Server

claimward-vpn-server v0.2.0 ist die Steuerungsebene. Er prüft das Bearer-Token, das ein Gerät vorlegt, vergibt VPN-Adressen und programmiert das WireGuard-Gateway mit einem Peer pro registriertem Gerät. Er läuft auf dem Linux-Gateway-Host, neben einem vorhandenen wg0.

Was er bereitstellt

Die API-Anfragen tragen Authorization: Bearer <token>: ein GitHub-Access-Token, ein OIDC-ID-Token oder ein go-authn-Access-Token, je nach AUTH_PROVIDER. Die Nutzdaten sind im Registrierungsprotokoll beschrieben.

Mit TLS_CERT und TLS_KEY verwenden beide Listener TLS. Ohne sie ist die HTTP-API unverschlüsselt (terminieren Sie TLS an einem Proxy), ebenso der RouteService, den die Clients dann ablehnen, außer über Loopback: Geräte verbinden sich, erhalten aber keine Live-Aktualisierungen der Routen.

Konfiguration

Die gesamte Konfiguration erfolgt über die Umgebung.

Authentifizierungsanbieter

Die Authentifizierung ist hinter der Schnittstelle Verifier austauschbar (internal/auth):

• github (Standard): Das Bearer-Token ist ein GitHub-OAuth-Access-Token aus dem Device Flow. Der Server löst es über die GitHub-API auf (/user, /user/orgs) und verlangt mit GITHUB_ALLOWED_ORGS eine aktive Mitgliedschaft in einer dieser Organisationen. Es ist kein Client-Secret beteiligt.
• oidc: Das Bearer-Token ist ein OIDC-ID-Token, geprüft gegen den Issuer mit der Audience OIDC_CLIENT_ID und der optionalen Allowlist der E-Mail-Domains.
• go-authn: Das Bearer-Token ist ein Access-Token (at+jwt) eines go-authn/bridge-Anbieters, und der Schlüssel des Geräts muss dort von derselben Person registriert sein. Der Server liest die signierte Liste der registrierten Schlüssel des Anbieters (go-authn/wireguard) und entfernt aus wg0 einen Schlüssel, den der Anbieter zurückzieht.

Jeden Ablauf von Ende zu Ende finden Sie unter Identitätsanbieter.

Registrierungsregeln

• Ein Schlüssel gehört demjenigen, der ihn registriert hat. Das Registrieren eines Schlüssels, den eine andere Identität hält, wird abgelehnt (409 key_taken): Ein öffentlicher Schlüssel ist öffentlich, und ihn zu übernehmen gäbe die Macht, das Gerät seines Besitzers abzumelden.
• Derselbe Schlüssel, erneut von seinem Besitzer registriert, behält seine Adresse und erhält eine neue Lease.
• Die einzige erlaubte IP des Peers ist das /32 des Geräts, sodass Geräte die Adressen der jeweils anderen nicht verwenden können.
• Der Mandant ist derjenige, den der Aufrufer angefordert hat, sofern er Mitglied ist, oder sein einziger. Siehe Mandanten.

Wie er das Gateway programmiert

Der Server verwendet wgctrl, um Peers auf einer vorhandenen Schnittstelle hinzuzufügen und zu entfernen, und prüft beim Start, dass die Schnittstelle existiert. Die Schnittstelle selbst (ihr privater Schlüssel und Listen-Port) bleibt wg-quick oder systemd-networkd beim Booten überlassen, was die privilegierte Einrichtung der Schnittstelle aus dem dauerhaft laufenden Dienst heraushält.

Lokal ausführen

Mit WG_DRYRUN=true wird kein WireGuard-Gerät angetastet:

export AUTH_PROVIDER=oidc
export OIDC_ISSUER=https://accounts.google.com
export OIDC_CLIENT_ID=xxxx.apps.googleusercontent.com
export WG_ENDPOINT=vpn.example.com:51820
export WG_PRIVATE_KEY=$(wg genkey)
export WG_DRYRUN=true LISTEN_ADDR=:8080

go run ./cmd/claimward-server

task run:dev tut dasselbe mit GitHub-Anmeldung und einem flüchtigen Schlüssel, und task dex startet ein lokales Dex, bei dem man sich anmelden kann (deploy/dev/).