Pangolin to otwartoźródłowa platforma SASE zbudowana na WireGuard, której misją jest łączenie i ochrona użytkowników – niezależnie od tego, gdzie się znajdują. Projekt spina sieć i bezpieczeństwo w jeden system: zero-trust VPN, zero-trust reverse proxy, zarządzanie dostępem uprzywilejowanym (PAM) oraz świadomą tożsamości bramę AI. Wszystkie te elementy korzystają ze wspólnego modelu tożsamości i polityk.
Czym jest i do czego służy ?
Koncepcyjnie jest to podobne podejście do platform takich jak Cloudflare One, Zscaler czy Prisma, ale w wydaniu otwartym, możliwym do samodzielnego hostowania i zaprojektowanym tak, by pozostać lekkim i łatwym we wdrożeniu.
Autorzy podkreślają kilka założeń projektu:
- Otwarty kod, nie czarna skrzynka – kod jest otwarty i podlega audytowi, więc widać dokładnie, jak przetwarzany jest ruch i jak podejmowane są decyzje o dostępie, zamiast ufać zamkniętej chmurze kontrolnej.
- Sieć i bezpieczeństwo jako jedna platforma – sites, reverse proxy, dostęp klientów, RBAC i brama AI dzielą jeden model tożsamości i polityk, dzięki czemu ochrona użytkowników i ich łączenie realizowane są razem.
- Lekkość z założenia – całość ma pozostać mała i szybka: łatwa do self-hostingu na niewielkim serwerze, z lekkim connectorim działającym w przestrzeni użytkownika w sieciach prywatnych.
- Zero trust od pierwszego dnia – dostęp przyznawany jest per zasób, a nie per sieć, z integracją z identity providerem, kontrolą dostępu opartą na rolach i pełnym logowaniem audytowym.
- Uruchomienie po swojemu – darmowa Community Edition do self-hostingu, Enterprise Edition z zaawansowanymi funkcjami albo w pełni zarządzany Pangolin Cloud.
Model licencyjny jest podwójny: AGPL-3 oraz Fossorial Commercial License. Community Edition udostępniana jest na licencji AGPL-3, natomiast Enterprise Edition działa w modelu open-core i jest darmowa dla użytku osobistego i hobbystycznego oraz dla firm o przychodzie poniżej 100 tys. USD rocznie.
Repozytorium projektu na GitHubie zgromadziło ponad 23 tys. gwiazdek.
Warto odnotować bieżące wydanie: Pangolin 1.24 wprowadza pełnotunelowe Exit Nodes, wsparcie dla Linux Subnet Router oraz istotne usprawnienia klientów na desktopie i platformach mobilnych.
Kluczowe funkcjonalności
Łączenie zdalnych sieci – sites i NAT traversal
Site connectors w Pangolinie pełnią rolę bram do sieci, dzięki czemu można sięgać do dowolnych zasobów sieciowych. Sites wykorzystują tunele wychodzące i inteligentny NAT traversal, co udostępnia sieci ukryte za restrykcyjnymi zaporami bez publicznego IP i bez otwartych portów.
- Lekki connector w przestrzeni użytkownika, który działa wszędzie
- Przebija się przez każdą zaporę sieciową
- Nie wymaga otwartych portów ani publicznego adresu IP
- Ścisła segmentacja sieci
- Oparty na WireGuard
- Alerty, gdy urządzenie lub zasób sieciowy przestanie odpowiadać
Reverse proxy dostępne z przeglądarki
Pangolin pozwala wystawić aplikacje WWW po HTTPS oraz łączyć się z VNC, RDP i SSH w całości przez przeglądarkę, przez tunelowane reverse proxy świadome tożsamości i kontekstu. Użytkownicy sięgają do zasobów z uwierzytelnieniem i granularną kontrolą dostępu, nie instalując klienta.
- Wystawienie panelu sieciowego w dowolnym miejscu
- Dostęp z dowolnej przeglądarki
- Single sign-on dla wszystkich zasobów
- Zasoby HTTPS
- Pulpit zdalny w przeglądarce przez VNC i RDP
- Terminal SSH w przeglądarce z zarządzaniem dostępem uprzywilejowanym (PAM)
- Kody PIN, passcode, e-mail OTP, geoblokowanie, allow-listy i inne
Dostęp do prywatnych zasobów z klienta
Do prywatnych zasobów – serwerów SSH, baz danych, RDP i całych zakresów sieci – można dostać się przez klientów Pangolin. Inteligentny NAT traversal umożliwia połączenia nawet przez restrykcyjne zapory, a aliasy DNS dają przyjazne nazwy i szybkie połączenia do zasobów we wszystkich sites.
- Połączenia peer-to-peer z inteligentnym NAT traversal
- Hosty/adresy IP i zakresy portów
- Zakresy sieci/CIDR
- Przyjazne aliasy DNS dla adresów sieciowych
- Zarządzanie dostępem uprzywilejowanym (PAM) dla zasobów SSH
- Prywatne zasoby HTTPS dostępne wyłącznie w sieci prywatnej
Brama AI świadoma tożsamości
Pangolin stawia proxy świadome tożsamości przed publicznymi chmurami (OpenAI, Anthropic, Gemini itd.) i samodzielnie hostowanymi serwerami modeli (Ollama, vLLM, Mistral itd.), dzięki czemu agenci kodujący i klienci AI wywołują jeden adres URL Pangolina.
- Dostęp do modeli self-hosted (vLLM, Ollama itd.) i chmurowych (OpenAI, Anthropic itd.) w jednym miejscu
- Dostęp bezkluczowy przez uwierzytelnienie użytkownika klientem desktopowym Pangolina
- Alternatywnie osobne klucze API dla użytkowników
- Kontrola kosztów i zużycia tokenów przez budżety
- Audyt dzięki szczegółowej historii sesji i analityce
- Integracja klientów AI i agentów kodujących (Claude Code, Codex, OpenCode itd.)
Użytkownicy, role i dostęp do zasobów
Można korzystać z wbudowanych użytkowników Pangolina albo podłączyć własnego identity providera i skonfigurować RBAC. W odróżnieniu od klasycznych VPN-ów, które wystawiają cały dostęp sieciowy, model zero-trust pozwala użytkownikom sięgnąć wyłącznie do aplikacji, usług i tras zdefiniowanych wprost.
- Własny identity provider (IdP) lub tożsamości Pangolina
- Synchronizacja użytkowników i ról z IdP
- Kontrola dostępu oparta na użytkowniku i roli
- Pełny audyt sieci i logi dostępu
Strona domowa z zasobami
Użytkownicy dostają stronę startową, z której szybko znajdują i otwierają dostępne dla nich zasoby, grupowane według site’u lub etykiety, z wyszukiwaniem i filtrowaniem oraz widokiem siatki albo listy.
- Jedno miejsce, w którym administratorzy i pozostali użytkownicy widzą dostępne zasoby
- Możliwość tworzenia wielokrotnego użytku widoków dla typowych wzorców dostępu
Instrukcja instalacji (Linux, macOS, Windows).
Pangolin można uruchomić na kilka sposobów – wybór zależy od tego, czy chcesz zarządzać infrastrukturą samodzielnie.
Wariant 1: Pangolin Cloud (bez własnej infrastruktury)
Najszybszy start to w pełni zarządzana usługa. Darmowe konto zakładasz pod adresem app.pangolin.net.
Wariant 2: Self-hosting (Community Edition)
Instrukcja samodzielnego hostowania znajduje się w oficjalnym przewodniku szybkiej instalacji: docs.pangolin.net/self-host/quick-install.
Alternatywnie można zainstalować Pangolina z marketplace’u DigitalOcean, gdzie dostępny jest jednoklikowy, wstępnie skonfigurowany instalator.
Wariant 3: Środowisko deweloperskie w Dockerze
Repozytorium zawiera plik compose.yaml, który definiuje usługę app budowaną z Dockerfile.dev. Jest to konfiguracja środowiska deweloperskiego z hot reloadem: montuje katalogi źródłowe i mapuje porty 3000–3003.
services:
# Development application service
app:
build:
context: .
dockerfile: Dockerfile.dev
container_name: dev_pangolin
ports:
- "3000:3000"
- "3001:3001"
- "3002:3002"
- "3003:3003"
environment:
- NODE_ENV=development
- ENVIRONMENT=dev
volumes:
# Mount source code for hot reload
- ./src:/app/src
- ./server:/app/server
- ./public:/app/public
- ./messages:/app/messages
- ./components.json:/app/components.json
- ./next.config.mjs:/app/next.config.mjs
- ./tsconfig.json:/app/tsconfig.json
- ./tailwind.config.js:/app/tailwind.config.js
- ./postcss.config.mjs:/app/postcss.config.mjs
- ./eslint.config.js:/app/eslint.config.js
- ./config:/app/config
restart: no
Tak zdefiniowaną usługę uruchamia się z katalogu repozytorium poleceniem docker compose up. Poszczególne środowiska (Linux, macOS, Windows) różnią się tu tylko sposobem instalacji Dockera – plik compose.yaml jest wspólny dla wszystkich platform.
Klienci na desktop i mobile
Do korzystania z prywatnych zasobów przez klienta Pangolin potrzebna jest aplikacja dla Twojego systemu. Gotowe pakiety są dostępne dla następujących platform:
Więcej szczegółów, w tym pełną dokumentację, znajdziesz na docs.pangolin.net.
Link do Repozytorium
https://github.com/fosrl/pangolin
Więcej informacji o projekcie: pangolin.net.
