Централізована автентифікація для WireGuard: LDAP та RADIUS
Управління доступом до корпоративного VPN без централізованої автентифікації — це ручне додавання ключів для кожного співробітника, помилки при офбордингу та відсутність аудиту. У компаніях з 50+ користувачами такі підходи призводять до втрат часу та прогалин у безпеці. Наприклад, типова затримка при звільненні — 2–3 дні, поки ключ не відключать. За рік із 10 звільненими це 300 годин неавторизованого доступу. Автоматизація через LDAP або RADIUS усуває ці ризики.
Ми пропонуємо інтеграцію WireGuard з LDAP або RADIUS. Це знижує адміністративне навантаження на 70% та виключає людські помилки. Окупність настає через 3–6 місяців за рахунок економії на адмініструванні. Зв'яжіться з нами для аудиту вашої інфраструктури та розрахунку точної вартості.
Як інтегрувати WireGuard з LDAP?
Чистої нативної інтеграції WireGuard з LDAP не існує. Протокол працює на рівні L3 і не знає про автентифікацію користувачів. Тому використовуємо один із двох підходів.
Підхід 1: wg-portal — веб-інтерфейс для управління WireGuard з підтримкою LDAP-автентифікації. Користувачі логіняться через корпоративний каталог, самостійно завантажують конфіг клієнта. Адміністратор керує доступами через UI. Конфігурація LDAP в config.yml:
Приклад конфігурації wg-portal з LDAP
---
ldap:
enabled: true
url: "ldaps://dc01.corp.example.com:636"
base_dn: "DC=corp,DC=example,DC=com"
bind_user: "CN=vpn-bind,OU=ServiceAccounts,DC=corp,DC=example,DC=com"
bind_password: "${LDAP_BIND_PASSWORD}"
user_filter: "(&(objectClass=user)(memberOf=CN=VPN-Users,OU=Groups,DC=corp,DC=example,DC=com))"
user_id_attribute: sAMAccountName
user_mail_attribute: mail
sync_interval: 300
tls_ca_cert: /etc/ssl/certs/internal-ca.crt
---
Група VPN-Users в AD контролює доступ: додали користувача до групи — він отримує доступ до порталу. Прибрали — при наступній синхронізації (кожні 5 хвилин за sync_interval) його peer деактивується. Підтримує до 500 користувачів без втрати продуктивності.
Підхід 2: RADIUS — для компаній, де вже використовується RADIUS (Cisco ISE, FreeRADIUS, NPS). Налаштовується автентифікація через wg-easy з RADIUS-бекендом або власний скрипт на базі pyrad. Це органічно вписується в існуючу інфраструктуру безпеки. Порівняння:
| Критерій | wg-portal | RADIUS |
|---|---|---|
| Простота налаштування | Висока | Середня |
| Аудит підключень | Через портал | Через RADIUS-логи |
| Підтримка PKI | Ні | Так (при налаштуванні) |
| Складність підтримки | Низька | Середня |
Переваги wg-portal перед RADIUS
wg-portal краще підходить для більшості середніх і великих компаній. Він надає готовий інтерфейс для самообслуговування користувачів і скорочує час IT-відділу на керування VPN-доступами в 3–5 разів. На відміну від RADIUS-схеми, не вимагає додаткової інфраструктури та легко масштабується. Зниження загальної вартості володіння (TCO) досягає 50% за рахунок автоматизації.
Як налаштувати split tunneling для корпоративних мереж?
У конфігу клієнта вкажіть тільки потрібні підмережі в AllowedIPs, наприклад 10.0.0.0/8, 172.16.0.0/12. Тоді трафік в інтернет йде напряму, а через VPN — тільки внутрішні адреси. Це знижує навантаження на сервер і покращує швидкість. При інтеграції з LDAP портал автоматично генерує коректний конфіг для кожного користувача.
Автоматична ротація ключів за розкладом
Ротація ключів — слабке місце будь-якої WireGuard-інсталяції. WireGuard documentation рекомендує міняти ключі кожні 90 днів. При використанні wg-portal ротація відбувається через UI з автоматичною розсилкою нового конфігу. При ручному керуванні потрібен процес: календарний нагадувач, скрипт оновлення, процедура розподілу. Ми гарантуємо, що наші рішення включають автоматичну ротацію за розкладом.
Операційні деталі та безпека
Логування підключень WireGuard мінімальне: wg show показує останній handshake, але не історію. Для аудиту використовуємо journald + access log wg-portal або окремий syslog-forwarder. При інтеграції з RADIUS кожен authentication event логується на стороні RADIUS-сервера — це повноцінний audit trail.
Firewall на сервері: порт 51820/udp відкритий тільки для корпоративних мереж або через хмарну security group. Веб-інтерфейс wg-portal (зазвичай :8888) — виключно за reverse proxy з TLS і, бажано, з обмеженням по IP. Сертифіковані спеціалісти забезпечать відповідність політикам безпеки.
Що входить у роботу
- Аудит існуючої LDAP/AD-структури: виявляємо потрібні OU, групи, bind-акаунт з мінімальними правами.
- Встановлення та налаштування WireGuard на сервері.
- Розгортання wg-portal з конфігурацією LDAP-інтеграції.
- Налаштування DNS split-tunneling під маршрутизацію трафіку.
- Тестування onboarding/offboarding: додавання в групу AD → поява в порталі, видалення → блокування.
- Документація процедури для IT-відділу.
- Навчання адміністраторів роботі з порталом.
- Гарантійна підтримка протягом 30 днів.
Терміни та вартість
| Обсяг | Термін |
|---|---|
| До 50 користувачів, один майданчик | 2–3 дні |
| 50–200 користувачів, кілька офісів | 4–7 днів |
| Інтеграція з існуючою PKI та RADIUS | до 2 тижнів |
Вартість розраховується індивідуально після аудиту інфраструктури. Замовте оцінку вашого проекту — отримайте детальне комерційне пропозицію та терміни. Ми також надаємо підтримку після впровадження: моніторинг, тонке налаштування, навчання ваших інженерів.
WireGuard — відкритий протокол VPN. LDAP — протокол доступу до каталогів.
