Megjelent a Nebula 1.5 projekt verziója, amely szerszámkészletet kínál védett overlay hálózatok létrehozásához. A hálózat több több tucat távolsági hosztot összeköthet, amelyek különböző szolgáltatóknál találhatóak, ily módon egy elkülönített, izolált hálózatot alkotva a globális hálózat fölött. A projekt Go nyelven készült és MIT licenc alatt terjesztik. A projekt a Slack által van alapítva, amely a nevét viselő vállalati üzenetküldőt fejleszti. Támogatja a Linux, FreeBSD, macOS, Windows, iOS és Android rendszereken való működést.
A Nebula hálózat csomópontjai közvetlenül kapcsolódnak egymáshoz P2P módban – amikor adatátvitel szükséges, közvetlen kapcsolatok jönnek létre dinamikusan. VPN-kapcsolatok. Minden hoszt identitását digitális tanúsítvány igazolja, a hálózathoz való csatlakozás pedig hitelesítést igényel – minden felhasználó kap egy tanúsítványt, amely igazolja a Nebula hálózat IP-címét, nevét és a hosztcsoportokban való tagságát. A tanúsítványokat egy belső hitelesítési központ írja alá, amelyet a hálózat létrehozója saját infrastruktúráján üzemeltet, és a hosztok hitelesítési jogait biztosítja, amelyek jogosultak az overlay hálózathoz való csatlakozásra.
A Nebulában hitelesített védett kommunikációs csatorna létrehozásához saját alagút protokollt használnak, amely a Diffie–Hellman kulcsmegosztás protokollján és az AES-256-GCM titkosításon alapul. A protokoll megvalósítása a Noise keretrendszer által szolgáltatott bevett és ellenőrzött primitíveken alapul, amelyet olyan projektekben is alkalmaznak, mint a WireGuard, Lightning és I2P. A projekt állítólag átment egy független biztonsági auditon.
A többi csomópont felfedezésére és a hálózatra való csatlakozás koordinálására speciális "lighthouse" csomópontok jönnek létre, amelyek globális IP-címei rögzítettek és ismertek a hálózat résztvevői számára. A részt vevő csomópontoknak nincs kötődése a külsőhöz. IP-cím alapján határozza meg a helyet, azokat tanúsítványokkal azonosítják. A hosztok tulajdonosai nem tudják módosítani a már aláírt tanúsítványokat, és ellentétben a hagyományos IP-hálózatokkal, nem tudják másik hosztra átváltani az IP-cím megváltoztatásával. A tunnel létrehozásakor a hoszt identitása egyedi zárt kulccsal kerül megerősítésre.
A létrehozott hálózat számára egy meghatározott intranetes címkörüljárás kerül meghatározásra (például 192.168.10.0/24), és a belső címek összekapcsolása a hosztok tanúsítványaival történik. Az overlay hálózat résztvevőiből csoportok alakíthatók ki, például a szerverek és munkaállomások elválasztására, amelyekhez különböző forgalomszűrési szabályokat alkalmaznak. Különféle mechanizmusok állnak rendelkezésre a címfordítók (NAT) és tűzfalak megkerülésére. Lehetséges külső hosztok forgalmának routingja az overlay hálózaton keresztül, amelyek nem tagjai a Nebula hálózatnak (unsafe route).
Támogatott a tűzfalak létrehozása a Nebula overlay hálózaton belüli csomópontok közötti hozzáférés és forgalomszűrés megosztására. A szűréshez ACL-ek alkalmazása szükséges címkékhez való kapcsolódással. Minden hoszt a hálózatban saját szűrési szabályokat határozhat meg hosztok, csoportok, protokollok és hálózati portok szerint. A hosztok nem IP-címek, hanem digitális aláírással igazolt hosztazonosítók alapján lesznek szűrve, amelyeket nem lehet hamisítani a hálózat koordinációs elemeit alkotó hitelesítési központ kompromittálása nélkül.
Az új kiadásban:
- A print-cert parancshoz hozzáadva lett a „-raw” zászló a tanúsítvány PEM-représentációjának megjelenítéséhez.
- Új Linux riscv64 architektúra támogatása került hozzáadásra.
- Hozzáadva egy kísérleti remote_allow_ranges beállítás, amely lehetővé teszi a megengedett hosztlisták társítását bizonyos alhálózatokhoz.
- Hozzáadva a pki.disconnect_invalid opció, amely a tunnel-ket visszaállítja, ha a bizalom megszűnik vagy a tanúsítvány élettartama lejár.
- Hozzáadva az unsafe_routes.<route>.metric opció, amely lehetővé teszi egy adott külső útvonal súlyának megadását.
Forrás: opennet.ru
