La version 1.5 du projet Nebula est disponible, offrant des outils pour construire des r\u00e9seaux overlay s\u00e9curis\u00e9s. Le r\u00e9seau peut regrouper de quelques dizaines \u00e0 des milliers d\u2019h\u00f4tes g\u00e9ographiquement s\u00e9par\u00e9s, situ\u00e9s chez diff\u00e9rents fournisseurs, formant un r\u00e9seau isol\u00e9 distinct au-dessus du r\u00e9seau mondial. Le projet est \u00e9crit en Go et est distribu\u00e9 sous la licence MIT. Il est fond\u00e9 par la soci\u00e9t\u00e9 Slack, qui d\u00e9veloppe le messager d'entreprise \u00e9ponyme. Il prend en charge les syst\u00e8mes Linux, FreeBSD, macOS, Windows, iOS et Android. <\/p>\n
Les n\u0153uds du r\u00e9seau Nebula interagissent directement entre eux en mode P2P \u2014 des connexions directes sont dynamiquement \u00e9tablies \u00e0 mesure que la n\u00e9cessit\u00e9 de transmettre des donn\u00e9es entre les n\u0153uds se pr\u00e9sente. VPN<\/a>-connections. L'identit\u00e9 de chaque h\u00f4te dans le r\u00e9seau est confirm\u00e9e par un certificat num\u00e9rique, et la connexion au r\u00e9seau n\u00e9cessite une authentification \u2014 chaque utilisateur re\u00e7oit un certificat attestant de son adresse IP dans le r\u00e9seau Nebula, de son nom et de son appartenance aux groupes d'h\u00f4tes. Les certificats sont sign\u00e9s par une autorit\u00e9 de certification interne d\u00e9ploy\u00e9e par le cr\u00e9ateur du r\u00e9seau sur ses infrastructures et utilis\u00e9e pour valider les droits des h\u00f4tes autoris\u00e9s \u00e0 se connecter au r\u00e9seau overlay. <\/p>\n Pour cr\u00e9er un canal de communication authentifi\u00e9 et s\u00e9curis\u00e9 dans Nebula, un protocole de tunnel propri\u00e9taire est utilis\u00e9, bas\u00e9 sur le protocole d'\u00e9change de cl\u00e9s Diffie-Hellman et le chiffrement AES-256-GCM. L'impl\u00e9mentation du protocole repose sur des primitives \u00e9prouv\u00e9es fournies par le cadre Noise, qui est \u00e9galement utilis\u00e9 dans des projets tels que WireGuard, Lightning et I2P. Il est affirm\u00e9 que le projet a pass\u00e9 un audit de s\u00e9curit\u00e9 ind\u00e9pendant. <\/p>\n Pour d\u00e9couvrir d'autres n\u0153uds et coordonner les connexions au r\u00e9seau, des n\u0153uds sp\u00e9ciaux \u00ab lighthouse \u00bb sont cr\u00e9\u00e9s, dont les adresses IP globales sont fixes et connues des participants au r\u00e9seau. Les n\u0153uds participants n'ont pas d'attache \u00e0 des adresses externes. une adresse IP<\/a>Les propri\u00e9taires d\u2019h\u00f4tes ne peuvent pas apporter de modifications aux certificats sign\u00e9s et, contrairement aux r\u00e9seaux IP traditionnels, ne peuvent pas se faire passer pour un autre h\u00f4te simplement en changeant d'adresse IP. Lors de la cr\u00e9ation d'un tunnel, l'identit\u00e9 de l'h\u00f4te est confirm\u00e9e par une cl\u00e9 priv\u00e9e individuelle. <\/p>\n Un certain intervalle d'adresses intranet est attribu\u00e9 au r\u00e9seau cr\u00e9\u00e9 (par exemple, 192.168.10.0\/24) et un lien est \u00e9tabli entre les adresses internes et les certificats des h\u00f4tes. Des groupes peuvent \u00eatre form\u00e9s parmi les participants du r\u00e9seau superpos\u00e9, par exemple, pour s\u00e9parer les serveurs et les stations de travail, auxquels des r\u00e8gles de filtrage de trafic distinctes sont appliqu\u00e9es. Divers m\u00e9canismes sont fournis pour contourner les traducteurs d'adresses (NAT) et les pare-feu. Il est possible d'organiser le routage via le r\u00e9seau superpos\u00e9 pour le trafic d'h\u00f4tes externes qui ne font pas partie du r\u00e9seau Nebula (unsafe route). <\/p>\n La cr\u00e9ation de pare-feu pour s\u00e9parer l'acc\u00e8s et filtrer le trafic entre les n\u0153uds du r\u00e9seau superpos\u00e9 Nebula est prise en charge. Pour le filtrage, des ACL avec attachement de balises sont utilis\u00e9es. Chaque h\u00f4te du r\u00e9seau peut d\u00e9finir ses propres r\u00e8gles de filtrage par h\u00f4tes, groupes, protocoles et ports r\u00e9seau. Les h\u00f4tes ne sont pas filtr\u00e9s par adresses IP, mais par des identifiants d'h\u00f4tes certifi\u00e9s par une signature num\u00e9rique, impossibles \u00e0 falsifier sans compromettre le coordinateur du centre de certification de r\u00e9seau. <\/p>\n Dans cette nouvelle version : <\/p>\n