Dette dokument forklarer, hvordan en virksomhed kan bygge en løsning, hvor medarbejdere kan arbejde sikkert hjemmefra eller “ude i felten” – med et sikkerhedsniveau på højde med bigtech-løsninger (Microsoft Entra Private Access/Intune, Cisco, Zscaler, Tailscale), men udelukkende med komponenter, der er 100 % open source.

Tre grundprincipper:

1. Ingen closed source – alle komponenter i datavævet er open source (flere af dem kommer direkte fra SUSEs egen open source-portefølje).
2. Zero Trust i stedet for “slot og grav” – adgang afgøres af identitet og enhed, ikke af netværksplacering. En hjemmenetværks-PC og en kontor-PC behandles ens mistænkeligt.
3. Digital suverænitet – ingen trafik, identiteter eller logs sendes gennem en udenlandsk cloud. Alting kan køre på egen infrastruktur (on-prem eller europæisk cloud).

Bemærkning: Mermaid-diagrammet er lavet med Mermaid-plugin i DokuWiki DokuWiki Mermaid-plugin). Uden plugin vises kildekoden som almindelig kodeblok.

Sådan læses diagrammet: Den eneste port, der er åben mod internet, er NetBirds control plane og reverse proxyens HTTPS. Arbejdsstationer opretter direkte, krypterede peer-to-peer-tunneller (WireGuard) til interne tjenester – ikke gennem én central VPN-boks. Control plane udleverer kun nøgler og politikker til enheder, som Keycloak har godkendt med MFA.

• SLES 16 (GA november 2025) er den nyeste generation: Agama-installer, NetworkManager, Cockpit til fjernadministration, Btrfs+snapper-snapshots og – vigtigt for sikkerheden – SELinux som standard MAC-framework, aktiveret i enforcing mode. Kernen i SLES er open source; abonnementet hos SUSE køber support og patch-garanti, ikke adgang til lukket kode.
• For en 100 % fri installation kan hele stakken i stedet køre på openSUSE Leap / Adaptable Linux Platform (ALP), der er binærkompatibel og bygget samme sted.
• SUSE Linux Enterprise Micro (immutable, transaktionsbaseret OS) er ideel til de dedikerede gateway-vm'er: lille angrebsflade, atomiske opdateringer, ingen pakkehåndtering på runtime-disken.
• Vedligehold: ugentlige automatiske opdateringer, CIS/DISA-hardening-profiler, fuld disk-kryptering (LUKS2) på bærbare maskiner.

Kernen er WireGuard – moderne, formelt revideret kryptografi, og “stealth”: uden den korrekte nøgle svarer porten slet ikke på scanninger, portscans bliver dermed værdiløse. Oveni ligger et administrationslag:

• NetBird (MIT-licens, self-hostet): bygger et WireGuard-mesh mellem alle enheder og servere, med automatisk NAT-traversal (hjemmebag NAT, hotel-Wi-Fi, 4/5G), gruppebaserede adgangspolitikker (ACL'er), integration med Keycloak via OIDC og fuld audit-log. NetBird giver ZTNA-funktionalitet à la Tailscale/Zscaler, men self-hostet og uden per-seat-licenser til fri brug.
• Headscale er et alternativ, hvis man foretrækker Tailscales klient-økosystem med en selvhostet control plane.
• Til site-to-site (f.eks. kontor ↔ datacenter) bruges ren WireGuard eller strongSwan (IKEv2/IPsec) med certifikater fra FreeIPA CA.
• Strategisk fordel: trafikken går direkte peer-to-peer i stedet for at “trombone” gennem en central hub – lavere latenstid, ingen enkeltfejlpunkt i dataplanet, og kun control plane behøver en fast adresse.

• Keycloak er SSO-hubben: alle apps (Guacamole, Uyuni, interne webapps, NetBird) autentificerer via OIDC/SAML.
• MFA er tvungen: FIDO2/WebAuthn-nøgler (YubiKey, Nitrokey) som primær faktor – phishing-resistent (modstandsdygtig over for phishing og Adversary-in-the-Middle-angreb); TOTP som fallback for enheder i felten.
• FreeIPA leverer central LDAP/Kerberos til Linux-accounts, host-baserede adgangsregler (HBAC) og en integreret CA, der udsteder certifikater til både servere og WireGuard/IPsec-endpoints. mTLS til interne tjenester bliver dermed standard, ikke undtagelse.
• Adgangspolitikker: “Økonomi-gruppen må nå økonomisystemet på port 443, kun fra enheder med gyldigt Salt-managed certifikat” – typisk zero trust, gennemtvinget i NetBirds ACL'er.

• Uyuni er open source-projektet bag SUSEs enterprise-management: software- og patch-styring til tusindvis af Linux-maskiner (også Debian/Ubuntu/RHEL-familier), konfigurationsstyring via Salt, og compliance-auditering mod f.eks. CIS-benchmarks.
• Enhed uden gyldig, opdateret tilstand = ingen adgang: NetBird-peering og mTLS-certifikater trækkes tilbage automatisk, hvis en bærbar ikke har modtaget kritiske patches inden for en fastfrist.
• Bærbare leveres med openSUSE Leap/Tumbleweed, fuld disk-kryptering, SELinux/AppArmor og unattended-upgrades; konfigurationen er 100 % deklarativ og reproducerbar.

• Traefik/HAProxy foran alle web-tjenester: TLS 1.3, OIDC-autorisation mod Keycloak, interne mTLS-certifikater.
• Apache Guacamole giver klientløs adgang til RDP/VNC/SSH-sessioner i browseren – ideelt til BYOD-situationer, hvor data aldrig lander på den private enhed (ingen download, ingen synkronisering).
• Tunge arbejdsgange kan køre som virtuelle maskiner på Harvester, SUSEs open source hyperconverged-platform (Kubernetes-baseret, 100 % open source) – dvs. sin egen “virtuelle kontor-PC” i datacenteret, tilgået via Guacamole eller direkte WireGuard.

• Wazuh som open source-SIEM/IDS: log-aggregering, filintegritet, rootkit-detektion, mitre-ATT&CK-regler på alle værter.
• Prometheus + Grafana + Loki til metrik og logdashboards for NetBird, Keycloak, proxyer og gateways.
• fail2ban på de internetvendte tjenester og rate limiting i proxyen.

Pointen er, at kryptografien og adgangskontrol-mekanikken er de samme eller bedre: sikkerheden kommer af principperne (zero trust, MFA, patch-disciplin, segmentering) – ikke af en bestemt vendors logo.

1. Grundlag (uge 1–4): SLES 16/openSUSE på to servere, FreeIPA med CA, Keycloak med MFA påkrævet, udrul FIDO2-nøgler.
2. Netværk (uge 5–8): NetBird self-hostet med Keycloak-OIDC, ACL'er pr. gruppe, pilot med 10 brugere, site-to-site WireGuard til kontoret.
3. Apps (uge 9–12): Traefik med OIDC foran interne apps, Guacamole til fjernskriveborde, pilottilbagemelding.
4. Styring (uge 13–16): Uyuni-udrulning til alle workstations, compliance-regler, automatisk certifikat-tilbagekald.
5. Drift og audit (løbende): Wazuh + Grafana, security review, kvartalsvis gendannelses- og penetrationstest.
6. Overvej SUSE-support (SLES, Rancher Prime, SUSE Multi-Linux Manager-abonnement) – det er valgfrit, giver SLA og langtidssupport, men al kode forbliver open source.

• Driftsmodenhed: open source kræver egen ekspertise eller en supportpartner – sikkerheden i et dårligt drevet NetBird er ikke bedre end en dårligt drevet Cisco.
• Nøgle- og certifikatshygiejne: tab af en FIDO2-nøgle eller CA-kompromittering er den største reelle risiko; sørg for nødprocedurer (backup-nøgler, CRL/OCSP) fra dag ét.
• Klientdækning: macOS/Windows-klienter til NetBird findes, men fuld politikhåndhævelse fås nemmest på Linux-workstations – overvej at standardisere på openSUSE- eller SLED-arbejdsstationer.
• Regulatorisk kontekst: NIS2 og GDPR giver faktisk ekstra argumenter for denne model (dokumenterbar suverænitet, ingen transfers til tredjelande) – lad compliance-teamet validere arkitekturen mod DORA/NIS2-krav.

En virksomhed kan opnå bigtech-grads sikkerhed for fjernarbejde med udelukkende open source: SUSE Linux som fundament, WireGuard/NetBird som krypteret zero trust-netværk, Keycloak+FreeIPA som identitet med phishing-resistent MFA, Uyuni som endpoint-styring, Guacamole/Harvester til fjernskriveborde og Wazuh til detection. Sikkerheden ligger i arkitekturens principper – ikke i lukket software – og hele stakken kan bygges, auditeres og driftes uden en eneste closed source-komponent.