Nếu bạn muốn tạo một máy chủ VPN, tôi xin nói với bạn rằng có một lựa chọn tuyệt vời mà bạn có thể sử dụng để đạt được mục tiêu đó: dự án Firezone đang phát triển một máy chủ VPN để tổ chức quyền truy cập vào các máy chủ trên mạng nội bộ được cách ly khỏi các thiết bị người dùng nằm trên mạng bên ngoài.
Dự án này nhằm mục đích đạt được mức độ bảo mật cao và đơn giản hóa quy trình triển khai VPN.
Giới thiệu về Firezone
Dự án này đang được phát triển bởi một kỹ sư tự động hóa bảo mật của Cisco , người muốn tạo ra một giải pháp tự động hóa việc cấu hình máy chủ và loại bỏ những vấn đề mà họ gặp phải khi tổ chức quyền truy cập an toàn vào các VPC trên đám mây.
Firezone hoạt động như một giao diện cho cả mô-đun nhân WireGuard và hệ thống con nhân netfilter. Nó tạo ra một giao diện WireGuard (mặc định có tên là wg-firezone) và một bảng netfilter, thêm các tuyến đường thích hợp vào bảng định tuyến. Các chương trình khác sửa đổi bảng định tuyến Linux hoặc tường lửa netfilter có thể gây nhiễu hoạt động của Firezone.
Firezone có thể được coi là một đối tác mã nguồn mở với Máy chủ truy cập OpenVPN, được xây dựng trên WireGuard thay vì OpenVPN.
WireGuard được sử dụng để tổ chức các kênh liên lạc trong Firezone . Firezone cũng có chức năng tường lửa tích hợp sử dụng nftables.
Ở dạng hiện tại, tường lửa này bị hạn chế bởi việc chặn lưu lượng truy cập đi ra đến các máy chủ hoặc mạng con cụ thể trên mạng nội bộ hoặc mạng bên ngoài. Điều này là do Firezone là phần mềm phiên bản beta, vì vậy hiện tại, việc sử dụng nó chỉ được khuyến nghị bằng cách hạn chế quyền truy cập mạng vào giao diện người dùng web để tránh để lộ nó ra internet công cộng.
Firezone yêu cầu chứng chỉ SSL hợp lệ và bản ghi DNS phù hợp để chạy trong quá trình sản xuất. Bản ghi này có thể được tạo và quản lý bằng công cụ Let's Encrypt để tạo chứng chỉ SSL miễn phí.
Về phía quản trị , có đề cập rằng việc này được thực hiện thông qua giao diện web hoặc ở chế độ dòng lệnh bằng cách sử dụng tiện ích firezone-ctl. Giao diện web được xây dựng trên nền tảng Admin One Bulma.
Hiện tại, tất cả các thành phần của Firezone đều chạy trên cùng một máy chủ, nhưng dự án ban đầu được phát triển với mục tiêu hướng đến tính mô-đun, và trong tương lai, khả năng phân phối các thành phần cho giao diện web, VPN và tường lửa trên các máy chủ khác nhau đang được lên kế hoạch.
Các kế hoạch cũng đề cập đến việc tích hợp trình chặn quảng cáo dựa trên DNS, hỗ trợ danh sách khối máy chủ và mạng con, khả năng xác thực qua LDAP / SSO và khả năng quản lý người dùng bổ sung.
Trong số các tính năng được đề cập của Firezone:
- Nhanh chóng: sử dụng WireGuard để nhanh hơn 3-4 lần so với OpenVPN.
- Không có phụ thuộc: tất cả các phụ thuộc được nhóm lại nhờ Chef Omnibus.
- Đơn giản: mất vài phút để thiết lập. Quản lý thông qua một API CLI đơn giản.
- An toàn: hoạt động mà không có đặc quyền. Đã áp dụng HTTPS.
- Cookie được mã hóa.
- Tường lửa bao gồm - Sử dụng Linux nftables để chặn lưu lượng gửi đi không mong muốn.
Để cài đặt, các gói rpm và deb được cung cấp cho các phiên bản khác nhau của CentOS, Fedora, Ubuntu và Debian, việc cài đặt không yêu cầu các phụ thuộc bên ngoài, vì tất cả các phụ thuộc cần thiết đã được bao gồm bằng bộ công cụ Chef Omnibus.
Để hoạt động, chỉ cần một bản phân phối Linux với phiên bản nhân Linux 4.19 trở xuống và một mô-đun nhân được biên dịch với WireGuard VPN . Theo tác giả, việc khởi động và cấu hình máy chủ VPN có thể được thực hiện chỉ trong vài phút. Các thành phần giao diện web chạy dưới tài khoản người dùng không có quyền quản trị và chỉ có thể truy cập thông qua HTTPS.
Firezone bao gồm một gói Linux có thể phân phối duy nhất mà bạn có thể cài đặt và quản lý. Mã dự án được viết bằng Elixir và Ruby, và được phân phối theo giấy phép Apache 2.0.
Cuối cùng, nếu bạn muốn tìm hiểu thêm về vấn đề này hoặc muốn làm theo hướng dẫn cài đặt, bạn có thể truy cập vào liên kết sau.