Хакеры и DevOps ликуют! В сети всплыл Pangolin — open source альтернатива Cloudflare Tunnels. 🔓 Больше не нужны заморочки с VPN для доступа к локальным сервисам. Просто поднимаешь туннель — и твой внутренний сервис уже в сети безопасно и без лишних затрат. 💸 Автор пишет, что это ответ на ценники и ограничения проприетарных решений. Уже доступно на GitHub — можно кастомизировать под свои нужды. 👨‍💻 Для тех, кто устал платить за воздух и любит контроль над инфраструктурой. Проверьте, если ковыряетесь в сетях или Kubernetes! 🛠️ #DevOps #Cloud #OpenSource

Pangolin: Self-Hosted Zero Trust Туннелирование для Корпоративных Сред

Executive Technical Summary

Pangolin представляет собой инновационное open source решение класса tunneled reverse proxy, созданное как полнофункциональная альтернатива Cloudflare Tunnels. Система обеспечивает безопасное взаимодействие с распределенными ресурсами через зашифрованные WireGuard-туннели без необходимости открытия портов (firewall punching). Принципиальное отличие — полный контроль над инфраструктурой и расширенная система RBAC-аутентификации с поддержкой OAuth2/OIDC. Проект демонстрирует уникальное сочетание производительности пользовательского клиента Newt, модульности на базе Traefik и готовности к enterprise-внедрению через Docker Compose.

Архитектурный Deep Dive

Core Components

• Туннелирование на базе WireGuard: Использование пользовательского клиента Newt для преодоления NAT/firewall с агрегацией трафика
• Динамическое проксирование: Поддержка HTTP/HTTPS и raw TCP/UDP поверх TLS-туннелей
• Автоматизация сертификатов: Интеграция с Let’s Encrypt для lifecycle-управления SSL

# Пример конфигурации туннеля в Newt
[Interface]
PrivateKey = PRIVATE_KEY
Address = 10.8.0.2/24

[Peer]
PublicKey = SERVER_PUBKEY
Endpoint = pangolin.example.com:51820
AllowedIPs = 10.8.0.0/24
PersistentKeepalive = 25

Модульность

Архитектура позволяет подключать плагины Traefik (CrowdSec для защиты от атак, Geoblock для фильтрации по геолокации) через единый API. Система поддерживает неограниченное количество сайтов в рамках единого хаба.

Identity & Access Management

Гибкая аутентификация

• Ролевая модель (RBAC) с гранулярными правилами доступа по IP/CIDR/URL
• Мультифакторная аутентификация: TOTP + резервные коды
• Поддержка OAuth2/OIDC провайдеров: Keycloak, Okta, Authentik

Security Patterns

# Пример ACL-правила в YAML
- resource: "db-admin"
  rules:
    - path: "/admin/*"
      allowed_roles: ["superadmin"]
      ip_ranges: ["192.168.10.0/24"]
      auth_methods: ["oidc", "totp"]

Производительность и Сравнительный Анализ

* На инстансе c 2 vCPU, Ubuntu 22.04

Реальные Кейсы Внедрения

Домашняя лаборатория с ограниченным ISP

При ограничениях на порты со стороны провайдера: развертывание Pangolin на VPS ($12/год) с подключением хостов через Newt позволяет безопасно публиковать HTTP/S-сервисы без конфигурации роутера.

Гибридная корпоративная инфраструктура

Интеграция с корпоративным Keycloak обеспечивает единый вход для доступа к ресурсам в частных облаках и локальных DC через централизованный портал с аудитом доступа.

Распределенные IoT-сети

Объединение устройств в единый security perimeter через автоматизированное развертывание Newt с политиками доступа на уровне устройств/групп.

Технические Ограничения и Roadmap

• Текущие ограничения: Нет встроенного WAF (требует CrowdSec), квота на одновременных пользователей
• Roadmap: Kubernetes Operator, QUIC-транспорт, GUI для ACL-правил
• Лицензия: AGPLv3/Fossorial Commercial с API для enterprise-интеграций

Экспертные Рекомендации

Pangolin демонстрирует зрелость для high-trust окружений благодаря сочетанию WireGuard и модульной архитектуры. Для внедрения:

1. Начинайте с Docker Compose на VPS (2 vCPU/4GB RAM)
2. Интегрируйте OIDC-провайдер на этапе onboarding
3. Используйте Newt для edge-устройств вместо стандартного WireGuard

Решение переопределяет парадигму secure access для распределенных сред, предлагая enterprise-функции в community-реализации.