Cách thiết lập Hailbytes VPN cho môi trường AWS của bạn
Giới thiệu
Trong bài viết này, chúng tôi sẽ giới thiệu cách thiết lập HailBytes VPN trên mạng của bạn, một VPN và tường lửa đơn giản và an toàn cho mạng của bạn. Bạn có thể tìm thêm thông tin chi tiết và thông số kỹ thuật cụ thể trong tài liệu dành cho nhà phát triển của chúng tôi được liên kết tại đây.
Chuẩn bị
1. Yêu cầu về nguồn lực:
- Chúng tôi khuyên bạn nên bắt đầu với 1 vCPU và 1 GB RAM trước khi mở rộng quy mô.
- Đối với các triển khai dựa trên Omnibus trên các máy chủ có bộ nhớ dưới 1 GB, bạn nên bật trao đổi để tránh nhân Linux giết chết các quy trình Firezone một cách bất ngờ.
- 1 vCPU phải đủ để bão hòa liên kết 1 Gbps cho VPN.
2. Tạo bản ghi DNS: Firezone yêu cầu một tên miền thích hợp để sử dụng sản xuất, ví dụ: firezone.company.com. Việc tạo bản ghi DNS thích hợp như bản ghi A, CNAME hoặc AAAA sẽ được yêu cầu.
3. Thiết lập SSL: Bạn sẽ cần chứng chỉ SSL hợp lệ để sử dụng Firezone trong khả năng sản xuất. Firezone hỗ trợ ACME để tự động cung cấp chứng chỉ SSL cho các bản cài đặt dựa trên Docker và Omnibus.
4. Mở các cổng tường lửa: Firezone sử dụng các cổng 51820/udp và 443/tcp cho lưu lượng HTTPS và WireGuard tương ứng. Bạn có thể thay đổi các cổng này sau trong tệp cấu hình.
Triển khai trên Docker (Được khuyến nghị)
1. Điều kiện tiên quyết:
- Đảm bảo rằng bạn đang sử dụng nền tảng được hỗ trợ đã cài đặt docker-compose phiên bản 2 trở lên.
- Đảm bảo chuyển tiếp cổng được bật trên tường lửa. Mặc định yêu cầu mở các cổng sau:
o 80/tcp (tùy chọn): Tự động cấp chứng chỉ SSL
o 443/tcp: Truy cập giao diện web
o 51820/udp: Cổng lắng nghe lưu lượng VPN
2. Cài đặt máy chủ Tùy chọn I: Cài đặt tự động (Được khuyến nghị)
- Run installation script: bash <(curl -fsSL https://github.com/firezone/firezone/raw/master/scripts/install.sh) 1889d1a18e090c-0ec2bae288f1e2-26031d51-144000-1889d1a18e11c6c
- Nó sẽ hỏi bạn một số câu hỏi liên quan đến cấu hình ban đầu trước khi tải xuống tệp docker-compose.yml mẫu. Bạn sẽ muốn định cấu hình nó bằng phản hồi của mình và in hướng dẫn để truy cập Giao diện người dùng web.
- Địa chỉ mặc định của Firezone: $HOME/.firezone.
2. Cài đặt máy chủ Tùy chọn II: Cài đặt thủ công
- Tải xuống mẫu soạn thảo docker vào một thư mục làm việc cục bộ
– Linux: Curl -fsSL https://raw.githubusercontent.com/firezone/firezone/master/docker-compose.prod.yml -o docker-compose.yml
– macOS hoặc Windows: curl -fsSL https://raw.githubusercontent.com/firezone/firezone/master/docker-compose.desktop.yml -o docker-compose.yml
- Tạo bí mật bắt buộc: docker run –rm firezone/firezone bin/gen-env > .env
- Thay đổi các biến DEFAULT_ADMIN_EMAIL và EXTERNAL_URL. Sửa đổi các bí mật khác khi cần thiết.
- Di chuyển cơ sở dữ liệu: docker soạn run –rm firezone bin/migrate
- Tạo một tài khoản quản trị: docker soạn run –rm firezone bin/create-or-reset-admin
- Mang các dịch vụ lên: docker soạn lên -d
- Bạn sẽ có thể truy cập giao diện người dùng Firezome thông qua biến EXTERNAL_URL được xác định ở trên.
3. Kích hoạt khi khởi động (tùy chọn):
- Đảm bảo Docker được bật khi khởi động: sudo systemctl enable docker
- Các dịch vụ Firezone phải có tùy chọn khởi động lại: luôn luôn hoặc khởi động lại: trừ khi dừng được chỉ định trong tệp docker-compose.yml.
4. Bật khả năng định tuyến công cộng IPv6 (tùy chọn):
- Thêm phần sau vào /etc/docker/daemon.json để bật IPv6 NAT và định cấu hình chuyển tiếp IPv6 cho bộ chứa Docker.
- Bật thông báo bộ định tuyến khi khởi động cho giao diện đầu ra mặc định của bạn: egress=`ip route show default 0.0.0.0/0 | grep -oP '(?<=dev ).*' | cắt -f1 -d' ' | tr -d '\n'` sudo bash -c “echo net.ipv6.conf.${egress}.accept_ra=2 >> /etc/sysctl.conf”
- Khởi động lại và kiểm tra bằng cách ping tới Google từ bên trong bộ chứa docker: docker run –rm -t busybox ping6 -c 4 google.com
- Không cần thêm bất kỳ quy tắc iptables nào để bật IPv6 SNAT/giả mạo cho lưu lượng truy cập đường hầm. Firezone sẽ xử lý việc này.
5. Cài đặt ứng dụng khách
Giờ đây, bạn có thể thêm người dùng vào mạng của mình và định cấu hình hướng dẫn để thiết lập phiên VPN.
Đăng thiết lập
Xin chúc mừng, bạn đã hoàn thành thiết lập! Bạn có thể muốn kiểm tra tài liệu dành cho nhà phát triển của chúng tôi để biết các cấu hình bổ sung, cân nhắc bảo mật và các tính năng nâng cao: https://www.firezone.dev/docs/
