È disponibile il rilascio del progetto Nebula 1.5, che offre strumenti per la costruzione di reti overlay sicure. La rete può collegare da alcuni fino a decine di migliaia di host geograficamente distribuiti, situati presso diversi fornitori, formando una rete isolata separata sopra la rete globale. Il progetto è scritto in linguaggio Go e distribuito con licenza MIT. È fondato dalla Slack, che sviluppa l'omonimo messenger aziendale. È supportato su Linux, FreeBSD, macOS, Windows, iOS e Android.
I nodi nella rete Nebula interagiscono tra loro direttamente in modalità P2P: al necessità di trasferire dati tra i nodi, vengono creati dinamicamente collegamenti diretti. VPN-connessioni. L'identità di ogni host nella rete è confermata da un certificato digitale, e la connessione alla rete richiede l'autenticazione: ogni utente riceve un certificato che attesta l'indirizzo IP nella rete Nebula, il nome e l'appartenenza ai gruppi di host. I certificati sono firmati da un’autorità di certificazione interna, implementata dal creatore della rete nei propri impianti e utilizzata per garantire le attribuzioni degli host autorizzati a connettersi alla rete overlay.
Per creare un canale di comunicazione autenticato e protetto in Nebula viene utilizzato un proprio protocollo di tunneling, basato sul protocollo di scambio chiavi di Diffie-Hellman e sul cifrario AES-256-GCM. L'implementazione del protocollo si basa su primitive collaudate e disponibili fornite dal framework Noise, che è anche utilizzato in progetti come WireGuard, Lightning e I2P. Si sostiene che il progetto abbia superato una revisione indipendente della sicurezza.
Per scoprire altri nodi e coordinare le connessioni alla rete, vengono creati nodi speciali "lighthouse", i cui indirizzi IP globali sono fissi e conosciuti dai partecipanti alla rete. I nodi partecipanti non sono legati a un indirizzo esterno, ma si identificano tramite i certificati. I proprietari degli host non possono apportare modifiche ai certificati firmati e, a differenza delle reti IP tradizionali, non possono fingersi un altro host semplicemente cambiando l'indirizzo IP. Durante la creazione di un tunnel, l'identità dell'host viene confermata da una chiave privata unica. indirizzo IPQuando si crea un tunnel, l'identità dell'host è confermata da una chiave privata individuale.
Alla rete creata viene assegnato un intervallo specifico di indirizzi intranet (ad esempio, 192.168.10.0/24) e viene effettuato il collegamento degli indirizzi interni con i certificati degli host. Dai partecipanti alla rete overlay possono essere formati gruppi, ad esempio, per separare i server e le postazioni di lavoro, a cui vengono applicate regole di filtraggio del traffico distinte. Vengono forniti vari meccanismi per bypassare i traduttori di indirizzi (NAT) e i firewall. È possibile organizzare la routing attraverso la rete overlay per il traffico di host di terze parti, che non fanno parte della rete Nebula (unsafe route).
È supportata la creazione di firewall per separare l'accesso e filtrare il traffico tra i nodi nella rete overlay Nebula. Per il filtraggio vengono utilizzate ACL con associamento di tag. Ogni host nella rete può definire le proprie regole di filtraggio basate su host, gruppi, protocolli e porte di rete. Gli host vengono filtrati non per indirizzi IP, ma per identificatori di host autenticati con firma digitale, impossibili da falsificare senza compromettere il coordinatore della rete del'autorità di certificazione.
Nel nuovo rilascio:
- Nella squadra print-cert è stata aggiunta l'opzione "-raw" per l'output della rappresentazione PEM del certificato.
- Aggiunta la supporto per la nuova architettura Linux riscv64.
- Aggiunta un'impostazione sperimentale remote_allow_ranges per legare le liste di host autorizzati a subnet specifiche.
- Aggiunta l'opzione pki.disconnect_invalid per resettare i tunnel dopo la revoca della fiducia o la scadenza della vita del certificato.
- Aggiunta l'opzione unsafe_routes.<route>.metric per assegnare un peso a un particolare percorso esterno.
Fonte: opennet.ru
