Pared

Pared ist eine sichere, hochperformante Linux-Host-Sicherheitskontrollzentrale und Echtzeit-Administrations-Webkonsole, geschrieben in Crystal. Aufgebaut auf Kemal und Blueprint serverseitig gerenderten Komponenten mit SQLite3, einer kleinen Vanilla-JS/WebSocket-Schicht und nativem libsystemd-Journal-Streaming, vereint es die Orchestrierung von firewalld und NetworkManager in einer zentralisierten, reaktiven Schnittstelle.

Pared bietet gegenseitige TLS-Authentifizierung (mTLS) ohne Passwort, Linux PAM/SSSD-Identitätsverwaltung, native C-Bindings an libsystemd für Live-Journal-Streaming, Kernel-Paketsimulation, automatisierte Anti-Lockout-Rollback-Wächter und Container-Netzwerk-Bypass-Auditing.

Zentrale Funktionen der Kontrollzentrale

Lebende Topologie- und Graph-Engine: Directed Acyclic Graph (DAG)-Topologieabbildung physischer Schnittstellen, Netzwerk-Bonds, Bridges, WireGuard-Tunnel, Netavark-Container-Netzwerke, Firewall-Zonen und lauschender Daemons.
Trace-a-Packet-Simulator: 7-stufige deterministische Paketauswertungspipeline, die den Paketdurchlauf über Ingress-Schnittstellen, Quell-Overrides, Rich Rules, Policies, NAT und Socket-Ziele simuliert, ohne Live-Netzwerkverkehr zu injizieren.
Anti-Lockout-Wächter (Dead Man's Switch): Automatisierte flüchtige Staging-Snapshots mit einem 30-Sekunden-Rollback-Watchdog-Timer bei disruptiven Zonen-Ziel-Mutationen (DROP/REJECT), um eine Betreiber-Sperre zu verhindern.
Visueller Rich-Rule-Compiler & AST: Syntaxvalidierung, Konflikterkennung (verdeckte, widersprüchliche und doppelte Regeln), Dual-Stack-IPv4/IPv6-CIDR-Containment und Klartext-Übersetzungen von Regeln.
Host-Socket- & Daemon-Korrelator: Echtzeit-Korrelation offener TCP/UDP-Sockets mit lokalen systemd-Service-Units, Prozess-IDs und Firewall-Expositionszuständen.
Service-Exposure-Konsole: Eine handlungsrelevante Zeile pro Port/Protokoll, die Listener- und Firewall-Zustand zusammenführt (Ghost Opening, Shadow Block, exponiert, nur lokal), mit zeilenweiser Behebung und Live-Filterung.
Netavark-Container-Bridge-Inspektor: Automatische Erkennung von Podman/Netavark-Container-Netzwerken und Zero-Trust-Firewall-Bypass-Auditing bei Wildcard-Host-Port-Bindings (0.0.0.0, ::).
WireGuard-Orchestrator & Visueller Hub: Kryptografische Schlüsselhygiene, Peer-Endpunkt-Konfiguration und Dual-Stack-IPv4/IPv6-CIDR-Überlappungserkennung.
Omnibar Tastaturgesteuerte UX: Vollständige Tastaturnavigation und Mutationspalette (/trace, /rollback <zone>, /wg peer <term>, /zone add), mit serverseitigem Dispatch an die passende Konsole.
Gehärtete Identität & Zugriff (RBAC): Linux PAM-Fallback mit Kontoablaufprüfungen (pam_acct_mgmt), SSSD-D-Bus-Gruppenauflösung, X.509-Client-Zertifikat-mTLS mit CRL-Prüfungen und CSRF-Schutz.
Produktions-Observability: Live-systemd-Journal-Streaming über WebSockets, native Watchdog-Integration über NOTIFY_SOCKET und strukturiertes Audit-Logging.

Schnellstart

Voraussetzungen

Fedora Linux/RHEL 9+ (oder systemd-basierte Linux-Distribution)
Crystal Compiler (v1.21+)
libsystemd-Entwicklungs-Header (systemd-devel)
Aktive Daemons firewalld und NetworkManager
SQLite3 und OpenSSL

Installation & Lokales Setup

# 1. Clone repository & install shard dependencies
git clone https://gitlab.com/renich/pared.git
cd pared
shards install

# 2. Provision host system Polkit rules & seed default database
make setup
make seed

# 3. Compile and launch development server
make build
make run

Das Web-Dashboard der Kontrollzentrale ist unter http://localhost:3636 verfügbar.

Standard-Demo-Anmeldedaten

Bei Befüllung über make seed lauten die Standard-Anmeldedaten:

E-Mail: [email protected]
Passwort: password

(Lokale System-PAM-Benutzerkonten mit UID ≥ 1000 können sich ebenfalls direkt authentifizieren).

Tests & Qualitätssicherung

Pared erzwingt strenge Qualitätsstandards mit umfassenden Unit- und E2E-Browser-Testsuiten:

# Run unit & integration test suite (200 examples)
make spec

# Run headless Selenium E2E browser test suite (16 examples)
make test-browser

# Run static analysis (Ameba)
bin/ameba

# Run security vulnerability scan (Flaw)
bin/flaw scan .

# Run reStructuredText documentation linter (crstlint)
find docs -name "*.rst" -exec crstlint {} +

Produktions-Deployment & Systemd-Service

Eine produktionsgehärtete systemd-Unit-Datei ist unter scripts/pared.service verfügbar und implementiert Kernel-Sandboxing, Watchdog-Pinging und Capability-Einschränkungen:

# Build production release binary
make release

# Install binary and systemd service
sudo install -m 755 bin/pared /usr/local/bin/pared
sudo install -m 644 scripts/pared.service /etc/systemd/system/pared.service

# Enable and start service
sudo systemctl daemon-reload
sudo systemctl enable --now pared.service

# Inspect service status and watchdog health
sudo systemctl status pared.service

Dokumentation & Referenzbibliothek

Umfassende Architekturspezifikationen und Entscheidungsdokumente werden im Verzeichnis docs/ gepflegt:

Um die Sphinx-HTML-Dokumentation lokal zu erstellen:

sphinx-build -b html -W docs docs/_build/html

Repositories & Mirrors

Primäres kanonisches Repository: GitLab
Offizieller Mirror: Codeberg

Maintainer

Rénich Bon Ćirić (@renich) — Creator & Lead Architect
Veröffentlicht unter der GNU General Public License v3.0 oder später (GPL-3.0-or-later).

pared

Beliebteste