Está disponível a versão 1.5 do projeto Nebula, que oferece ferramentas para a construção de redes sobrepostas seguras. A rede pode conectar desde algumas até dezenas de milhares de hosts geograficamente separados, hospedados por diferentes provedores, formando uma rede isolada distinta sobre a rede global. O projeto é desenvolvido na linguagem Go e é distribuído sob a licença MIT. É fundado pela empresa Slack, que desenvolve o mensageiro corporativo homônimo. É compatível com Linux, FreeBSD, macOS, Windows, iOS e Android.
Os nós na rede Nebula interagem diretamente entre si no modo P2P — à medida que surge a necessidade de transferência de dados entre os nós, conexões diretas são criadas dinamicamente. VPN-conexões. A identidade de cada host na rede é confirmada por um certificado digital, e a conexão à rede exige autenticação — cada usuário recebe um certificado que confirma o endereço IP na rede Nebula, o nome e a filiação a grupos de hosts. Os certificados são assinados por uma autoridade certificadora interna, implementada pelo criador da rede em suas instalações e utilizada para certificar as credenciais dos hosts autorizados a se conectar à rede sobreposta.
Para criar um canal de comunicação autenticado e seguro no Nebula, é utilizado um protocolo de tunelamento próprio, baseado no protocolo de troca de chaves de Diffie-Hellman e na cifra AES-256-GCM. A implementação do protocolo se baseia em primitivas robustas e testadas fornecidas pelo framework Noise, que também é utilizado em projetos como WireGuard, Lightning e I2P. Afirma-se que o projeto passou por uma auditoria de segurança independente.
Para descobrir outros nós e coordenar conexões à rede, são criados nós especiais chamados "lighthouse", cujos endereços IP globais são fixos e conhecidos pelos participantes da rede. Os nós participantes não têm ligação com endereços externos. endereço IP, eles são identificados por certificados. Os proprietários de hosts não podem fazer alterações nos certificados assinados por conta própria, e, ao contrário das redes IP tradicionais, não podem se fazer passar por outro host simplesmente trocando o endereço IP. Ao criar um túnel, a identidade do host é confirmada por uma chave privada exclusiva.
À rede criada é designado um intervalo específico de endereços intranet (por exemplo, 192.168.10.0/24) e há o vínculo de endereços internos com os certificados dos hosts. Grupos podem ser formados entre os participantes da rede sobreposta, por exemplo, para separar servidores de estações de trabalho, aos quais se aplicam regras de filtragem de tráfego distintas. São fornecidos diversos mecanismos para contornar tradutores de endereços (NAT) e firewalls. É possível organizar a roteação de tráfego de hosts externos que não estão na rede Nebula (rota insegura) através da rede sobreposta.
A criação de firewalls é suportada para separar o acesso e filtrar o tráfego entre os nós na rede sobreposta Nebula. Para a filtragem, são aplicadas ACL com vinculação de tags. Cada host na rede pode definir suas próprias regras de filtragem por hosts, grupos, protocolos e portas de rede. Nesse caso, os hosts são filtrados não por endereços IP, mas por identificadores verificados com assinatura digital, que não podem ser falsificados sem comprometer a autoridade certificadora coordenadora da rede.
No novo lançamento:
- Um novo sinalizador '-raw' foi adicionado ao comando print-cert para exibir a representação PEM do certificado.
- Adicionado suporte para a nova arquitetura Linux riscv64.
- Foi adicionada uma configuração experimental remote_allow_ranges para vincular listas de hosts permitidos a sub-redes específicas.
- Adicionada a opção pki.disconnect_invalid para redefinir túneis após a revogação de confiança ou expiração do certificado.
- Adicionada a opção unsafe_routes.<route>.metric para definir o peso de uma rota externa específica.
Fonte: opennet.ru
