Il progetto Firezone sviluppa un server VPN per organizzare l'accesso agli host in una rete isolata interna da dispositivi degli utenti situati in reti esterne. Il progetto è mirato a raggiungere un alto livello di protezione e semplificare il processo di distribuzione della VPN. Il codice del progetto è scritto nei linguaggi Elixir e Ruby e viene distribuito sotto licenza Apache 2.0.
Il progetto è sviluppato da un ingegnere dell'automazione della sicurezza della Cisco, che ha tentato di creare una soluzione che automatizzi il lavoro con la configurazione degli host ed escluda l'emergere di problemi che si sono presentati nell'organizzazione dell'accesso sicuro a VPC cloud. Firezone può essere considerato un'alternativa open source al OpenVPN Access Server, costruito sopra WireGuard invece di OpenVPN.
Per l'installazione sono disponibili pacchetti rpm e deb per diverse versioni di CentOS, Fedora, Ubuntu e Debian, la cui installazione non richiede dipendenze esterne, poiché tutte le dipendenze necessarie sono già incluse tramite lo strumento Chef Omnibus. Per funzionare è richiesto solo un distributore con un kernel Linux non inferiore alla versione 4.19 e un modulo del kernel compilato con VPN WireGuard. Secondo quanto dichiarato dall'autore, l'avvio e la configurazione del server VPN possono essere effettuati in pochi minuti. I componenti dell'interfaccia web vengono eseguiti sotto un utente non privilegiato e l'accesso è possibile solo tramite HTTPS.
Per organizzare i canali di comunicazione in Firezone si utilizza WireGuard. Firezone dispone anche di funzioni di firewall, che utilizza nftables. Nella sua attuale incarnazione, il firewall è limitato agli strumenti per bloccare il traffico in uscita verso determinati host o sotto-reti in reti interne o esterne. La gestione avviene tramite l'interfaccia web o in modalità riga di comando utilizzando lo strumento firezone-ctl. L'interfaccia web è costruita sulla base di Admin One Bulma.
Attualmente, tutti i componenti di Firezone vengono eseguiti su un singolo server, ma il progetto è inizialmente sviluppato con uno sguardo alla modularità e in futuro si prevede di aggiungere la possibilità di distribuire i componenti per l'interfaccia web, la VPN e il firewall su host diversi. I piani includono anche l'integrazione di un blocco pubblicitario che funziona a livello DNS, il supporto per elenchi di blocco di host e sotto-reti, la possibilità di autenticazione tramite LDAP / SSO e ulteriori funzionalità per la gestione degli utenti.
Fonte: opennet.ru
