Utgåvan av Nebula 1.5, systemet för att skapa overlay P2P-nätverk

Utgåvan av projektet Nebula 1.5 är tillgänglig och erbjuder verktyg för att bygga säkra overlay-nätverk. Nätverket kan sammanlänka från några till tiotusentals geografiskt spridda värdar som är placerade hos olika leverantörer, vilket bildar ett separat isolerat nätverk ovanpå det globala nätverket. Projektet är skrivet i Go och distribueras under MIT-licensen. Projektet grundades av Slack, som utvecklar den med namn-bärande företagsmeddelaren. Det stöder drift på Linux, FreeBSD, macOS, Windows, iOS och Android.

Noder i Nebula-nätverket interagerar direkt med varandra i P2P-läge – när behov av datatransfer mellan noder uppstår skapas dynamiskt direkt VPN-anslutningar. Identiteten hos varje värd i nätverket bekräftas med ett digitalt certifikat, och anslutning till nätverket kräver autentisering – varje användare får ett certifikat som bekräftar IP-adressen i Nebula, namnet och medlemskapet i värdgrupper. Certifikaten signeras av en intern certifieringsmyndighet som distribueras av nätverkets skapare på sina resurser och används för att bekräfta rättigheterna för värdar som har rätt att koppla upp sig mot overlay-nätverket.

För att skapa en autentiserad säker kommunikationskanal i Nebula används en egen tunnelingprotokoll baserat på Diffie-Hellman nyckelutbytesprotokoll och AES-256-GCM-kryptering. Implementeringen av protokollet baseras på beprövade och färdiga komponenter som tillhandahålls av Noise-ramverket, vilket även används i projekt som WireGuard, Lightning och I2P. Det sägs att projektet har genomgått en oberoende säkerhetsrevision.

För att upptäcka andra noder och koordinera anslutningar till nätverket skapas speciella noder "lighthouse", vars globala IP-adresser är fasta och kända för nätverksdeltagarna. Deltagande noder har ingen koppling till externa IP-adress, de identifieras med certifikat. Ägarna av värdar kan själva inte göra ändringar i signerade certifikat och kan, till skillnad från traditionella IP-nätverk, inte utge sig för att vara en annan värd genom att enkelt ändra IP-adressen. När en tunnel skapas bekräftas värdens identitet med en individuell privat nyckel.

Det skapade nätverket tilldelas ett visst intervall av intranet-adresser (till exempel 192.168.10.0/24) och kopplingen av interna adresser till värdarnas certifikat genomförs. Deltagare i overlay-nätverket kan bilda grupper, till exempel för att separera servrar och arbetsstationer, vilka tillämpas med separata trafiksärskilda regler. Olika mekanismer tillhandahålls för att kringgå adressöversättare (NAT) och brandväggar. Det är möjligt att organisera routing genom overlay-nätverket för externa värdar som inte ingår i Nebula-nätverket (unsafe route).

Skapandet av brandväggar stöds för att separera åtkomst och filtrera trafik mellan noder i overlay-nätverket Nebula. För filtrering används ACL med taggar kopplade. Varje värd i nätverket kan definiera sina egna regler för filtrering baserat på värdar, grupper, protokoll och nätverksportar. Värdar filtreras inte efter IP-adresser utan efter certifierade digitalt signerade identifierare för värdar, som inte kan förfalskas utan att kompromettera nätverkets certifieringsmyndighet.

I den nya utgåvan:

• Till kommandot print-cert har flaggan "-raw" lagts till för att skriva ut PEM-representationen av certifikatet.
• Stöd för den nya Linux-arkitekturen riscv64 har lagts till.
• En experimentell inställning remote_allow_ranges har lagts till för att koppla listor över tillåtna värdar till specifika delnät.
• Alternativet pki.disconnect_invalid har lagts till för att återställa tunnlar efter att förtroendet har upphört eller efter certifikatets livslängd har löpt ut.
• Alternativet unsafe_routes..metric har lagts till för att ange vikten för en viss extern rutt.

Källa: opennet.ru