AWS muhitingiz uchun Hailbytes VPN-ni qanday sozlash kerak
Kirish
Ushbu maqolada biz o'z tarmog'ingizda HailBytes VPN-ni, tarmog'ingiz uchun oddiy va xavfsiz VPN va xavfsizlik devorini qanday o'rnatishni ko'rib chiqamiz. Qo'shimcha ma'lumotlar va spetsifikatsiyalarni bizning bog'langan ishlab chiquvchi hujjatlarida topish mumkin Bu yerga.
tayyorgarlik
1. Resurs talablari:
- Masshtabni kengaytirishdan oldin 1 vCPU va 1 GB operativ xotiradan boshlashni tavsiya qilamiz.
- 1 Gb dan kam xotiraga ega serverlarda Omnibus asosidagi joylashtirishlar uchun Linux yadrosi kutilmaganda Firezone jarayonlarini o'chirib tashlamasligi uchun almashtirishni yoqishingiz kerak.
- 1 vCPU VPN uchun 1 Gbps havolasini to'ldirish uchun etarli bo'lishi kerak.
2. DNS yozuvini yarating: Firezone ishlab chiqarishda foydalanish uchun tegishli domen nomini talab qiladi, masalan, firezone.company.com. A, CNAME yoki AAAA yozuvi kabi tegishli DNS yozuvini yaratish talab qilinadi.
3. SSL-ni sozlash: Firezone-ni ishlab chiqarish quvvatida ishlatish uchun sizga tegishli SSL sertifikati kerak bo'ladi. Firezone Docker va Omnibus-ga asoslangan o'rnatishlar uchun SSL sertifikatlarini avtomatik ta'minlash uchun ACME-ni qo'llab-quvvatlaydi.
4. Ochiq xavfsizlik devori portlari: Firezone mos ravishda HTTPS va WireGuard trafigi uchun 51820/udp va 443/tcp portlaridan foydalanadi. Ushbu portlarni keyinroq konfiguratsiya faylida o'zgartirishingiz mumkin.
Docker-da joylashtirish (tavsiya etiladi)
1. Old shartlar:
- Docker-compose 2 yoki undan yuqori versiyasi o‘rnatilgan qo‘llab-quvvatlanadigan platformada ekanligingizga ishonch hosil qiling.
- Xavfsizlik devorida portni yo'naltirish yoqilganligiga ishonch hosil qiling. Standartlar quyidagi portlarning ochiq bo'lishini talab qiladi:
o 80/tcp (ixtiyoriy): SSL sertifikatlarini avtomatik chiqarish
o 443/tcp: Veb interfeysiga kirish
o 51820/udp: VPN trafigini tinglash porti
2. Serverni o'rnatish I varianti: Avtomatik o'rnatish (tavsiya etiladi)
- Run installation script: bash <(curl -fsSL https://github.com/firezone/firezone/raw/master/scripts/install.sh) 1889d1a18e090c-0ec2bae288f1e2-26031d51-144000-1889d1a18e11c6c
- Namuna docker-compose.yml faylini yuklab olishdan oldin u sizga dastlabki konfiguratsiyaga oid bir nechta savollarni beradi. Siz uni javoblaringiz bilan sozlashni va Web UI ga kirish bo'yicha ko'rsatmalarni chop etishni xohlaysiz.
- Firezone standart manzili: $HOME/.firezon.
2. Serverni o'rnatish Variant II: qo'lda o'rnatish
- Docker compose shablonini mahalliy ishchi katalogga yuklab oling
– Linux: curl -fsSL https://raw.githubusercontent.com/firezone/firezone/master/docker-compose.prod.yml -o docker-compose.yml
– macOS yoki Windows: curl -fsSL https://raw.githubusercontent.com/firezone/firezone/master/docker-compose.desktop.yml -o docker-compose.yml
- Kerakli sirlarni yarating: docker run –rm firezone/firezon bin/gen-env > .env
- DEFAULT_ADMIN_EMAIL va EXTERNAL_URL o‘zgaruvchilarni o‘zgartiring. Agar kerak bo'lsa, boshqa sirlarni o'zgartiring.
- Ma'lumotlar bazasini ko'chiring: docker compose run –rm firezone bin/migrate
- Administrator hisobini yarating: docker compose run –rm firezone bin/create-or-reset-admin
- Xizmatlarni ko'rsating: docker compose up -d
- Siz Firezome UI ga yuqorida belgilangan EXTERNAL_URL o‘zgaruvchisi orqali kirishingiz kerak.
3. Yuklashda yoqish (ixtiyoriy):
- Ishga tushganda Docker yoqilganligiga ishonch hosil qiling: sudo systemctl enable docker
- Firezone xizmatlari qayta ishga tushirilishi kerak: har doim yoki qayta ishga tushirish: agar docker-compose.yml faylida ko'rsatilmagan bo'lsa, to'xtatilgan variant.
4. IPv6 umumiy marshrutini yoqish (ixtiyoriy):
- IPv6 NAT ni yoqish va Docker konteynerlari uchun IPv6 yo‘naltirishni sozlash uchun /etc/docker/daemon.json ga quyidagilarni qo‘shing.
- Birlamchi chiqish interfeysi uchun yuklashda router bildirishnomalarini yoqing: egress=`ip route show default 0.0.0.0/0 | grep -oP '(?<=dev ).*' | kesish -f1 -d' ' | tr -d '\n'` sudo bash -c “echo net.ipv6.conf.${egress}.accept_ra=2 >> /etc/sysctl.conf”
- Docker konteyneri ichidan Google-ga ping yuborish orqali qayta ishga tushiring va sinab ko'ring: docker run –rm -t busybox ping6 -c 4 google.com
- Tunnelli trafik uchun IPv6 SNAT/maskaradni yoqish uchun hech qanday iptables qoidalarini qo'shish shart emas. Buni Firezone hal qiladi.
5. Mijoz ilovalarini o'rnating
Endi siz foydalanuvchilarni tarmog'ingizga qo'shishingiz va VPN seansini o'rnatish bo'yicha ko'rsatmalarni sozlashingiz mumkin.
Sozlashdan keyin
Tabriklaymiz, sozlashni tugatdingiz! Qoʻshimcha konfiguratsiyalar, xavfsizlik masalalari va qoʻshimcha funksiyalar uchun ishlab chiquvchi hujjatlarini tekshirishni xohlashingiz mumkin: https://www.firezone.dev/docs/
