So richten Sie Hailbytes VPN für Ihre AWS-Umgebung ein
Einleitung
In diesem Artikel erfahren Sie, wie Sie HailBytes VPN in Ihrem Netzwerk einrichten, ein einfaches und sicheres VPN und eine Firewall für Ihr Netzwerk. Weitere Details und spezifische Spezifikationen finden Sie in unserer verlinkten Entwicklerdokumentation hier.
Vorbereitung
1. Ressourcenanforderungen:
- Wir empfehlen, vor der Skalierung mit 1 vCPU und 1 GB RAM zu beginnen.
- Bei Omnibus-basierten Bereitstellungen auf Servern mit weniger als 1 GB Arbeitsspeicher sollten Sie Swap aktivieren, um zu verhindern, dass der Linux-Kernel Firezone-Prozesse unerwartet beendet.
- 1 vCPU sollte ausreichen, um eine 1-Gbit/s-Verbindung für das VPN auszulasten.
2. DNS-Eintrag erstellen: Firezone benötigt für die Produktionsnutzung einen richtigen Domänennamen, z. B. firezone.company.com. Es ist erforderlich, einen entsprechenden DNS-Eintrag wie einen A-, CNAME- oder AAAA-Eintrag zu erstellen.
3. SSL einrichten: Sie benötigen ein gültiges SSL-Zertifikat, um Firezone im Produktionsbetrieb nutzen zu können. Firezone unterstützt ACME für die automatische Bereitstellung von SSL-Zertifikaten für Docker- und Omnibus-basierte Installationen.
4. Offene Firewall-Ports: Firezone verwendet die Ports 51820/udp und 443/tcp für HTTPS- bzw. WireGuard-Verkehr. Sie können diese Ports später in der Konfigurationsdatei ändern.
Auf Docker bereitstellen (empfohlen)
1. Voraussetzungen:
- Stellen Sie sicher, dass Sie sich auf einer unterstützten Plattform befinden und Docker-Compose Version 2 oder höher installiert ist.
- Stellen Sie sicher, dass die Portweiterleitung in der Firewall aktiviert ist. Standardmäßig müssen die folgenden Ports geöffnet sein:
o 80/tcp (optional): Automatische Ausstellung von SSL-Zertifikaten
o 443/tcp: Greifen Sie auf die Web-Benutzeroberfläche zu
o 51820/udp: VPN-Datenverkehr-Abhörport
2. Server installieren Option I: Automatische Installation (empfohlen)
- Run installation script: bash <(curl -fsSL https://github.com/firezone/firezone/raw/master/scripts/install.sh) 1889d1a18e090c-0ec2bae288f1e2-26031d51-144000-1889d1a18e11c6c
- Es werden Ihnen einige Fragen zur Erstkonfiguration gestellt, bevor Sie eine Beispieldatei „docker-compose.yml“ herunterladen. Sie möchten es mit Ihren Antworten konfigurieren und Anweisungen für den Zugriff auf die Web-Benutzeroberfläche ausdrucken.
- Firezone-Standardadresse: $HOME/.firezone.
2. Server installieren Option II: Manuelle Installation
- Laden Sie die Docker-Compose-Vorlage in ein lokales Arbeitsverzeichnis herunter
– Linux: curl -fsSL https://raw.githubusercontent.com/firezone/firezone/master/docker-compose.prod.yml -o docker-compose.yml
– macOS oder Windows: curl -fsSL https://raw.githubusercontent.com/firezone/firezone/master/docker-compose.desktop.yml -o docker-compose.yml
- Erforderliche Geheimnisse generieren: docker run –rm firezone/firezone bin/gen-env > .env
- Ändern Sie die Variablen DEFAULT_ADMIN_EMAIL und EXTERNAL_URL. Ändern Sie andere Geheimnisse nach Bedarf.
- Migrieren Sie die Datenbank: Docker Compose Run –rm Firezone Bin/Migrate
- Erstellen Sie ein Administratorkonto: docker compose run –rm firezone bin/create-or-reset-admin
- Rufen Sie die Dienste auf: Docker Compose Up -d
- Sie sollten über die oben definierte Variable EXTERNAL_URL auf die Firezome-Benutzeroberfläche zugreifen können.
3. Beim Booten aktivieren (optional):
- Stellen Sie sicher, dass Docker beim Start aktiviert ist: sudo systemctl enable docker
- Für Firezone-Dienste sollte in der Datei „docker-compose.yml“ die Option „restart: Always“ oder „restart: unlimited“ angegeben sein.
4. Aktivieren Sie die öffentliche IPv6-Routbarkeit (optional):
- Fügen Sie Folgendes zu /etc/docker/daemon.json hinzu, um IPv6-NAT zu aktivieren und die IPv6-Weiterleitung für Docker-Container zu konfigurieren.
- Aktivieren Sie Router-Benachrichtigungen beim Booten für Ihre Standard-Ausgangsschnittstelle: egress=`ip route show default 0.0.0.0/0 | grep -oP '(?<=dev ).*' | schneiden -f1 -d' ' | tr -d '\n'` sudo bash -c „echo net.ipv6.conf.${egress}.accept_ra=2 >> /etc/sysctl.conf“
- Starten Sie neu und testen Sie, indem Sie vom Docker-Container aus einen Ping an Google senden: docker run –rm -t busybox ping6 -c 4 google.com
- Es müssen keine iptables-Regeln hinzugefügt werden, um IPv6 SNAT/Masquerading für getunnelten Datenverkehr zu aktivieren. Firezone wird sich darum kümmern.
5. Installieren Sie Client-Apps
Sie können jetzt Benutzer zu Ihrem Netzwerk hinzufügen und Anweisungen zum Aufbau einer VPN-Sitzung konfigurieren.
Post-Setup
Herzlichen Glückwunsch, Sie haben die Einrichtung abgeschlossen! Weitere Konfigurationen, Sicherheitsüberlegungen und erweiterte Funktionen finden Sie in unserer Entwicklerdokumentation: https://www.firezone.dev/docs/
