Servidor

claimward-vpn-server v0.2.0 es el plano de control. Verifica el bearer que presenta un dispositivo, asigna direcciones VPN y programa la pasarela WireGuard con un par por cada dispositivo registrado. Se ejecuta en el host Linux de la pasarela, junto a un wg0 existente.

Lo que sirve

Las solicitudes a la API llevan Authorization: Bearer <token>: un token de acceso de GitHub, un ID token OIDC o un token de acceso de go-authn, según AUTH_PROVIDER. Consulte el protocolo de registro para los contenidos de las solicitudes.

Con TLS_CERT y TLS_KEY, ambos listeners usan TLS. Sin ellos, la API HTTP va en claro (termine TLS en un proxy), y también el RouteService, que los clientes entonces rechazan salvo en loopback: los dispositivos se conectan, pero no reciben actualizaciones de rutas en vivo.

Configuración

Toda la configuración está en el entorno.

Proveedores de autenticación

La autenticación es intercambiable detrás de la interfaz Verifier (internal/auth):

• github (predeterminado): el bearer es un token de acceso OAuth de GitHub obtenido con el flujo de dispositivo. El servidor lo resuelve mediante la API de GitHub (/user, /user/orgs) y, con GITHUB_ALLOWED_ORGS, exige una pertenencia activa a una de esas organizaciones. No interviene ningún client secret.
• oidc: el bearer es un ID token OIDC, verificado contra el emisor con la audiencia OIDC_CLIENT_ID y la lista opcional de dominios de correo permitidos.
• go-authn: el bearer es un token de acceso (at+jwt) de un proveedor go-authn/bridge, y la clave del dispositivo debe haber sido registrada allí por la misma persona. El servidor lee la lista firmada de claves registradas del proveedor (go-authn/wireguard) y retira de wg0 una clave que el proveedor revoca.

Consulte Proveedores de identidad para cada flujo de principio a fin.

Reglas de registro

• Una clave pertenece a quien la registró. Se rechaza registrar una clave que posee otra identidad (409 key_taken): una clave pública es pública, y apropiarse de una daría el poder de dar de baja el dispositivo de su propietario.
• La misma clave registrada de nuevo por su propietario conserva su dirección y obtiene una nueva concesión.
• La única IP permitida del par es la /32 del dispositivo, de modo que los dispositivos no pueden usar las direcciones de otros.
• El inquilino es el que pidió quien llama, si es miembro, o su único inquilino. Consulte Inquilinos.

Cómo programa la pasarela

El servidor usa wgctrl para añadir y eliminar pares en una interfaz existente, y comprueba al arrancar que la interfaz existe. La propia interfaz (su clave privada y su puerto de escucha) se deja a wg-quick o a systemd-networkd en el arranque, lo que mantiene la configuración de la interfaz con privilegios fuera del servicio de larga duración.

Ejecución en local

Con WG_DRYRUN=true no se toca ningún dispositivo WireGuard:

export AUTH_PROVIDER=oidc
export OIDC_ISSUER=https://accounts.google.com
export OIDC_CLIENT_ID=xxxx.apps.googleusercontent.com
export WG_ENDPOINT=vpn.example.com:51820
export WG_PRIVATE_KEY=$(wg genkey)
export WG_DRYRUN=true LISTEN_ADDR=:8080

go run ./cmd/claimward-server

task run:dev hace lo mismo con inicio de sesión de GitHub y una clave efímera, y task dex ejecuta un Dex local contra el que iniciar sesión (deploy/dev/).