Достъпен е проектът Nebula 1.5, който предлага инструменти за изграждане на защитени оверлейни мрежи. Мрежата може да обединява от няколко до десетки хиляди териториално разделени хостове, разположени при различни доставчици, създавайки отделна изолирана мрежа върху глобалната мрежа. Проектът е написан на езика Go и е с лиценз MIT. Той е основан от компанията Slack, която развива едноименния корпоративен мессенджър. Поддържа работа в Linux, FreeBSD, macOS, Windows, iOS и Android.
Възлите в мрежата Nebula взаимодействат помежду си директно в P2P режим — когато възникне необходимост от обмен на данни между възлите, се създават директни VPN-съединения. Идентичността на всеки хост в мрежата се потвърдява чрез цифров сертификат, а свързването с мрежата изисква преминаване на удостоверяване — всеки потребител получава сертификат, удостоверяващ IP адреса в мрежата Nebula, името и членството в групите хостове. Сертификатите се подписват от вътрешен удостоверяващ център, разположен от създателя на мрежата на собствените му ресурси и използван за удостоверяване на правомощията на хостовете, които имат право на свързване с оверлейната мрежа.
За създаване на аутентифициран защитен канал за комуникация в Nebula се използва собствен тунелен протокол, основан на протокола за размяна на ключове Диффи—Хелмана и шифъра AES-256-GCM. Имплементацията на протокола се основава на готови и проверени примитиви, предоставени от фреймворка Noise, който също се използва в проекти като WireGuard, Lightning и I2P. Утвърдил е, че проектът е преминал независим одит за сигурност.
За откриване на други възли и координация на свързванията с мрежата се създават специални възли „lighthouse“, глобалните IP адреси на които са фиксирани и известни на участниците в мрежата. Участниците нямат привързаност към външно IP адрес, те се идентифицират чрез сертификати. Собствениците на хостове не могат произволно да променят подписаните сертификати и в отличие от традиционните IP мрежи не могат да се представят за друг хост просто чрез смяна на IP адреса. При създаването на тунел идентичността на хоста се потвърдява чрез индивидуален личен ключ.
На създадената мрежа се предоставя определен диапазон от интра мрежови адреси (например, 192.168.10.0/24) и се осъществява свързването на вътрешните адреси с сертификатите на хостовете. От участниците в оверлейната мрежа могат да се формират групи, например, за разделяне на сървъри и работни станции, към които се прилагат отделни правила за филтриране на трафика. Предоставят се различни механизми за заобикаляне на трансляторите на адреси (NAT) и междуредовите екрани. Възможна е организация на маршрутизацията през оверлейната мрежа на трафик от трети хостове, които не влизат в мрежата Nebula (unsafe route).
Поддържа се създаването на междуредови екрани за разделяне на достъпа и филтриране на трафика между възлите в оверлейната мрежа Nebula. За филтриране се прилагат ACL с привързване на тагове. Всеки хост в мрежата може да определя собствени правила за филтриране по хостове, групи, протоколи и мрежови портове. При това хостовете се филтрират не по IP адреси, а по удостоверените с цифров подпис идентификатори на хостовете, които не могат да бъде подправени без компрометиране на координиращия състав на мрежата на удостоверяващия център.
В новото издание:
- Към командата print-cert е добавен флаг «-raw» за извеждане на PEM представянето на сертификата.
- Добавена е поддръжка на новата архитектура Linux riscv64.
- Добавена е експериментална настройка remote_allow_ranges за свързване на списъци с разрешени хостове към определени подсистеми.
- Добавена е опция pki.disconnect_invalid за нулиране на тунелите след прекратяване на доверието или изтичане на срока на валидност на сертификата.
- Добавена е опция unsafe_routes.<route>.metric за задаване на тегло на определен външен маршрут.
Източник: opennet.ru
