Firezone — eine Lösung zum Erstellen von VPN-Servern auf Basis von WireGuard

Das Firezone-Projekt entwickelt einen VPN-Server, um den Zugriff auf Hosts in einem internen isolierten Netzwerk von Benutzgeräten in externen Netzwerken zu ermöglichen. Das Projekt zielt darauf ab, ein hohes Maß an Sicherheit zu erreichen und den Prozess der Bereitstellung von VPN zu vereinfachen. Der Code des Projekts ist in Elixir und Ruby geschrieben und wird unter der Apache 2.0-Lizenz vertrieben.

Das Projekt wird von einem Sicherheitsautomatisierungsingenieur von Cisco entwickelt, der versucht hat, eine Lösung zu schaffen, die die Arbeit mit der Konfiguration von Hosts automatisiert und Probleme vermeidet, die beim sicheren Zugriff auf Cloud-VPCs auftreten können. Firezone kann als Open-Source-Alternative zum OpenVPN Access Server angesehen werden, die auf WireGuard anstelle von OpenVPN basiert.

Für die Installation stehen rpm- und deb-Pakete für verschiedene Versionen von CentOS, Fedora, Ubuntu und Debian zur Verfügung, deren Installation keine externen Abhängigkeiten erfordert, da alle erforderlichen Abhängigkeiten bereits mit dem Chef Omnibus-Tool integriert sind. Es wird lediglich eine Distribution mit einem Linux-Kernel benötigt, der nicht älter als 4.19 ist, und ein kompiliertes Kernel-Modul mit VPN WireGuard. Laut dem Entwickler kann der VPN-Server innerhalb weniger Minuten gestartet und konfiguriert werden. Die Komponenten der Weboberfläche werden unter einem unprivilegierten Benutzer ausgeführt, und der Zugriff ist nur über HTTPS möglich.

In Firezone wird WireGuard zur Organisation von Kommunikationskanälen verwendet. Firezone verfügt auch über integrierte Firewall-Funktionen, die nftables verwenden. Aktuell beschränkt sich die Firewall auf Mittel zur Blockierung von ausgehendem Datenverkehr zu bestimmten Hosts oder Subnetzen in internen oder externen Netzwerken. Die Verwaltung erfolgt über die Weboberfläche oder die Befehlszeilen-Schnittstelle mit dem Tool firezone-ctl. Die Weboberfläche basiert auf Admin One Bulma.

Derzeit werden alle Komponenten von Firezone auf einem Serverbetrieben, aber das Projekt entwickelt sich ursprünglich mit dem Fokus auf Modularität, und in Zukunft ist geplant, die Möglichkeit hinzuzufügen, die Komponenten für die Weboberfläche, VPN und Firewall auf verschiedene Hosts zu verteilen. Auch die Integration eines DNS-basierten Werbeblockers, die Unterstützung von Host- und Subnetz-Blocklisten, die Möglichkeit der Authentifizierung über LDAP/SSO und zusätzliche Benutzerverwaltungsfunktionen sind geplant.

Quelle: opennet.ru