Projekt Nebula 1.5, ktorý ponúka nástroje na budovanie bezpečných prekrývajúcich sa sietí, je teraz k dispozícii. Sieť sa môže pripojiť k niekoľkým až desiatkam tisíc geograficky rozptýlených hostiteľov hostovaných rôznymi poskytovateľmi, čím sa vytvorí samostatná, izolovaná sieť nad globálnou sieťou. Projekt je napísaný v jazyku Go a distribuovaný pod licenciou MIT. Založila ho spoločnosť Slack, ktorá stojí za rovnomennou aplikáciou na firemné zasielanie správ. Podporuje... Linux, FreeBSD, macOS, Windows, iOS a Android.
Uzly v sieti Nebula interagujú medzi sebou priamo v režime P2P – keď vznikne potreba prenosu dát medzi uzlami, dynamicky sa vytvárajú priame spojenia. VPN-pripojenia. Identita každého hostiteľa v sieti je potvrdená digitálnym certifikátom a pripojenie k sieti vyžaduje overenie – každý používateľ dostane certifikát potvrdzujúci jeho IP adresu v sieti Nebula, jeho meno a členstvo v skupine hostiteľov. Certifikáty sú podpísané internou certifikačnou autoritou, nasadené poskytovateľom siete lokálne a používané na overenie autority hostiteľov oprávnených na pripojenie k prekrývajúcej sieti.
Na vytvorenie overeného a zabezpečeného komunikačného kanála používa Nebula proprietárny tunelovací protokol založený na protokole výmeny kľúčov Diffie-Hellman a šifre AES-256-GCM. Implementácia protokolu je založená na hotových a testovaných primitívach poskytovaných frameworkom Noise, ktorý sa používa aj v projektoch ako napr. WireGuard, Lightning a I2P. Projekt údajne prešiel nezávislým bezpečnostným auditom.
Na objavenie ďalších uzlov a koordináciu pripojení k sieti sa vytvárajú špeciálne uzly typu „maják“, ktorých globálne IP adresy sú pevné a známe účastníkom siete. Zúčastnené uzly nemajú žiadnu väzbu na externé siete. IP adresa, sú identifikované certifikátmi. Vlastníci hostiteľov nemôžu samostatne upravovať podpísané certifikáty a na rozdiel od tradičných IP sietí sa nemôžu vydávať za iného hostiteľa jednoduchou zmenou IP adresy. Pri vytváraní tunela sa identita hostiteľa potvrdzuje jeho individuálnym súkromným kľúčom.
Vytvorenej sieti je pridelený určitý rozsah intranetových adries (napríklad 192.168.10.0/24) a interné adresy sú spojené s hostiteľskými certifikátmi. Skupiny môžu byť vytvorené z účastníkov v prekryvnej sieti, napríklad do samostatných serverov a pracovných staníc, na ktoré sa aplikujú samostatné pravidlá filtrovania návštevnosti. K dispozícii sú rôzne mechanizmy na obídenie prekladačov adries (NAT) a firewallov. Je možné organizovať smerovanie cez prekrývajúcu sieť prenosu z hostiteľov tretích strán, ktorí nie sú súčasťou siete Nebula (nebezpečná trasa).
Podporuje vytváranie brán firewall na oddelenie prístupu a filtrovanie prevádzky medzi uzlami v prekryvnej sieti Nebula. Na filtrovanie sa používajú zoznamy ACL s väzbou značky. Každý hostiteľ v sieti môže definovať svoje vlastné pravidlá filtrovania na základe hostiteľov, skupín, protokolov a sieťových portov. V tomto prípade sú hostitelia filtrovaní nie podľa IP adries, ale podľa digitálne podpísaných identifikátorov hostiteľa, ktoré nemožno sfalšovať bez ohrozenia certifikačného centra koordinujúceho sieť.
V novom vydaní:
- Do príkazu print-cert bol pridaný príznak „-raw“, aby sa vytlačila reprezentácia certifikátu PEM.
- Pridaná podpora pre novú architektúru Linux riscv64.
- Pridané experimentálne nastavenie remote_allow_ranges na viazanie zoznamov povolených hostiteľov na konkrétne podsiete.
- Pridaná voľba pki.disconnect_invalid na resetovanie tunelov po ukončení dôvery alebo vypršaní životnosti certifikátu.
- Pridaná možnosť unsafe_routes. .metric na priradenie váhy konkrétnej externej trase.
Zdroj: opennet.ru
