Firezone – eine Lösung zur Erstellung von VPN-Servern auf Basis von WireGuard

Das Firezone-Projekt entwickelt einen VPN-Server, um den Zugriff auf Hosts in einem internen isolierten Netzwerk von Benutzgeräten, die sich in externen Netzwerken befinden, zu ermöglichen. Ziel des Projekts ist es, ein hohes Maß an Sicherheit zu erreichen und den Prozess der VPN-Bereitstellung zu vereinfachen. Der Code des Projekts ist in Elixir und Ruby geschrieben und wird unter der Apache 2.0-Lizenz veröffentlicht.

Das Projekt wird von einem Sicherheitssautomatisierungsingenieur bei Cisco entwickelt, der versucht hat, eine Lösung zu schaffen, die die Arbeit mit der Konfiguration von Hosts automatisiert und Probleme beseitigt, die bei der Organisation eines sicheren Zugangs zu Cloud-VPCs aufgetreten sind. Firezone kann als Open-Source-Alternative zum OpenVPN Access Server betrachtet werden, die auf WireGuard statt OpenVPN basiert.

Für die Installation werden rpm- und deb-Pakete für verschiedene Versionen von CentOS, Fedora, Ubuntu und Debian angeboten. Die Installation erfordert keine externen Abhängigkeiten, da alle notwendigen Abhängigkeiten bereits über die Chef Omnibus-Tools integriert sind. Es wird lediglich eine Linux-Distribution mit einem Kernel benötigt, der nicht älter als 4.19 ist, sowie ein kompilierter Kernel-Modul. VPN WireGuard. Laut dem Entwickler kann der Start und die Konfiguration eines VPN-Servers innerhalb weniger Minuten erfolgen. Die Komponenten der Web-Oberfläche werden unter einem nicht privilegierten Benutzer ausgeführt und der Zugriff erfolgt ausschließlich über HTTPS.

Für die Einrichtung von Kommunikationskanälen in Firezone wird WireGuard verwendet. Firezone verfügt zudem über integrierte Funktionen einer Firewall, die nftables nutzt. Derzeit ist die Firewall auf Funktionen zur Blockierung des ausgehenden Verkehrs zu bestimmten Hosts oder Subnetzen in internen oder externen Netzwerken beschränkt. Die Verwaltung erfolgt über die Web-Oberfläche oder im Kommandomodus mit dem Tool firezone-ctl. Die Web-Oberfläche basiert auf Admin One Bulma.

Aktuell werden alle Komponenten von Firezone auf einem Server, aber das Projekt wird von Anfang an mit Blick auf Modularität entwickelt, und in Zukunft ist geplant, die Möglichkeit zur Verteilung von Komponenten für das Web-Interface, VPN und Firewall auf verschiedene Hosts hinzuzufügen. In den Plänen wird auch die Integration eines DNS-basierten Werbeblockers erwähnt, Unterstützung von Blocklisten für Hosts und Subnetze, sowie die Möglichkeit zur Authentifizierung über LDAP / SSO und zusätzliche Funktionen zur Benutzerverwaltung.

Quelle: opennet.ru