Serveur

claimward-vpn-server v0.2.0 est le plan de contrôle. Il vérifie le jeton porteur (bearer) que présente un appareil, attribue les adresses VPN, et programme la passerelle WireGuard avec un pair par appareil enrôlé. Il s’exécute sur l’hôte de passerelle Linux, à côté d’un wg0 existant.

Ce qu’il sert

Les requêtes de l’API portent Authorization: Bearer <token> : un jeton d’accès GitHub, un jeton d’identité (ID token) OIDC, ou un jeton d’accès go-authn, selon AUTH_PROVIDER. Voir le protocole d’enrôlement pour le contenu des messages.

Avec TLS_CERT et TLS_KEY, les deux écoutes utilisent TLS. Sans eux, l’API HTTP est en clair (terminez TLS sur un proxy), tout comme le RouteService, que les clients refusent alors sauf en boucle locale : les appareils se connectent, mais ne reçoivent pas de mises à jour de routes en direct.

Configuration

Toute la configuration se fait par l’environnement.

Fournisseurs d’authentification

L’authentification est modulaire, derrière l’interface Verifier (internal/auth) :

• github (par défaut) : le jeton porteur est un jeton d’accès OAuth GitHub issu du flux d’appareil (device flow). Le serveur le résout via l’API GitHub (/user, /user/orgs) et, avec GITHUB_ALLOWED_ORGS, exige l’appartenance active à l’une de ces organisations. Aucun secret client n’intervient.
• oidc : le jeton porteur est un jeton d’identité OIDC, vérifié auprès de l’émetteur avec l’audience OIDC_CLIENT_ID et la liste facultative des domaines de messagerie autorisés.
• go-authn : le jeton porteur est un jeton d’accès (at+jwt) émis par un fournisseur go-authn/bridge, et la clé de l’appareil doit y avoir été enregistrée par la même personne. Le serveur lit la liste signée des clés enregistrées du fournisseur (go-authn/wireguard) et retire de wg0 une clé que le fournisseur reprend.

Voir Fournisseurs d’identité pour chaque flux de bout en bout.

Règles d’enrôlement

• Une clé appartient à celui qui l’a enrôlée. Enrôler une clé que détient une autre identité est refusé (409 key_taken) : une clé publique est publique, et s’en emparer donnerait le pouvoir de désinscrire l’appareil de son propriétaire.
• La même clé enrôlée de nouveau par son propriétaire conserve son adresse et obtient un nouveau bail.
• La seule IP autorisée du pair est le /32 de l’appareil, de sorte que les appareils ne peuvent pas utiliser les adresses les uns des autres.
• Le locataire est celui que l’appelant a demandé, s’il en est membre, ou son unique locataire. Voir Locataires.

Comment il programme la passerelle

Le serveur utilise wgctrl pour ajouter et retirer des pairs sur une interface existante, et vérifie au démarrage que l’interface existe. L’interface elle-même (sa clé privée et son port d’écoute) est laissée à wg-quick ou à systemd-networkd au démarrage, ce qui tient la configuration privilégiée de l’interface hors du service de longue durée.

Exécuter en local

Avec WG_DRYRUN=true, aucun périphérique WireGuard n’est touché :

export AUTH_PROVIDER=oidc
export OIDC_ISSUER=https://accounts.google.com
export OIDC_CLIENT_ID=xxxx.apps.googleusercontent.com
export WG_ENDPOINT=vpn.example.com:51820
export WG_PRIVATE_KEY=$(wg genkey)
export WG_DRYRUN=true LISTEN_ADDR=:8080

go run ./cmd/claimward-server

task run:dev fait de même avec la connexion GitHub et une clé éphémère, et task dex lance un Dex local auprès duquel se connecter (deploy/dev/).