Byl vydán release projektu Nebula 1.9, který nabízí nástroje pro budování zabezpečených overlay sítí, umožňujících spojit geograficky oddělené hosty do samostatné izolované sítě, fungující nad globální sítí. Projekt je určen k vytváření vlastních overlay sítí pro jakékoli potřeby, například pro spojení podnikových počítačů v různých kancelářích, serverů v různých datových centrech nebo virtuálních prostředí u různých poskytovatelů cloudu. Kód je napsán v jazyce Go a je distribuován pod licencí MIT. Projekt byl založen společností Slack, která vyvíjí stejnojmenného firemního messengeru. Podporuje provoz na Linuxu, FreeBSD, macOS, Windows, iOS a Android.
Uzly v síti Nebula komunikují přímo mezi sebou v režimu P2P - jakmile je potřeba přenášet data mezi uzly, dynamicky se vytvářejí přímá VPN-připojení. Identita každého hostitele v síti je ověřena digitálním certifikátem, a připojení k síti vyžaduje autentifikaci - každý uživatel obdrží certifikát, který potvrzuje IP adresu v síti Nebula, jeho jméno a členství ve skupinách hostitelů. Certifikáty jsou podepisovány interním certifikačním úřadem, který je nasazen zakladatelem každé jednotlivé sítě na jeho infrastruktuře a používá se k certifikaci oprávnění hostitelů, kteří mají právo se připojit k určité overlay síti vázané na tento certifikační úřad.
Pro vytvoření autentizovaného zabezpečeného komunikačního kanálu v Nebula se používá vlastní tunelový protokol založený na Diffie-Hellmanově výměnné protokolu a šifře AES-256-GCM. Implementace protokolu je založena na osvědčených primitivách poskytovaných rámcem Noise, který se také používá v projektech jako WireGuard, Lightning a I2P. Je tvrzeno, že projekt prošel nezávislým auditem bezpečnosti.
Pro objevování dalších uzlů a koordinaci připojení k síti se vytvářejí speciální uzly „lighthouse“, jejichž globální IP adresy jsou fixní a známé účastníkům sítě. Účastnické uzly nejsou vázány na externí IP adresu, jsou identifikovány podle certifikátů. Majitelé hostitelů nemohou provádět změny v podepsaných certifikátech a na rozdíl od tradičních IP sítí nemohou simulovat jiného hostitele jednoduchou změnou IP adresy. Při vytváření tunelu je identita hostitele potvrzena individuálním soukromým klíčem.
Vytvořené síti je přidělen určité rozmezí intranetových adres (například 192.168.10.0/24) a je realizováno propojení interních adres s certifikáty hostitelů. Jsou poskytovány různé mechanismy pro obcházení překladačů adres (NAT) a firewallů. Je možné organizovat směrování prostřednictvím překryté sítě provozu jiných hostitelů, kteří nejsou součástí sítě Nebula (unsafe route). Z účastníků překryté sítě mohou být vytvářeny skupiny, například pro oddělení serverů a pracovních stanic, na které se vztahují samostatná pravidla filtrování provozu.
Podporováno je vytváření firewallů pro oddělení přístupu a filtrování provozu mezi uzly v překryté síti Nebula. Pro filtrování se používají ACL s vazbou tagů. Každý hostitel v síti může definovat vlastní pravidla filtrování podle hostitelů, skupin, protokolů a síťových portů. Přitom jsou hostitelé filtrováni ne podle IP adres, ale podle certifikovaných digitálním podpisem identifikátorů hostitelů, které nelze padělat bez kompromitace certifikačního centra, koordinujícího provoz sítě.
V novém vydání:
- Byla přidána nová konfigurace default_local_cidr_any, která mění chování při zpracování podsítí 'local_ip' v pravidlech firewallu pro prevenci neoprávněného povolení provozu k hostitelům uvedeným v bloku unsafe_routes. V verzi 1.9 je nastavení nastaveno na 'true', ale v dalším vydání 1.10 bude nahrazeno hodnotou 'false', což povede k zohlednění lokálních podsítí při aplikaci pravidel firewallu na hostitele dostupné prostřednictvím nezabezpečených tras (pro otevření přístupu k těmto hostitelům bude vyžadováno povinné uvedení local_cidr).
- Byl poskytnut oficiální obraz pro systém Docker, který umožňuje rychlé nasazení překryté sítě založené na Nebula nebo uzlu pro něj.
- Byly přidány experimentální sestavení pro architekturu Loong64.
- Byl realizován servisní skript pro systém inicializace OpenRC.
- Podpora certifikátem podepsané autentizace byla přidána do SSH procesu na pozadí (sshd.trusted_cas). Funkce vkládání hostitelských klíčů byla implementována do bloku nastavení sshd.host_key.
- Byla zajištěna podpora restartování nastavení "tun.unsafe_routes".
- Byla odstraněna podpora zastaralého nastavení local_range, které by mělo být nahrazeno preferred_ranges.
- Pro sestavení je nyní vyžadován nástroj Go verze 1.22. Minimální požadavky na verze Windows byly zvýšeny na Windows 10 a Windows Server 2016.
Zdroj: opennet.ru
