Firezone：WireGuard 远程访问平台

项目简介

Firezone 是一个基于 WireGuard® 的安全远程访问平台。它通过细粒度策略，把用户连接到私有应用、数据库、服务器和子网，并定义谁可以访问哪个 Resource、在什么条件下访问。

平台把基于身份的访问控制、加密的设备验证和详细的审计记录结合起来。Gateway 运行在你自己的基础设施中，完整产品源码都放在本仓库里。管理面（Elixir）、数据面（Rust）、各平台客户端和 MDM 策略模板以 monorepo 的形式组织。

主要功能

• 最小权限访问：通过策略为不同用户组授予特定 Resource 的访问权限，并可要求设备证明可信。
• 设备信任：在用户认证之外，使用 MDM 或企业 PKI 签发的 X.509 证书进行加密设备验证。
• 审计日志：记录配置变更、会话、API 请求和流量流向，保留 90 天，并可通过 Log Sinks 导出到 SIEM。
• 设备池：不部署 Gateway，也可以让设备之间通过加密的 Client-to-Client WireGuard 隧道组成点对点 mesh，由策略控制哪些组能访问池内设备。
• 身份提供商集成：支持 Google Workspace、Okta、Microsoft Entra ID 和 OIDC，目录同步让用户与用户组和身份提供商保持一致。
• 加密连接：Client 与 Gateway 之间、设备池内设备之间均通过 WireGuard 隧道加密；优先直连以减少路由开销，无法直连时由 Relay 承载加密流量。
• 分布式部署：Gateway 可部署在云端或本地，贴近 Resource 所在位置；多个 Gateway 可实现负载均衡与故障转移。
• 跨平台访问：提供 Windows、macOS、Linux、iOS 和 Android 客户端，另有面向自动化工作负载的 headless 客户端。
• 合规：托管服务通过 SOC 2 Type II 认证，详情见 Trust Center。

性能

共享的 Rust 数据面把 WireGuard 加密与各平台的 I/O 优化结合起来，减少系统调用、任务唤醒和单包开销：macOS 与 iOS 使用 kqueue 就绪通知和批量 sendmsg_x / recvmsg_x；Windows 使用 WinTUN 批量传输与 USO/URO；Android 使用内核支持的 UDP GSO/GRO；Linux 使用 UDP GSO/GRO 以及 TUN 口上的分段与校验和卸载。

实测吞吐：iOS 与 Android 2+ Gbps，Windows、macOS 5+ Gbps，Linux 在普通虚拟机上 5+ Gbps、在调优硬件上 10+ Gbps。实际数值受往返延迟、丢包、硬件和网络容量影响。直连通过针对首字节时间优化的 NAT 穿透建立，通常 200 ms 以内就绪；直连不可用时，流量经由全球 34 个 relay 集群转发。

安装与使用

云托管（推荐）

1. 免费注册，并按 Quickstart 操作。
2. 在存放 Resource 的网络中部署 Gateway，规格与配置参考 Gateway sizing 文档。
3. 定义 Resource 和策略，把访问权授予相应的用户组。
4. 安装 Client，登录后连接已授权的 Resource。

方案与功能可用性见 pricing。

自托管

许可证允许在遵守条款的前提下自托管，但生产环境自托管不在官方支持范围内。开发或评估用途可按 CONTRIBUTING.md 运行本地环境。

注意事项

• 官方发布的 Client 只保证与托管服务配合使用；内部 API 会变动，应用商店版本也可能落后于本仓库。自托管门户可能需要使用从兼容版本构建的 Client，构建说明见 swift/apple、kotlin/android 和 rust/gui-client。
• 许可证：elixir/ 目录下的内容采用 Elastic License 2.0，其余内容采用 Apache 2.0，第三方组件遵循其原始许可证。
• 安全漏洞请按 SECURITY.md 报告，不要通过公开 GitHub issue 提交。
• WireGuard® 是 Jason A. Donenfeld 的注册商标。

---

本作品整理自 GitHub 开源项目 firezone/firezone，原作者 @firezone，许可证 Apache-2.0。中文介绍由 AI 根据项目 README 整理，以原仓库为准。