Uitgave van Nebula 1.9, een systeem voor het creëren van overlay P2P-netwerken.

De release van het Nebula-project 1.9 is uitgebracht, dat een toolkit aanbiedt voor het opzetten van beveiligde overlay-netwerken, waarmee geografisch gescheiden hosts kunnen worden samengevoegd tot een afzonderlijk geïsoleerd netwerk dat bovenop het mondiale netwerk functioneert. Het project is bedoeld voor het creëren van je eigen overlay-netwerken voor verschillende doeleinden, bijvoorbeeld om bedrijfscomputers op verschillende kantoren, servers in verschillende datacenters of virtuele omgevingen bij verschillende cloudproviders te combineren. De code is geschreven in de programmeertaal Go en wordt verspreid onder de MIT-licentie. Het project is opgezet door Slack, dat de gelijknamige zakelijke messenger ontwikkelt. Het wordt ondersteund op Linux, FreeBSD, macOS, Windows, iOS en Android.

Nodes in het Nebula-netwerk communiceren rechtstreeks met elkaar in P2P-modus — naar behoefte worden directe verbindingen dynamisch aangemaakt voor gegevensoverdracht tussen nodes. VPN-verbindingen. De identiteit van elke host in het netwerk wordt bevestigd met een digitaal certificaat, en toegang tot het netwerk vereist authenticatie — elke gebruiker ontvangt een certificaat dat het IP-adres in het Nebula-netwerk, de naam en het lidmaatschap van de groepen hosts bevestigt. Certificaten worden ondertekend door een interne certificeringsinstantie, die door de maker van elk afzonderlijk netwerk op zijn infrastructuur wordt geïmplementeerd en wordt gebruikt om de bevoegdheden van hosts die verbinding kunnen maken met een specifiek overlay-netwerk, dat aan de certificeringsinstantie is gekoppeld, te verifiëren.

Voor het creëren van een geauthenticeerde beveiligde communicatietunnel in Nebula wordt een eigen tunnelprotocol gebruikt, gebaseerd op het Diffie-Hellman-sleuteluitwisselingsprotocol en de AES-256-GCM-cypher. De implementatie van het protocol is gebaseerd op bestaande en bewezen principes, verstrekt door het Noise-framework, dat ook wordt toegepast in projecten zoals WireGuard, Lightning en I2P. Er wordt beweerd dat het project een onafhankelijke beveiligingsaudit heeft doorstaan.

Voor het ontdekken van andere nodes en het coördineren van verbindingen met het netwerk worden speciale ‘lighthouse’-nodes aangemaakt, waarvan de globale IP-adressen vast zijn en bekend bij de deelnemers van het netwerk. De deelnemende nodes zijn niet gebonden aan een extern het IP-adres, ze worden geïdentificeerd aan de hand van certificaten. De eigenaren van hosts kunnen geen wijzigingen aanbrengen in de ondertekende certificaten en kunnen, in tegenstelling tot traditionele IP-netwerken, zich niet voordoen als een andere host door eenvoudig het IP-adres te wijzigen. Bij het opzetten van een tunnel wordt de identiteit van de host bevestigd met behulp van een unieke privésleutel.

Aan het gecreëerde netwerk wordt een specifiek bereik van intranetadressen toegewezen (bijvoorbeeld 192.168.10.0/24) en worden interne adressen met de certificaten van hosts verbonden. Er worden verschillende mechanismen geboden om netwerkadressvertalers (NAT) en firewalls te omzeilen. Het is mogelijk om routering via een overlay-netwerk voor verkeer van externe hosts die niet deel uitmaken van het Nebula-netwerk (unsafe route) in te stellen. Uit de deelnemers van het overlay-netwerk kunnen groepen worden gevormd, bijvoorbeeld voor het scheiden van servers en werkstations, waarop afzonderlijke regels voor verkeerfiltering van toepassing zijn.

Het is mogelijk om firewalls op te zetten voor het scheiden van toegang en het filteren van verkeer tussen knooppunten in het Nebula-overlay-netwerk. Voor filtering worden ACL's met tags gebruikt. Elke host in het netwerk kan zijn eigen filterregels definiëren op basis van hosts, groepen, protocollen en netwerkpoorten. Hosts worden daarbij niet gefilterd op IP-adressen, maar op geverifieerde digitale handtekeningidentificaties van de host, die niet vervalst kunnen worden zonder het compromis van de certificeringsautoriteit die het netwerk coördineert.

In de nieuwe release:

• Er is een nieuwe instelling default_local_cidr_any toegevoegd, die het gedrag bij het verwerken van subnetten 'local_ip' in firewallregels wijzigt om ongegronde toestemming voor verkeer naar hosts in de blok unsafe_routes te voorkomen. In versie 1.9 is de instelling op 'true' ingesteld, maar in de volgende versie 1.10 zal deze worden gewijzigd naar 'false', wat ervoor zorgt dat lokale subnetten worden meegenomen bij het toepassen van firewallregels op hosts die toegankelijk zijn via onveilige routes (voor toegang tot dergelijke hosts moet local_cidr verplicht worden opgegeven).
• Een officiële afbeelding voor het Docker-systeem is beschikbaar gesteld, waarmee snel een overlay-netwerk op basis van Nebula of een knooppunt ervoor kan worden uitgerold.
• Experimentele builds zijn toegevoegd voor de Loong64-architectuur.
• Een service-script voor het init-systeem OpenRC is geïmplementeerd.
• De achtergrondprocessen van SSH ondersteunen nu authenticatie via certificaten, gevalideerd door een certificeringsinstantie (sshd.trusted_cas). Er is de mogelijkheid geïmplementeerd om hostsleutels in te voegen in het configuratieblok sshd.host_key.
• Ondersteuning voor het opnieuw laden van de instellingen 'tun.unsafe_routes' is verzekerd.
• Ondersteuning voor de verouderde instelling local_range is verwijderd; in plaats daarvan moet preferred_ranges worden gebruikt.
• Voor de build is nu toolchain go 1.22 vereist. De minimumvers vereisten voor Windows zijn verhoogd naar Windows 10 en Windows Server 2016.

Bron: opennet.ru