Pared

Pared هو مستوى تحكم أمني عالي الأداء لمضيفات Linux ووحدة تحكم إدارية ويب تفاعلية في الوقت الفعلي، مكتوب بلغة Crystal. مبني على Kemal ومكونات Blueprint المُصيَّرة من الخادم مع SQLite3، وطبقة صغيرة من vanilla-JS/WebSocket، وبث سجلات libsystemd الأصلي، وهو يوحّد تنسيق firewalld وNetworkManager في واجهة مركزية تفاعلية.

يتميز Pared بمصادقة بدون كلمة مرور عبر mTLS، وإدارة هوية Linux PAM/SSSD، وارتباطات C أصلية بـ libsystemd لبث السجلات المباشر، ومحاكاة حزم النواة، وحرّاس التراجع الآلي لمنع الإغلاق، وتدقيق تجاوز شبكة الحاويات.

---

الميزات الرئيسية لمستوى التحكم

• محرك الطوبولوجيا الحية والرسم البياني: تعيين طوبولوجيا الرسم البياني الموجه اللاحلقات (DAG) للواجهات الفيزيائية، وروابط الشبكة، والجسور، وأنفاق WireGuard، وشبكات حاويات Netavark، ومناطق الجدار الناري، والخوادم المستمعة.
• محاكي تتبع الحزمة: خط أنابيب تقييم حزم حتمي من 7 مراحل يحاكي مرور الحزمة عبر واجهات الدخول، وتجاوزات المصدر، والقواعد الغنية، والسياسات، وNAT، وأهداف المقابس دون حقن حركة شبكة حية.
• حارس منع الإغلاق (مفتاح الرجل الميت): لقطات مرحلية متطايرة آلية مع مؤقت مراقبة تراجع مدته 30 ثانية عند تغييرات أهداف المنطقة التخريبية (DROP/REJECT)، مما يمنع إغلاق المشغل.
• مترجم القواعد الغنية المرئي وشجرة التركيب المجردة (AST): التحقق من الصياغة، واكتشاف التعارضات (القواعد المظللة والمتناقضة والمكررة)، واحتواء CIDR ثنائي المكدس IPv4/IPv6، وترجمات القواعد إلى لغة إنجليزية واضحة.
• مرابط مقابس المضيف والخوادم: ربط في الوقت الفعلي لمقابس TCP/UDP المفتوحة مع وحدات خدمة systemd المحلية، ومعرفات العمليات، وحالات التعرض للجدار الناري.
• وحدة تحكم تعرض الخدمات: صف قابل للتنفيذ لكل منفذ/بروتوكول يدمج حالة المستمع والجدار الناري (فتح شبح، حجب ظل، مكشوف، محلي فقط)، مع معالجة لكل صف وتصفية حية.
• مفتش جسر حاويات Netavark: اكتشاف تلقائي لشبكات حاويات Podman/Netavark وتدقيق تجاوز الجدار الناري بثقة صفرية على ارتباطات منافذ المضيف الشاملة (0.0.0.0، ::).
• منسّق WireGuard والمركز المرئي: نظافة المفاتيح التشفيرية، وتكوين نقاط نهاية الأقران، واكتشاف تداخل CIDR ثنائي المكدس IPv4/IPv6.
• تجربة مستخدم Omnibar المعتمدة على لوحة المفاتيح: تنقل كامل بلوحة المفاتيح ولوحة تغييرات (/trace، /rollback <zone>، /wg peer <term>، /zone add)، مع إرسال من جانب الخادم إلى وحدة التحكم المطابقة.
• هوية ووصول مُحصّنان (RBAC): احتياطي Linux PAM مع فحوصات انتهاء صلاحية الحساب (pam_acct_mgmt)، وحل مجموعات SSSD D-Bus، ومصادقة mTLS بشهادة عميل X.509 مع فحوصات CRL، وحماية CSRF.
• قابلية المراقبة الإنتاجية: بث سجلات systemd المباشر عبر WebSockets، وتكامل مراقب أصلي عبر NOTIFY_SOCKET، وتسجيل تدقيق منظم.

---

البدء السريع

المتطلبات الأساسية

• Fedora Linux/RHEL 9+ (أو توزيعة Linux قائمة على systemd)
• مترجم Crystal (الإصدار 1.21+)
• رؤوس تطوير libsystemd (systemd-devel)
• خوادم firewalld وNetworkManager النشطة
• SQLite3 وOpenSSL

التثبيت والإعداد المحلي

# 1. Clone repository & install shard dependencies
git clone https://gitlab.com/renich/pared.git
cd pared
shards install

# 2. Provision host system Polkit rules & seed default database
make setup
make seed

# 3. Compile and launch development server
make build
make run

لوحة تحكم مستوى التحكم على الويب متاحة على http://localhost:3636.

بيانات اعتماد العرض الافتراضية

عند التهيئة عبر make seed، تكون بيانات الاعتماد الافتراضية:

• البريد الإلكتروني: [email protected]
• كلمة المرور: password

(يمكن أيضًا لحسابات مستخدمي PAM على النظام المحلي ذات UID ≥ 1000 المصادقة مباشرة).

---

الاختبار وضمان الجودة

يفرض Pared معايير جودة صارمة مع مجموعات اختبارات وحدة وE2E شاملة للمتصفح:

# Run unit & integration test suite (200 examples)
make spec

# Run headless Selenium E2E browser test suite (16 examples)
make test-browser

# Run static analysis (Ameba)
bin/ameba

# Run security vulnerability scan (Flaw)
bin/flaw scan .

# Run reStructuredText documentation linter (crstlint)
find docs -name "*.rst" -exec crstlint {} +

---

النشر الإنتاجي وخدمة Systemd

يُوفَّر ملف وحدة systemd مُحصَّن للإنتاج في scripts/pared.service، ينفذ عزل النواة، ونبض المراقب، وقيود القدرات:

# Build production release binary
make release

# Install binary and systemd service
sudo install -m 755 bin/pared /usr/local/bin/pared
sudo install -m 644 scripts/pared.service /etc/systemd/system/pared.service

# Enable and start service
sudo systemctl daemon-reload
sudo systemctl enable --now pared.service

# Inspect service status and watchdog health
sudo systemctl status pared.service

---

التوثيق ومكتبة المراجع

تُصان المواصفات المعمارية الشاملة وسجلات القرارات في دليل docs/:

• المواصفات التقنية
• المواصفات الوظيفية
• خارطة طريق المشروع
• سجلات قرارات الهندسة المعمارية (ADRs)
• تدقيقات أمن وبنية بروتوكول Echelon

لبناء توثيق Sphinx HTML محليًا:

sphinx-build -b html -W docs docs/_build/html

---

المستودعات والنسخ المتطابقة

• المستودع الأساسي القانوني: GitLab
• النسخة المتطابقة الرسمية: Codeberg

---

المشرف

• Rénich Bon Ćirić (@renich) — المنشئ والمهندس المعماري الرئيسي
• مُصدَر تحت رخصة GNU العامة v3.0 أو أحدث (GPL-3.0-or-later).