Il progetto Firezone sviluppa un server VPN per consentire l'accesso agli host all'interno di una rete isolata da parte di dispositivi degli utenti situati in reti esterne. Il progetto mira a raggiungere un elevato livello di protezione e a semplificare il processo di implementazione della VPN. Il codice del progetto è scritto nei linguaggi Elixir e Ruby e viene distribuito sotto licenza Apache 2.0.
Il progetto è sviluppato da un ingegnere della sicurezza automatizzata di Cisco, che ha cercato di creare una soluzione per automatizzare la gestione della configurazione degli host e prevenire i problemi riscontrati nell'organizzazione dell'accesso sicuro a VPC cloud. Firezone può essere considerato un'alternativa open source al OpenVPN Access Server, costruita su WireGuard invece che su OpenVPN.
Per l'installazione sono disponibili pacchetti rpm e deb per diverse versioni di CentOS, Fedora, Ubuntu e Debian, la cui installazione non richiede dipendenze esterne, poiché tutte le dipendenze necessarie sono già incluse tramite lo strumento Chef Omnibus. È necessario solo un sistema operativo con un kernel Linux non inferiore alla versione 4.19 e un modulo del kernel compilato con VPN WireGuard. Secondo l'autore, l'avvio e la configurazione di un server VPN possono essere completati in pochi minuti. I componenti dell'interfaccia web vengono eseguiti sotto un utente non privilegiato e l'accesso è possibile solo tramite HTTPS.
WireGuard è utilizzato per l'organizzazione dei canali di comunicazione in Firezone. Firezone include anche funzionalità di firewall che utilizzano nftables. Attualmente, il firewall è limitato a strumenti per bloccare il traffico in uscita verso determinati host o sottoreti in reti interne o esterne. La gestione avviene tramite l'interfaccia web o in modalità da riga di comando utilizzando l'utility firezone-ctl. L'interfaccia web è costruita sulla base di Admin One Bulma.
Attualmente, tutti i componenti di Firezone vengono eseguiti su un unico server, ma il progetto è inizialmente sviluppato tenendo conto della modularità e in futuro è prevista l'aggiunta della possibilità di distribuire i componenti per interfaccia web, VPN e firewall su diversi host. I piani includono anche l'integrazione di un blocco pubblicitario a livello DNS, supporto per liste di blocco di host e sottoreti, autenticazione tramite LDAP / SSO e ulteriori funzionalità di gestione degli utenti.
Fonte: opennet.ru
