Достъпен е OpenZiti 1.0, комплект инструменти за вграждане на оверлейни мрежи в приложения

Представен е инструментариум OpenZiti 1.0, който позволява интегриране на средства за разпределено мрежово взаимодействие и достъп до услуги в изолирана мрежова среда в приложения. OpenZiti предоставя възможност за разгръщане на специфична за разработваните приложения оверлейна мрежа, работеща върху обикновен интернет и използваща mesh маршрутизация, при която всяка точка в мрежата се свързва чрез съседни точки. Кодът на проекта е написан на Go и се разпространява под лицензия Apache 2.0. Предоставят се обвивки за езици C, Go, Python, Swift, Java, Node.js и C# (.NET), както и инструментариум за интеграция с приложения за платформата Android.

Системата OpenZiti е замислена да построи мрежи, които гарантират защита и изолация на трафика при работа в незащитени среди, в които възлите могат да бъдат компрометирани (архитектура с нулево доверие — Zero Trust). Технологията може да се използва за организиране на свързаност с приложения вместо VPN. Работата на мрежата се осигурява чрез използване на контролен процес, управляващ конфигурацията на мрежата, аутентификацията и настройката на услугите, както и на възлите, които са разрешени да действат като маршрутизатори, образуващи mash мрежа и извършващи предаване на транзитен трафик през себе си. Възможно е добавяне на услуги за балансиране на натоварването и осигуряване на отказоустойчивост.

Достъпът до оверлейната мрежа се реализира чрез специализирани edge клиенти, които позволяват достъп от външната мрежа до оверлейната мрежа, построена с OpenZiti. Възможно е създаване на тунели и прокси, които позволяват пробитие на трафика от обикновената мрежа в оверлейната и обратно, за да се взаимодействате с приложения, работещи в оверлейната мрежа и да се осъществи достъп до съществуващи приложения, в които не е вградена поддръжка на оверлейната мрежа.

Достъп до мрежата и получаване на данни с сървъри DNS е възможен само след преминаване на задължителна авторизация и удостоверяване – без необходимите правомощия клиентът не може да определи наличието на услугата и да се свърже с нея. Целият трафик се защитава чрез mTLS (взаимна автентикация, при която клиентът и сървърът удостоверяват един друг) и крайно криптиране (ChaCha20-Poly1305), т.е. компрометацията на възлите в мрежата не позволява преглед на трафика на приложенията. За криптиране се използват функции от библиотеката libsodium.

От популярните приложения, използващи OpenZiti, можем да отбележим платформата за съвместен достъп до данни Zrok и екосистемата browZer за разгръщане на сайтове в мрежата с овърлей. Освен за създаване на разпределени мрежови приложения, OpenZiti е подходящ и за изграждане на частни мрежи за организиране на достъп до затворени API, сайтове или бази данни, скриване на инфраструктури, базирани на Kubernetes, в овърлейната мрежа, както и дистанционно управление на външни системи и устройства без необходимост от конфигуриране на защитни стени и ангажиране на VPN.

В изданието на OpenZiti 1.0 е осигурена стабилност на API за маршрутизатори и контролери (за клиентите стабилността на API е гарантирана и по-рано). От това издание нататък API и интерфейсът на командния ред ще поддържат обратно съвместимост, а при необходимост от премахване на функции ще бъде приложен процес на предварително превръщане на тези функции в остарели и фактическото им премахване само при значителна промяна на версията. В новата версия е проведено и допълнително тестване с симулация на различни сривове на мрежовите компоненти (chaos testing), което позволява да се уверим в устойчивостта на мрежата при възникване на извънредни ситуации и способността да се върнем към нормалната работа след възстановяване на работата на повредените компоненти.

Източник: opennet.ru