O

Esto tardó unos 15 minutos en mi portátil (será mucho más rápido si lo vuelve a ejecutar). El paso del enlace simbólico al principio no es necesario si su VM de compilación es independiente. Le da a Docker más espacio en disco y evita perder la caché de imágenes de Docker cuando reinicia la Qube. No es necesario con Podman, ya que los contenedores viven en su directorio personal por defecto.

Nota: los archivos objeto se almacenan en el directorio _build para acelerar las compilaciones incrementales. Si cambia las dependencias, deberá eliminar este directorio antes de recompilar.

Está bien instalar el paquete de Docker o Podman en una VM plantilla si desea que permanezca después de un reinicio, pero la compilación del firewall en sí debe realizarse en una AppVM normal.

También puede compilar sin ese script, como para cualquier unikernel Mirage normal; consulte las instrucciones de instalación de Mirage para más detalles.

El script de compilación fija las versiones de las bibliotecas que utiliza, asegurando que obtendrá exactamente el mismo binario que está en el lanzamiento. Si compila sin él, se compilará contra las últimas versiones (y por lo tanto, el hash probablemente no coincidirá). Sin embargo, debería funcionar bien.

Deploy

Despliegue manual

Si desea realizar un despliegue manual, solo necesita descargar qubes-firewall.xen y qubes-firewall.sha256 en domU y comprobar que el archivo .xen tiene un hashsum correspondiente. qubes-firewall.xen es el unikernel en sí y debe copiarse a vmlinuz en el directorio /var/lib/qubes/vm-kernels/mirage-firewall en dom0, p. ej. (si dev es la AppVM donde lo compiló):

Ejecute este comando en dom0 para crear una VM mirage-firewall usando el kernel mirage-firewall que añadió anteriormente

Despliegue mediante saltstack

Si sabe cómo ejecutar estados de salt en Qubes, también puede usar el script SaltScriptToDownloadAndInstallMirageFirewallInQubes.sls para desplegar automáticamente la última versión de mirage firewall en su Qubes OS. Puede encontrar una introducción aquí y aquí. Siguiendo las instrucciones del primer enlace, puede ejecutar el script en dom0 con el comando sudo qubesctl --show-output state.apply SaltScriptToDownloadAndInstallMirageFirewallInQubes saltenv=user. El script comprueba el checksum del servidor de integración y lo compara con la última versión proporcionada en los lanzamientos de github. Puede ser necesario ajustar las plantillas de VM en el script que se utilizan para la descarga del unikernel de mirage, si sus plantillas predeterminadas no tienen las herramientas curl y tar instaladas por defecto. Tampoco olvide cambiar las VMs en las que se debe usar el uni kernel o ajustar los "Qubes Global Settings".

Actualización

Para actualizar desde una versión anterior, simplemente sobrescriba /var/lib/qubes/vm-kernels/mirage-firewall/vmlinuz con la nueva versión y reinicie la VM del firewall.

Configurar AppVMs para usarlo

Puede ejecutar mirage-firewall junto con su sys-firewall existente y puede elegir qué AppVMs usan cada firewall mediante la GUI. Para configurar una AppVM para que lo use, vaya a los ajustes de la VM de la aplicación en la GUI y cambie su NetVM de default (sys-firewall) a mirage-firewall.

También puede configurarlo ejecutando este comando en dom0 (reemplace my-app-vm con el nombre de la AppVM):

Alternativamente, puede configurar mirage-firewall como su VM de firewall predeterminada.

Tenga en cuenta que, por defecto, dom0 usa sys-firewall como su "UpdateVM" (un proxy para descargar actualizaciones). mirage-firewall no puede usarse para esto, pero cualquier VM Linux debería ser suficiente. https://www.qubes-os.org/doc/software-update-dom0/ dice:

El rol de UpdateVM puede asignarse a cualquier VM en Qubes VM Manager, y no hay implicaciones de seguridad significativas en esta elección. Por defecto, este rol se asigna a la firewallvm.

Configurar el firewall con netvm estilo OpenBSD

Actualmente OpenBSD no puede usarse como netvm, así que si desea usar un BSD como su VM sys-net, deberá establecer su netvm a qubes-mirage-firewall (consulte https://github.com/mirage/qubes-mirage-firewall/issues/146 para más información). Eso significa que tendrá AppVMs -> qubes-mirage-firewall <- OpenBSD con la flecha representando el ajuste de la propiedad netvm.

En ese caso, tendrá que indicar a qubes-mirage-firewall qué cliente AppVM debe usarse como uplink:

con X.X.X.X como dirección IP para mirage-firewall e Y.Y.Y.Y como dirección IP de su HVM OpenBSD.

Componentes

Este diagrama muestra los componentes principales (cada caja corresponde a un archivo fuente .ml con el mismo nombre):

Las tramas Ethernet llegan desde qubes cliente (como work o personal) o desde sys-net. Los paquetes de Internet (IP) se envían a firewall, que consulta la tabla NAT y las reglas de QubesDB para decidir qué hacer con el paquete. Si debe reenviarse, usa router para enviarlo al destino elegido. client_net vigila la base de datos XenStore proporcionada por dom0 para saber cuándo es necesario añadir o eliminar clientes.

El proceso de arranque:

• config.ml describe las bibliotecas utilizadas y los ajustes de configuración estática (tamaño de la tabla NAT). La herramienta mirage usa esto para generar main.ml.
• main.ml inicializa los controladores seleccionados por config.ml y llama a la función start en unikernel.ml.
• unikernel.ml conecta los agentes de Qubes, configura los componentes de red y luego espera una solicitud de apagado.

Despliegue sencillo para desarrolladores

Para el desarrollo, use los scripts de test-mirage para desplegar el unikernel (qubes-firewall.xen) desde su AppVM de desarrollo. La primera vez requiere un poco más de configuración, pero después será mucho más rápido. Por ejemplo:

Probar que el firewall funciona

Hay un unikernel que prueba el firewall disponible en el subdirectorio test/. Para usarlo, ejecute test.sh y siga las instrucciones para configurar el entorno de pruebas.

Avisos de seguridad

Consulte problemas etiquetados como "security" para ver los avisos de seguridad que afectan al firewall.

LICENCIA

Consulte LICENSE.md