Wydano wydanie projektu Nebula 1.5, oferuj\u0105cego narz\u0119dzia do budowy zabezpieczonych sieci overlay. Sie\u0107 mo\u017ce \u0142\u0105czy\u0107 od kilku do dziesi\u0105tek tysi\u0119cy geograficznie rozproszonych host\u00f3w, umieszczonych u r\u00f3\u017cnych dostawc\u00f3w, tworz\u0105c oddzieln\u0105, izolowan\u0105 sie\u0107 na tle globalnej sieci. Projekt zosta\u0142 napisany w j\u0119zyku Go i jest udost\u0119pniany na licencji MIT. Powsta\u0142 w firmie Slack, rozwijaj\u0105cej ten sam nazwany komunikator dla firm. Obs\u0142ugiwane s\u0105 systemy Linux, FreeBSD, macOS, Windows, iOS i Android. <\/p>\n
W\u0119z\u0142y w sieci Nebula komunikuj\u0105 si\u0119 ze sob\u0105 bezpo\u015brednio w trybie P2P \u2014 w miar\u0119 potrzeby przesy\u0142ania danych mi\u0119dzy w\u0119z\u0142ami dynamicznie tworzone s\u0105 bezpo\u015brednie VPN<\/a>-po\u0142\u0105czenia. To\u017csamo\u015b\u0107 ka\u017cdego hosta w sieci potwierdzana jest certyfikatem cyfrowym, a po\u0142\u0105czenie z sieci\u0105 wymaga przej\u015bcia autoryzacji \u2014 ka\u017cdy u\u017cytkownik otrzymuje certyfikat, kt\u00f3ry potwierdza adres IP w sieci Nebula, nazw\u0119 oraz przynale\u017cno\u015b\u0107 do grup host\u00f3w. Certyfikaty s\u0105 podpisywane wewn\u0119trznym urz\u0119dowym centrum certyfikacji, wdra\u017canym przez tw\u00f3rc\u0119 sieci na jego zasobach i stosowanym do po\u015bwiadczenia uprawnie\u0144 host\u00f3w, kt\u00f3re maj\u0105 prawo do\u0142\u0105czenia do sieci nak\u0142adkowej. <\/p>\n Dla nawi\u0105zania uwierzytelnionego, zabezpieczonego kana\u0142u komunikacji w Nebula stosowany jest w\u0142asny protok\u00f3\u0142 tunelowy, oparty na protokole wymiany kluczy Diffiego-Hellmana oraz szyfrowaniu AES-256-GCM. Realizacja protoko\u0142u opiera si\u0119 na gotowych i przetestowanych prymitywach, dostarczanych przez framework Noise, kt\u00f3ry jest r\u00f3wnie\u017c wykorzystywany w takich projektach, jak WireGuard, Lightning i I2P. Twierdzi si\u0119, \u017ce projekt przeszed\u0142 niezale\u017cny audyt bezpiecze\u0144stwa. <\/p>\n Aby wykrywa\u0107 inne w\u0119z\u0142y i koordynowa\u0107 po\u0142\u0105czenia z sieci\u0105, tworzone s\u0105 specjalne w\u0119z\u0142y \u201elighthouse\u201d, kt\u00f3rych globalne adresy IP s\u0105 sta\u0142e i znane uczestnikom sieci. W\u0119z\u0142y uczestnik\u00f3w nie s\u0105 zwi\u0105zane ze zewn\u0119trznymi adresem IP<\/a>, s\u0105 identyfikowane przez certyfikaty. W\u0142a\u015bciciele host\u00f3w nie mog\u0105 sami wprowadza\u0107 zmian w podpisanych certyfikatach i w przeciwie\u0144stwie do tradycyjnych sieci IP, nie mog\u0105 udawa\u0107 innego hosta po prostu zmieniaj\u0105c adres IP. Podczas tworzenia tunelu to\u017csamo\u015b\u0107 hosta jest potwierdzana indywidualnym kluczem prywatnym. <\/p>\n Tworzonej sieci przydzielany jest okre\u015blony zakres adres\u00f3w intranetowych (na przyk\u0142ad 192.168.10.0\/24) i realizowane jest powi\u0105zanie adres\u00f3w wewn\u0119trznych z certyfikatami host\u00f3w. Z uczestnik\u00f3w sieci overlay mog\u0105 by\u0107 tworzone grupy, na przyk\u0142ad do rozdzielenia serwer\u00f3w i stacji roboczych, do kt\u00f3rych stosowane s\u0105 oddzielne zasady filtrowania ruchu. Zapewniane s\u0105 r\u00f3\u017cne mechanizmy do omijania translator\u00f3w adres\u00f3w (NAT) i zap\u00f3r sieciowych. Mo\u017cliwa jest organizacja routingu przez sie\u0107 overlay dla ruchu zewn\u0119trznych host\u00f3w, kt\u00f3re nie wchodz\u0105 do sieci Nebula (unsafe route). <\/p>\n Obs\u0142ugiwane jest tworzenie zap\u00f3r sieciowych do rozdzielenia dost\u0119pu i filtrowania ruchu pomi\u0119dzy w\u0119z\u0142ami w sieci overlay Nebula. Do filtrowania stosowane s\u0105 ACL z powi\u0105zanymi tagami. Ka\u017cdy host w sieci mo\u017ce definiowa\u0107 w\u0142asne zasady filtrowania wed\u0142ug host\u00f3w, grup, protoko\u0142\u00f3w i port\u00f3w sieciowych. W tym przypadku hosty s\u0105 filtrowane nie wed\u0142ug adres\u00f3w IP, ale wed\u0142ug zatwierdzonych podpisem cyfrowym identyfikator\u00f3w hosta, kt\u00f3rych nie mo\u017cna sfa\u0142szowa\u0107 bez kompromitacji zespo\u0142u koordynuj\u0105cego sieciowy certyfikatu. <\/p>\n W nowym wydaniu: <\/p>\n