช้เวลาเพียงไม่กี่นาทีในการตั้งค่า จัดการผ่าน CLI API อย่างง่าย
- ปลอดภัย: ทำงานโดยไม่มีสิทธิ์ ใช้ HTTPS แล้ว
- คุกกี้ที่เข้ารหัส
- รวมไฟร์วอลล์ - ใช้ Linux nftables เพื่อบล็อกการรับส่งข้อมูลขาออกที่ไม่ต้องการ
สำหรับการติดตั้ง มีแพ็กเกจ rpm และ deb ให้เลือกใช้สำหรับ CentOS, Fedora, Ubuntu และ Debian เวอร์ชันต่างๆ ซึ่งการติดตั้งไม่จำเป็นต้องติดตั้งส่วนประกอบภายนอกเพิ่มเติม เนื่องจากส่วนประกอบที่จำเป็นทั้งหมดได้ถูกรวมไว้แล้วโดยใช้ชุดเครื่องมือ Chef Omnibus
ในการใช้งานนั้น ต้องการเพียงระบบปฏิบัติการ Linux ที่มีเวอร์ชันเคอร์เนล Linux 4.19 หรือก่อนหน้า และโมดูลเคอร์เนลที่คอมไพล์ด้วย WireGuard VPN เท่านั้นตามที่ผู้พัฒนาได้กล่าวไว้ การเริ่มต้นและกำหนดค่าเซิร์ฟเวอร์ VPN สามารถทำได้ภายในไม่กี่นาที ส่วนประกอบของเว็บอินเทอร์เฟซทำงานภายใต้บัญชีผู้ใช้ที่ไม่ได้รับสิทธิ์พิเศษ และสามารถเข้าถึงได้ผ่าน HTTPS เท่านั้น
Firezone ประกอบด้วยแพ็คเกจ Linux แบบแจกจ่ายเดียวที่สามารถติดตั้งและจัดการได้โดยผู้ใช้ รหัสโครงการเขียนด้วย Elixir และ Ruby และเผยแพร่ภายใต้ใบอนุญาต Apache 2.0
สุดท้ายนี้หากคุณสนใจเรียนรู้เพิ่มเติมเกี่ยวกับเรื่องนี้หรือต้องการทำตามขั้นตอนการติดตั้ง คุณสามารถทำได้จากลิงก์ต่อไปนี้