trailofbits/algoConfigura una VPN personal en la nube.
Algo VPN es un conjunto de scripts de Ansible que simplifican la configuración de una VPN personal con WireGuard e IPsec. Utiliza los valores predeterminados más seguros disponibles y funciona con proveedores de nube comunes.
Consulte nuestro anuncio de lanzamiento para obtener más información.
La forma más sencilla de tener un servidor Algo en funcionamiento es ejecutarlo en su sistema local o desde Google Cloud Shell y dejar que configure una nueva máquina virtual en la nube por usted.
Configure una cuenta en un proveedor de alojamiento en la nube. Algo soporta DigitalOcean (el más fácil de usar), Amazon Lightsail, Amazon EC2, Vultr, Microsoft Azure, Google Compute Engine, Scaleway, DreamCompute, Linode, otros alojamientos en la nube basados en OpenStack, alojamiento en la nube basado en CloudStack, o Hetzner Cloud.
Obtenga una copia de Algo. Los scripts de Algo se ejecutarán desde su sistema local. Hay dos formas de obtener una copia:
Descargue el archivo ZIP. Descomprima el archivo para crear un directorio llamado algo-master que contenga los scripts de Algo.
Use git clone para crear un directorio llamado algo que contenga los scripts de Algo:
git clone https://github.com/trailofbits/algo.git
Configure sus opciones. Abra config.cfg en su editor de texto favorito. Especifique los usuarios que desea crear en la lista users. Cree un usuario único para cada dispositivo que planee conectar a su VPN. También debe revisar las otras opciones antes del despliegue, ya que cambiar de opinión más tarde .
¡Eso es todo! Ahora puede configurar los clientes para conectarse a su VPN. Continúe con Configurar los Clientes VPN a continuación.
"# ¡Felicidades! #"
"# Su servidor Algo está en funcionamiento. #"
"# Los archivos de configuración y certificados están en el directorio ./configs/. #"
"# Vaya a https://whoer.net/ después de conectarse #"
"# y asegúrese de que todo su tráfico pase a través de la VPN. #"
"# Resolutor DNS local 172.16.0.1 #"
"# La contraseña de los archivos p12 y claves SSH para nuevos usuarios es XXXXXXXX #"
"# La contraseña de la clave CA es XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX #"
"# Acceso SSH: ssh -F configs/<server_ip>/ssh_config <hostname> #"
Los certificados y archivos de configuración que los usuarios necesitarán se colocan en el directorio configs. Asegúrese de proteger estos archivos ya que muchos contienen claves privadas. Todos los archivos se guardan en un subdirectorio nombrado con la dirección IP de su nuevo servidor Algo VPN.
Importante para usuarios de IPsec: Si desea agregar o eliminar usuarios más tarde, debe seleccionar yes en el mensaje Do you want to retain the keys (PKI)? durante el despliegue del servidor. Esto preserva la autoridad de certificación necesaria para la gestión de usuarios.
WireGuard se utiliza para proporcionar servicios VPN en dispositivos Apple. Algo genera un archivo de configuración de WireGuard, wireguard/<username>.conf, y un código QR, wireguard/<username>.png, para cada usuario definido en config.cfg.
En iOS, instale la aplicación WireGuard desde la App Store de iOS. Luego, use la aplicación WireGuard para escanear el código QR o enviar el archivo de configuración al dispositivo mediante AirDrop.
En macOS, instale la aplicación WireGuard desde la Mac App Store. WireGuard aparecerá en la barra de menú una vez que ejecute la aplicación. Haga clic en el icono de WireGuard, elija Import tunnel(s) from file..., luego seleccione el archivo de configuración de WireGuard apropiado.
En iOS o macOS, puede habilitar "Connect on Demand" y/o excluir ciertas redes Wi-Fi de confianza (como su hogar o trabajo) editando la configuración del túnel en la aplicación WireGuard. (Algo no puede hacer esto automáticamente por usted).
Si prefiere usar la VPN IPsec integrada en dispositivos Apple, o necesita "Connect on Demand" o redes Wi-Fi excluidas configuradas automáticamente, consulte la guía de configuración del cliente Apple IPsec para obtener instrucciones detalladas.
WireGuard se utiliza para proporcionar servicios VPN en Android. Instale el Cliente VPN WireGuard. Importe el archivo wireguard/<name>.conf correspondiente a su dispositivo y luego configure una nueva conexión con él. Consulte la guía de configuración de Android para obtener instrucciones detalladas de instalación y configuración.
WireGuard se utiliza para proporcionar servicios VPN en Windows. Algo genera un archivo de configuración de WireGuard, wireguard/<username>.conf, para cada usuario definido en config.cfg.
Instale el Cliente VPN WireGuard. Importe el archivo wireguard/<username>.conf generado a su dispositivo y luego configure una nueva conexión con él. Consulte las instrucciones de configuración de Windows para obtener un tutorial más detallado y solución de problemas.
Los clientes Linux pueden usar WireGuard o IPsec:
WireGuard: WireGuard funciona muy bien con clientes Linux. Consulte la guía de configuración de WireGuard para Linux para obtener instrucciones paso a paso sobre cómo configurar WireGuard en Ubuntu y otras distribuciones.
IPsec: Para clientes IPsec strongSwan (incluyendo OpenWrt, Ubuntu Server y otras distribuciones), consulte la guía de configuración de IPsec para Linux para obtener instrucciones detalladas de configuración.
Para enrutadores OpenWrt que usen WireGuard, consulte la guía de configuración de WireGuard para OpenWrt para obtener instrucciones de configuración específicas del enrutador.
Para dispositivos no cubiertos anteriormente o configuración manual, necesitará archivos de certificado y configuración específicos. Los archivos que necesita dependen de la plataforma de su dispositivo y del protocolo VPN (WireGuard o IPsec).
Si activó el rol opcional de túnel SSH, se crearán cuentas de usuario locales para cada usuario en config.cfg, y los archivos de clave autorizada SSH para ellos estarán en el directorio configs (user.pem). Las cuentas de usuario SSH no tienen acceso a shell, no pueden autenticarse con contraseña y solo tienen opciones limitadas de túnel (por ejemplo, se requiere ssh -N). Esto garantiza que los usuarios SSH tengan el mínimo acceso necesario para configurar un túnel y no puedan realizar ninguna otra acción en el servidor Algo.
Use el comando de ejemplo a continuación para iniciar un túnel SSH reemplazando <user> y <ip> por los suyos propios. Una vez configurado el túnel, puede configurar un navegador u otra aplicación para usar 127.0.0.1:1080 como proxy SOCKS para enrutar el tráfico a través del servidor Algo:
ssh -D 127.0.0.1:1080 -f -q -C -N <user>@algo -i configs/<ip>/ssh-tunnel/<user>.pem -F configs/<ip>/ssh_config
Su servidor Algo está configurado para acceso SSH solo con clave con fines administrativos. Abra la aplicación Terminal, cd al directorio algo-master donde descargó originalmente Algo, y luego use el comando que aparece en el mensaje de éxito:
ssh -F configs/<ip>/ssh_config <hostname>
donde <ip> es la dirección IP de su servidor Algo. Si se conecta al servidor con frecuencia, será útil cargar su clave SSH de Algo automáticamente. Agregue el siguiente fragmento al final de ~/.bash_profile para agregarlo permanentemente a su entorno de shell:
ssh-add ~/.ssh/algo > /dev/null 2>&1
Alternativamente, puede optar por incluir la configuración generada para cualquier servidor Algo creado en su configuración SSH. Edite el archivo ~/.ssh/config para incluir esta directiva al principio:
Include <algodirectory>/configs/*/ssh_config
donde <algodirectory> es el directorio donde clonó Algo.
Algo facilita agregar o eliminar usuarios de su servidor VPN después del despliegue inicial.
Para usuarios de IPsec: Debe haber seleccionado yes en el mensaje Do you want to retain the keys (PKI)? durante el despliegue inicial del servidor. Esto preserva la autoridad de certificación necesaria para la gestión de usuarios. También debe guardar las contraseñas de la clave p12 y CA que se muestran durante el despliegue, ya que solo se muestran una vez.
Para agregar o eliminar usuarios, primero edite la lista users en su archivo config.cfg. Agregue nuevos nombres de usuario o elimine los existentes según sea necesario. Luego, navegue al directorio algo en su terminal y ejecute:
macOS/Linux:
./algo update-users
Windows:
.\algo.ps1 update-users
Una vez que el proceso se complete, se generarán nuevos archivos de configuración en el directorio configs para cualquier usuario nuevo. El servidor Algo VPN se actualizará para contener solo los usuarios listados en el archivo config.cfg. Los usuarios eliminados ya no podrán conectarse, y los nuevos usuarios tendrán certificados y archivos de configuración nuevos listos para usar.
Algo adopta un enfoque pragmático hacia la privacidad. Por defecto, minimizamos el registro mientras mantenemos suficiente información para la seguridad y la resolución de problemas.
Lo que SÍ se registra por defecto:
sudo wg - muestra el último endpoint y tiempo de handshake)La privacidad se controla mediante dos configuraciones principales en config.cfg:
strongswan_log_level: -1 - Controla el registro de conexiones de StrongSwan (-1 = desactivado, 2 = depuración)privacy_enhancements_enabled: true - Interruptor principal para rotación de registros, limpieza de historial, filtrado de registros y limpiezaPara habilitar la depuración completa durante la solución de problemas, configure tanto strongswan_log_level: 2 como privacy_enhancements_enabled: false. Esto capturará registros detallados de conexión y desactivará todas las funciones de privacidad. Recuerde revertir estos cambios después de la depuración.
Después del despliegue, verifique su configuración de privacidad:
ssh -F configs/<server_ip>/ssh_config <hostname>
sudo /usr/local/bin/privacy-monitor.sh
La privacidad perfecta es imposible con cualquier solución VPN. Su proveedor de nube ve y registra metadatos de tráfico de red independientemente de la configuración de su servidor. Y, por supuesto, su ISP sabe que se está conectando a un servidor VPN, incluso si no puede ver lo que está haciendo a través de él.
Para el más alto nivel de privacidad, trate sus servidores Algo como desechables. Inicie una nueva instancia cuando la necesite, úsela para su propósito específico y luego destrúyala por completo. La naturaleza efímera de la infraestructura en la nube puede ser una característica de privacidad si la usa intencionalmente.
Si ha leído toda la documentación y tiene más preguntas, cree una nueva discusión.
He estado quejándome del lamentable estado de los servicios VPN durante tanto tiempo, probablemente ya es hora de dar una charla adecuada sobre el tema. Resumen: use Algo.
-- Kenn White
Antes de elegir un proveedor/aplicación de VPN, asegúrese de investigar un poco https://research.csiro.au/ng/wp-content/uploads/sites/106/2016/08/paper-1.pdf ... – o considere Algo
-- The Register
Algo es realmente fácil y seguro.
-- the grugq
Jugué con Algo VPN, un conjunto de scripts que le permiten configurar una VPN en la nube en muy poco tiempo, incluso si no sabe mucho sobre desarrollo. Debo decir que quedé bastante impresionado con el enfoque de Trail of Bits.
-- Romain Dillet para TechCrunch
Si no se siente cómodo pagando a un proveedor de VPN anónimo y aleatorio, esta es la mejor solución.
-- Thorin Klosowski para Lifehacker
Consulte nuestra Guía de Desarrollo para obtener información sobre:
Todas las donaciones apoyan el desarrollo continuo. ¡Gracias!
Algo está licenciado y distribuido bajo AGPLv3. Si desea distribuir una modificación o servicio de código cerrado basado en Algo, considere comprar una excepción. Al igual que con los métodos anteriores, esto ayudará a apoyar el desarrollo continuo.
Inicie el despliegue. Vuelva a su terminal. En el directorio de Algo, ejecute el script apropiado para su plataforma:
macOS/Linux:
./algo
Windows:
.\algo.ps1
La primera vez que ejecute el script, instalará automáticamente el entorno Python requerido (Python 3.11+). En ejecuciones posteriores, se inicia inmediatamente y funciona en todas las plataformas (macOS, Linux, Windows mediante WSL). El script de PowerShell de Windows usa WSL automáticamente cuando es necesario, ya que Ansible requiere un entorno tipo Unix. Hay varias características opcionales disponibles, ninguna de las cuales es necesaria para un servidor VPN completamente funcional. Estas características opcionales se describen en la documentación de despliegue.