Esitletud on OpenZiti 1.0 tööriistakomplekt, mis võimaldab rakendustes integreerida vahendeid hajutatud võrgus suhtlemiseks ja teenustele juurdepääsuks isoleeritud võrgukeskkonnas. OpenZiti annab võimaluse luua arendatavatele rakendustele spetsiifiline ülevõrk, mis töötab tavalisel internetil ja kasutab mesh-rutamist, kus iga võrkpunkth on ühendatud naabervõrkpunkte kaudu. Projekti kood on kirjutatud Go keeles ja jagatakse Apache 2.0 litsentsi alusel. Pakutakse sidumisi C, Go, Python, Swift, Java, Node.js ja C# (.NET) keelte jaoks ning tööriistakomplekti rakenduste integreerimiseks Android platvormile.
OpenZiti süsteem on algselt loodud võrgu ülesehitamiseks, mis tagab kaitse ja liikluse isoleerimise kaitsmata keskkondades, kus sõlmed võivad olla kompromiteeritud (null usaldusväärsuse arhitektuur — Zero Trust). Tehnoloogiat saab kasutada sidemeorganiseerimiseks rakendustega, mitte VPN. Võrgu töö tagatakse juhtimisprotsessi kaudu, mis haldab võrgu konfiguratsiooni, autentimist ja teenuste seadistamist, samuti sõlmi, millel on lubatud tegutseda marsruutoritena, moodustades mash-võrgu ja edastades läbi enda transitliiklust. Teenuste lisamine koormuse tasakaalustamiseks ja tõrkekindluse tagamiseks on võimalik.
Ühendumine ülekattevõrgule toimub spetsiaalsete edge-klientide abil, mis võimaldavad välisest võrgust pääseda ülekattevõrku, mis on loodud OpenZiti abil. Tunnelite ja prokside loomine võimaldab edastada liiklust tavalise võrgu ja ülekatte vahel, et välisest võrgust suhelda ülekattevõrgus töötavate rakendustega ja pääseda ligi olemasolevatele rakendustele, mis ei toeta ülekattevõrku.
Ühenduse loomine võrgu ja andmete saamine serverite DNS on võimalik ainult pärast kohustuslikku autoriseerimist ja autentimist — kliendil ei ole volitusi teenuse olemasolu määramiseks ja sellele ühenduse loomiseks. Kogu liiklus kaitstakse mTLS-i (kaksikautentimine, kus klient ja server üksteist autentivad) ja lõpp-otsaga krüpteerimise (ChaCha20-Poly1305) abil, st võrgu sõlmede kompromiteerimine ei võimalda rakenduste liiklust näha. Krüpteerimiseks kasutatakse libsodium'i teeke.
Populaarsete rakenduste seas, mis kasutavad OpenZiti-d, võib välja tuua andmete jagamise platvormi Zrok ja ökosüsteemi browZer, mis võimaldab saitide juurutamist kattekihtvõrgus. Lisaks jaotatud võrgu rakenduste loomisele sobib OpenZiti ka privaatsete võrkude ülesehitamiseks, et korraldada juurdepääs suletud API-dele, saitidele või andmebaasidele, varjata Kubernetesel põhinevaid infrastruktuure kattekihtvõrgus ning kaugjuhtida väliseid süsteeme ja seadmeid ilma tulemüüri seadistamise ja VPN-i kasutamiseta.
OpenZiti 1.0 väljaandes on tagatud API stabiilsus ruuteri ja kontrolleri jaoks (klientide jaoks oli API stabiilsus juba varem tagatud). Alates käesolevast väljaandest toetatakse API-s ja käsurealiideses tagasipöörduvat ühilduvust, ning vajadusel kehtestatakse vanade funktsioonide eemaldamisel eelneva teavitamise protsess, millega kuulutatakse need aegunud ning need eemaldatakse ainult järsu versiooni muutumise korral. Uues versioonis on samuti läbi viidud täiendav testimine, simuleerides erinevaid võrgu komponentide rikkeid (chaos testing), mis aitab tagada võrgu vastupidavust kriitilistes olukordades ja võimet naasta tavapärasele töörežiimile pärast rikke korda saamist.
Allikas: opennet.ru
