In questo articolo Indice dei contenuti 2 sezioni
Pangolin compie un salto importante e diventa anche una VPN full tunnel self hosted basata su WireGuard, capace di instradare l’intero traffico Internet e non soltanto quello diretto verso le risorse private. Con la versione 1.24 il progetto introduce gli Exit Node e affianca loro un Subnet Router per Linux, due novità che cambiano parecchio il modo in cui la piattaforma può essere usata. Fino a ieri lo scopo era consentire l’accesso controllato a servizi e reti private senza esporli direttamente sulla rete pubblica. Ora una rete collegata può trasformarsi in un punto di uscita verso Internet, mentre un sistema Linux può fare da ponte per i dispositivi che non eseguono il client.
Il comportamento naturale di Pangolin era quello di uno split tunnel. Se un computer collegato poteva raggiungere la rete privata 192.168.10.0/24, una connessione verso 192.168.10.20 passava attraverso il tunnel, mentre aprendo un sito pubblico il browser continuava a usare il gateway locale. Con gli Exit Node l’amministratore può modificare questa logica per i client desiderati: basta creare una nuova risorsa privata di questo tipo, associarla a uno o più Site e lasciare che il client la selezioni come uscita.
Come funzionano gli Exit Node di Pangolin
Una volta scelto l’Exit Node, il traffico IPv4 viene instradato attraverso Pangolin e raggiunge Internet sfruttando la connessione del Site remoto. Per i server contattati, l’indirizzo IP pubblico visibile non è più quello della rete su cui si trova fisicamente il notebook o lo smartphone, ma quello del punto di uscita. Torna comodo quando ci si collega da una rete WiFi poco affidabile, oppure quando si vuole far uscire il portatile dalla connessione di casa o dell’ufficio mentre si è altrove. Gli sviluppatori citano anche i servizi disponibili solo in determinate aree geografiche. Per ora IPv6 non viene trasportato, ma il lavoro per supportarlo è già in corso.
Una stessa risorsa può essere associata a più Site, e in quel caso il client sceglie in automatico l’uscita considerando latenza, throughput e disponibilità. Un’organizzazione con gateway a Milano, Francoforte e New York, per esempio, avrebbe tre possibili punti di uscita e il sistema userebbe quello più adatto. L’accesso segue il modello delle altre risorse private, quindi è l’amministratore a decidere quali utenti, ruoli o machine client possono servirsene. Un dispositivo può navigare tramite un Exit Node in Italia e intanto raggiungere il server aziendale attraverso il Site dell’azienda o il NAS domestico tramite quello installato a casa, con rotte specifiche mantenute verso ciascuna risorsa. Attivando l’opzione Exit Node Takes Precedence Over Resources, invece, tutto il traffico passa dall’uscita scelta ignorando le altre rotte e gli alias DNS, con un risultato molto vicino a una VPN tradizionale.
Subnet Router e versioni disponibili
Il Subnet Router risolve il problema opposto. Permette a dispositivi che non eseguono Pangolin di raggiungere le risorse disponibili in rete, pensiamo a stampanti, telecamere IP, apparati IoT o macchine industriali su cui non si può installare nulla. Basta il machine client su un sistema Linux nella stessa LAN, avviato con l’apposita opzione subnet router, perché questo diventi il router della sottorete. Messe insieme, le due funzioni permettono di gestire accesso selettivo alle risorse private, uscita verso Internet tramite un Site remoto e collegamento di intere LAN, con un risultato che somiglia sempre più a un’infrastruttura di overlay networking controllata centralmente.
La Community Edition è la versione self hosted gratuita, distribuita con licenza AGPLv3, e comprende il nucleo necessario per gestire Site, risorse, utenti e collegamenti. Esiste poi una Enterprise Edition self hosted con funzioni aggiuntive, gratuita per uso personale e per organizzazioni con ricavi annui inferiori a circa 85.000 euro previa registrazione e richiesta della chiave di licenza, mentre oltre quella soglia serve una licenza commerciale. C’è infine Pangolin Cloud, dove l’infrastruttura di controllo è gestita dal fornitore.
Per l’installazione servono un server Linux con privilegi root e IP pubblico, preferibilmente Ubuntu 20.04 o successivi oppure Debian 11 e seguenti, più un dominio che punti al server tramite record DNS. Vanno aperte le porte 80/TCP, 443/TCP, 51820/UDP e 21820/UDP, e la procedura automatizzata supporta architetture AMD64 e ARM64. L’installer ufficiale chiede quale edizione installare, il dominio principale, l’hostname della dashboard e l’indirizzo email usato sia per Let’s Encrypt sia per l’accesso amministrativo.
Fonte: TecnoAndroid
