È stato pubblicato il rilascio del progetto Nebula 1.9, che offre strumenti per la creazione di reti overlay sicure, consentendo di unire host territorialmente separati in una rete isolata che opera sopra la rete globale. Il progetto è destinato alla creazione di reti overlay personalizzate per qualsiasi esigenza, ad esempio per unire computer aziendali in diversi uffici, server in diversi data center o ambienti virtuali presso diversi fornitori di cloud. Il codice è scritto in Go ed è distribuito sotto licenza MIT. Il progetto è sviluppato dall'azienda Slack, che gestisce l'omonimo messenger aziendale. È supportato su Linux, FreeBSD, macOS, Windows, iOS e Android.
I nodi nella rete Nebula interagiscono direttamente tra loro in modalità P2P — man mano che si presenta la necessità di trasferire dati tra i nodi, si creano dinamicamente delle connessioni dirette. VPN-identità. L'identità di ogni host nella rete è confermata da un certificato digitale, e la connessione alla rete richiede l'autenticazione: ogni utente riceve un certificato che conferma l'indirizzo IP nella rete Nebula, il nome e l'appartenenza ai gruppi di host. I certificati sono firmati da un'autorità di certificazione interna, implementata dal creatore di ogni rete separata sulle proprie risorse e utilizzata per attestare le autorizzazioni degli host abilitati a connettersi a una specifica rete overlay legata all'autorità di certificazione.
Per creare un canale di comunicazione autenticato e sicuro in Nebula viene utilizzato un protocollo di tunneling proprietario, basato sul protocollo di scambio di chiavi di Diffie-Hellman e sulla crittografia AES-256-GCM. L'implementazione del protocollo si basa su primitive pronte e verificate fornite dal framework Noise, utilizzato anche in progetti come WireGuard, Lightning e I2P. Si afferma che il progetto ha superato una revisione indipendente della sicurezza.
Per rilevare altri nodi e coordinare le connessioni alla rete, vengono creati nodi speciali "lighthouse", i cui indirizzi IP globali sono fissi e noti ai membri della rete. I nodi partecipanti non hanno legami con l'esterno. indirizzo IP, sono identificati dai certificati. I proprietari degli host non possono apportare modifiche ai certificati firmati e, a differenza delle reti IP tradizionali, non possono spacciarsi per un altro host semplicemente cambiando indirizzo IP. Durante la creazione del tunnel, l'identità dell'host è confermata da una chiave privata individuale.
Alla rete creata viene assegnato un intervallo specifico di indirizzi intranet (ad esempio, 192.168.10.0/24) e si effettua il collegamento degli indirizzi interni ai certificati degli host. Vengono forniti vari meccanismi per eludere i traduttori di indirizzi (NAT) e i firewall. È possibile organizzare il routing attraverso una rete overlay di traffico di host esterni non appartenenti alla rete Nebula (unsafe route). Dai partecipanti alla rete overlay possono formarsi gruppi, ad esempio, per separare server e workstation, ai quali si applicano regole di filtraggio del traffico separate.
È supportata la creazione di firewall per separare l'accesso e filtrare il traffico tra i nodi nella rete overlay Nebula. Per il filtraggio vengono applicati ACL con l'associazione di tag. Ogni host nella rete può definire le proprie regole di filtraggio per host, gruppi, protocolli e porte di rete. In questo caso, gli host vengono filtrati non in base agli indirizzi IP, ma in base agli identificatori degli host firmati digitalmente, che non possono essere falsificati senza compromettere l'autorità di certificazione che coordina l'operatività della rete.
Nel nuovo rilascio:
- È stata aggiunta una nuova impostazione default_local_cidr_any, che modifica il comportamento durante l'elaborazione delle sottoreti 'local_ip' nelle regole del firewall per prevenire la concessione non giustificata del traffico agli host elencati nel blocco unsafe_routes. Nella versione 1.9, l'impostazione è stata configurata su 'true', ma nella successiva versione 1.10 sarà sostituita dal valore 'false', il che porterà a considerare le sottoreti locali nell'applicazione delle regole del firewall agli host accessibili tramite percorsi non sicuri (per aprire l'accesso a tali host sarà necessario specificare obbligatoriamente local_cidr).
- È stata fornita un'immagine ufficiale per il sistema Docker, che consente di distribuire rapidamente una rete overlay basata su Nebula o un nodo per essa.
- Aggiunte build sperimentali per l'architettura Loong64.
- È stato implementato uno script di servizio per il sistema di inizializzazione OpenRC.
- Nel processo in background SSH è stata aggiunta la supporto per l'autenticazione tramite certificati firmati da un'autorità di certificazione (sshd.trusted_cas). È stata implementata la possibilità di incorporare le chiavi host nel blocco delle impostazioni sshd.host_key.
- È stata assicurata la supporto per il riavvio delle impostazioni "tun.unsafe_routes".
- È stato rimosso il supporto per l'impostazione obsoleta local_range, per la quale è consigliabile utilizzare preferred_ranges.
- Per la compilazione ora è richiesto il toolkit go 1.22. I requisiti minimi per le versioni di Windows sono stati aggiornati a Windows 10 e Windows Server 2016.
Fonte: opennet.ru
