Megjelent a Nebula 1.9 projekt kiadása, amely olyan eszközöket kínál, amelyek lehetővé teszik védett átfedő hálózatok létrehozását, amely lehetővé teszi a területen elosztott hosztok összekapcsolását egy elkülönített, globális hálózaton futó hálózaton. A projekt célja saját átfedő hálózatok létrehozása mindenféle igényhez, például vállalati számítógépek összekapcsolása különböző irodákban, szerverek több adatközpontban vagy virtuális környezetek különböző felhőszolgáltatóknál. A kód Go nyelven íródott, és MIT licenc alatt terjesztik. A projektet a Slack indította, amely a nevét viselő vállalati üzenetküldő alkalmazást fejleszti. Támogatott a működés Linux, FreeBSD, macOS, Windows, iOS és Android operációs rendszereken.
A Nebula hálózat csomópontjai közvetlenül kapcsolódnak egymáshoz P2P módban – amikor adatátvitel szükséges, közvetlen kapcsolatok jönnek létre dinamikusan. VPN-A csatlakozások identitását minden hoszton digitális tanúsítvány igazolja, a hálózathoz való csatlakozás hitelesítést igényel – minden felhasználó tanúsítványt kap, amely megerősíti a Nebula hálózat IP-címét, nevét és a hosztcsoportokhoz tartozását. A tanúsítványokat a belső hitelesítésszolgáltató írja alá, amelyet minden egyes hálózat létrehozója saját infrastruktúráján állít fel, és amelyet a kapcsolódási jogkörrel rendelkező hosztok jogosultságának megerősítésére használnak, amelyek jogosultak a bizonyos átfedő hálózathoz való csatlakozásra, amely a hitelesítésszolgáltatóhoz van hozzárendelve.
A Nebulában hitelesített védett kommunikációs csatorna létrehozásához saját alagút protokollt használnak, amely a Diffie–Hellman kulcsmegosztás protokollján és az AES-256-GCM titkosításon alapul. A protokoll megvalósítása a Noise keretrendszer által szolgáltatott bevett és ellenőrzött primitíveken alapul, amelyet olyan projektekben is alkalmaznak, mint a WireGuard, Lightning és I2P. A projekt állítólag átment egy független biztonsági auditon.
A többi csomópont felfedezésére és a hálózatra való csatlakozás koordinálására speciális "lighthouse" csomópontok jönnek létre, amelyek globális IP-címei rögzítettek és ismertek a hálózat résztvevői számára. A részt vevő csomópontoknak nincs kötődése a külsőhöz. IP-cím alapján határozza meg a helyet, azokat tanúsítványokkal azonosítják. A hosztok tulajdonosai nem tudják módosítani a már aláírt tanúsítványokat, és ellentétben a hagyományos IP-hálózatokkal, nem tudják másik hosztra átváltani az IP-cím megváltoztatásával. A tunnel létrehozásakor a hoszt identitása egyedi zárt kulccsal kerül megerősítésre.
A létrehozott hálózat számára egy meghatározott intranet cím tartomány kerül kijelölésre (például 192.168.10.0/24), és a belső címek összekapcsolása a hosztok tanúsítványaival történik. Különféle mechanizmusok állnak rendelkezésre a címfordítók (NAT) és tűzfalak megkerülésére. Lehetséges más hosztok forgalmának irányítása egy overlay hálózaton keresztül, amelyek nem részei a Nebula hálózatnak (unsafe route). Az overlay hálózat résztvevőiből csoportok alakíthatók ki, például a szerverek és munkaállomások elkülönítésére, amelyekhez különböző forgalom szűrési szabályok alkalmazhatók.
Támogatja tűzfalak létrehozását a hozzáférés és a forgalom szűrése érdekében a Nebula overlay hálózat csomópontjai között. A szűréshez címkékre alapozott ACL-ek kerülnek alkalmazásra. Minden hoszt a hálózatban saját szűrési szabályait határozhatja meg hosztok, csoportok, protokollok és hálózati portok alapján. A hosztok azonban nem IP-címek, hanem tanúsítvánnyal ellátott hosztazonosítók szerint kerülnek szűrésre, amelyeket nem lehet hamisítani anélkül, hogy az igazoló központot, amely a hálózat működését koordinálja, kompromittálják.
Az új kiadásban:
- Új default_local_cidr_any beállítás került hozzáadásra, amely megváltoztatja a 'local_ip' alhálózatok kezelését a tűzfal szabályaiban, hogy megakadályozza a jogtalan forgalom engedélyezését a 'unsafe_routes' blokkban felsorolt hosztokhoz. Az 1.9 verzióban a beállítás 'true' értékre van állítva, de a következő, 1.10-es kiadásban 'false' értékre változik, ami azt jelenti, hogy a helyi alhálózatokat figyelembe veszik a tűzfal szabályok alkalmazásakor olyan hosztokra, amelyekhez nem biztonságos útvonalakon lehet hozzáférni (a hozzáférés megnyitásához a local_cidr kötelező megadása is szükséges).
- Hivatalos Docker kép érhető el, amely lehetővé teszi az overlay hálózat gyors telepítését Nebula alapján vagy annak csomópontjai számára.
- Kísérleti build-ek kerültek hozzáadásra a Loong64 architektúrához.
- Szolgáltatási script került megvalósításra az OpenRC inicializáló rendszerhez.
- Az SSH háttérfolyamatához hozzáadódott a tanúsítványalapú hitelesítés támogatása, amelyet a tanúsítványkezelő központ hitelesít (sshd.trusted_cas). Lehetőség nyílt a gazda kulcsok beágyazására az sshd.host_key beállítási blokkba.
- Biztosítva lett a «tun.unsafe_routes» beállításainak újraindításának támogatása.
- Eltávolították a régi local_range beállítás támogatását, helyette a preferred_ranges használata javasolt.
- A buildhez mostantól a go 1.22-es eszközkészlete szükséges. A Windows verziókra vonatkozó minimális követelmények emelkedtek Windows 10-re és Windows Server 2016-ra.
Forrás: opennet.ru
