Utgåvan av Nebula 1.9, systemet för skapande av overlay P2P-nätverk

Nebula 1.9-projektets publicering erbjuder verktyg för att bygga säkra overlay-nätverk som gör det möjligt att länka geografiskt separerade värdar i ett isolerat nätverk som fungerar ovanpå det globala nätet. Projektet är avsett för att skapa sina egna overlay-nätverk för olika behov, exempelvis för att ansluta företagsdatorer i olika kontor, servrar i olika datacenter eller virtuella miljöer hos olika molnleverantörer. Koden är skriven i Go och distribueras under MIT-licensen. Projektet grundades av företaget Slack, som utvecklar den med namnet Slack. Stöd för Linux, FreeBSD, macOS, Windows, iOS och Android.

Noder i Nebula-nätverket interagerar direkt med varandra i P2P-läge – när behov av datatransfer mellan noder uppstår skapas dynamiskt direkt VPN-kopplingar. Identiteten för varje värd i nätverket bekräftas av ett digitalt certifikat, och anslutningen till nätverket kräver autentisering — varje användare får ett certifikat som bekräftar IP-adressen i Nebula-nätverket, namnet och medlemskap i värdgrupper. Certifikaten signeras av en intern certifikatutfärdare som distribueras av skaparen av varje nätverk på sina egna resurser och som används för att intyga befogenheterna hos värdar som har rätt att ansluta till ett specifikt overlay-nätverk kopplat till certifikatutfärdaren.

För att skapa en autentiserad säker kommunikationskanal i Nebula används en egen tunnelingprotokoll baserat på Diffie-Hellman nyckelutbytesprotokoll och AES-256-GCM-kryptering. Implementeringen av protokollet baseras på beprövade och färdiga komponenter som tillhandahålls av Noise-ramverket, vilket även används i projekt som WireGuard, Lightning och I2P. Det sägs att projektet har genomgått en oberoende säkerhetsrevision.

För att upptäcka andra noder och koordinera anslutningar till nätverket skapas speciella noder "lighthouse", vars globala IP-adresser är fasta och kända för nätverksdeltagarna. Deltagande noder har ingen koppling till externa IP-adress, de identifieras med certifikat. Ägarna av värdar kan själva inte göra ändringar i signerade certifikat och kan, till skillnad från traditionella IP-nätverk, inte utge sig för att vara en annan värd genom att enkelt ändra IP-adressen. När en tunnel skapas bekräftas värdens identitet med en individuell privat nyckel.

Det skapade nätverket tilldelas ett specifikt intervall av interna adresser (t.ex. 192.168.10.0/24) och länkar internt adresser med värdcertifikat. Olika mekanismer tillhandahålls för att kringgå nätverksadressöversättare (NAT) och brandväggar. Det är möjligt att organisera routing av trafik genom overlay-nätverket för externa värdar som inte är anslutna till Nebula-nätverket (unsafe route). Från deltagarna i overlay-nätverket kan grupper bildas, till exempel för att separera servrar och arbetsstationer, som får särskilda regler för trafikfiltrering.

Stöd för skapande av brandväggar för att dela åtkomst och filtrera trafik mellan noder i Nebula-överlagringsnätverket. För filtrering används ACL med taggkoppling. Varje värd i nätverket kan definiera sina egna filtreringsregler baserade på värdar, grupper, protokoll och nätverksportar. Värdar filtreras inte efter IP-adresser, utan efter certifierade digitala signaturidentiteter för värden, som inte kan förfalskas utan att kompromissa med den utfärdande myndigheten som koordinerar nätverkets drift.

I den nya utgåvan:

• En ny inställning default_local_cidr_any har lagts till, vilket ändrar beteendet vid bearbetning av "local_ip"-undergrupper i brandväggsregler för att förhindra obefogat tillåtande av trafik till värdar listade i blocket unsafe_routes. I version 1.9 är inställningen satt till "true", men i nästa version 1.10 kommer den att ändras till "false", vilket medför att lokala undergrupper beaktas vid tillämpning av brandväggsregler på värdar som är tillgängliga via osäkra rutter (obligatorisk angivelse av local_cidr krävs för att öppna tillgång till sådana värdar).
• En officiell bild för Docker-systemet har tillhandahållits, vilket gör det möjligt att snabbt distribuera ett överlagrat nätverk baserat på Nebula eller en nod för det.
• Experimentella byggen för Loong64-arkitekturen har lagts till.
• En tjänsteskritt för initieringssystemet OpenRC har implementerats.
• Stöd för certifikatbaserad autentisering som bekräftas av utfärdande myndighet har lagts till i bakgrundsprocessen SSH (sshd.trusted_cas). Möjlighet att integrera värdnycklar i inställningsblock av sshd.host_key har realiserats.
• Stöd för omstart av inställningar "tun.unsafe_routes" har tillhandahållits.
• Stödet för den utgångna inställningen local_range har tagits bort, och den bör nu ersättas av preferred_ranges.
• Byggverktyg som Go 1.22 krävs nu. Minimikrav på Windows-versioner har höjts till Windows 10 och Windows Server 2016.

Källa: opennet.ru