Islandr

Self-hosted WireGuard management platform. Peer lifecycle, RBAC access control, nftables enforcement.

Admin[Person] Manages peers, users, roles, resources, and ACLs (Felix).Islandr[Software System] Self-hosted WireGuard managementplatform. Peer lifecycle, RBAC accesscontrol, nftables enforcement.End User[Person] Manages own devices and views access list in plain language(Lena).OIDC Provider[Software System] Authenticates users. Microsoft 365or Google Workspace.WireGuard[Software System] Linux kernel VPN module. Managedvia wg CLI.nftables[Software System] Linux kernel packet filter. EnforcesACL rules generated by Islandr.Cloudflare / Reverse Proxy[Software System] Fully optional edge layer —Cloudflare, or a self-hosted reverseproxy (Caddy, nginx, Traefik). Islandrterminates TLS itself (dummy certuntil an admin uploads one,hot-swapped at runtime) and can bereached directly with no proxy of anykind in front of it (ADR-0015).Let's Encrypt (ACME CA)[Software System] Fully optional — only contactedwhen an admin sets a domain andenables ACME in Settings. Islandr'sown hand-rolled RFC 8555 clientrequests, validates (HTTP-01), andrenews a certificate directly; nocertificate library, no external ACMEclient (ADR-0019).Resource Host[Software System] A machine behind the VPN inside asite (e.g. an RDP server). Forbrowser-based RDP the hubconnects to it directly over TLS andrelays to the browser.DNS Upstream[Software System] Fully optional — only reached whenthe resource DNS resolver is enabledin Settings. Public oradmin-configured recursiveresolver(s) (default 1.1.1.1 / 8.8.8.8,Settings.dnsResolverUpstream) thehub forwards any query outside itsown managed resource zone to,verbatim and unparsed (ADR-0023).Uses directly (built-in TLS)[HTTPS]Uses directly (built-in TLS)[HTTPS]Uses (optional path)[HTTPS]Uses (optional path)[HTTPS]Forwards to (optional layer)[HTTP or HTTPS]Verifies ID tokens via OIDC / JWKS[HTTPS]Configures peers[wg CLI]Generates and atomically reloads ACL ruleset[nft CLI]Requests, validates (HTTP-01), and renews a certificate (optional, ACME mode only)[HTTPS]Validates domain control via HTTP-01 challenge callback[HTTP]Proxies browser RDP over TLS (RDCleanPath)[TCP/TLS]Forwards non-zone DNS queries verbatim (optional, resolver enabled only)[UDP/TCP 53]
System Context View: Islandr
C4 Level 1 — System Context
Show legend
Person, AdminPerson, UserSoftwareSystemSoftwareSystem,ExternalRelationship