Pared

Pared es un plano de control de seguridad de host Linux seguro y de alto rendimiento, y una consola web administrativa en tiempo real escrita en Crystal. Construido sobre Kemal y componentes renderizados en servidor de Blueprint con SQLite3, una pequeña capa de vanilla-JS/WebSocket y streaming nativo de journal de libsystemd, unifica la orquestación de firewalld y NetworkManager en una interfaz centralizada y reactiva.

Pared incorpora autenticación sin contraseña mediante TLS mutuo (mTLS), gestión de identidades Linux PAM/SSSD, enlaces nativos en C a libsystemd para streaming de journal en vivo, simulación de paquetes del kernel, guardianes automatizados de reversión anti-bloqueo y auditoría de omisión de red de contenedores.

---

Características clave del plano de control

• Motor de topología viva y grafos: Mapeo de topología de grafo acíclico dirigido (DAG) de interfaces físicas, bonds de red, puentes, túneles WireGuard, redes de contenedores Netavark, zonas de firewall y demonios en escucha.
• Simulador Trace-a-Packet: Pipeline determinista de evaluación de paquetes en 7 etapas que simula el recorrido de paquetes a través de interfaces de ingreso, anulaciones de origen, reglas enriquecidas, políticas, NAT y destinos de socket sin inyectar tráfico de red real.
• Guardián anti-bloqueo (Dead Man's Switch): Instantáneas volátiles automatizadas de preparación con un temporizador de vigilancia de reversión de 30 segundos ante mutaciones disruptivas del objetivo de zona (DROP/REJECT), evitando el bloqueo del operador.
• Compilador visual de reglas enriquecidas y AST: Validación de sintaxis, detección de conflictos (reglas ensombrecidas, contradictorias y duplicadas), contención CIDR de doble pila IPv4/IPv6 y traducciones de reglas a lenguaje natural.
• Correlacionador de sockets de host y demonios: Correlación en tiempo real de sockets TCP/UDP abiertos con unidades de servicio systemd locales, IDs de proceso y estados de exposición del firewall.
• Consola de exposición de servicios: Una fila accionable por puerto/protocolo que fusiona el estado del listener y del firewall (apertura fantasma, bloqueo ensombrecido, expuesto, solo local), con remediación por fila y filtrado en vivo.
• Inspector de puentes de contenedores Netavark: Descubrimiento automático de redes de contenedores Podman/Netavark y auditoría de omisión de firewall de confianza cero en enlaces de puertos host comodín (0.0.0.0, ::).
• Orquestador WireGuard y hub visual: Higiene de claves criptográficas, configuración de endpoints de pares y detección de solapamiento CIDR de doble pila IPv4/IPv6.
• UX Omnibar controlada por teclado: Navegación completa por teclado y paleta de mutaciones (/trace, /rollback <zone>, /wg peer <term>, /zone add), con despacho del lado del servidor a la consola correspondiente.
• Identidad y acceso reforzados (RBAC): Respaldo de Linux PAM con comprobaciones de expiración de cuenta (pam_acct_mgmt), resolución de grupos por D-Bus de SSSD, mTLS con certificado de cliente X.509 con comprobaciones de CRL y protección CSRF.
• Observabilidad de producción: Streaming de journal de systemd en vivo sobre WebSockets, integración nativa de watchdog mediante NOTIFY_SOCKET y registro de auditoría estructurado.

---

Inicio rápido

Requisitos previos

• Fedora Linux/RHEL 9+ (o distribución Linux basada en systemd)
• Compilador Crystal (v1.21+)
• Cabeceras de desarrollo de libsystemd (systemd-devel)
• Demonios firewalld y NetworkManager activos
• SQLite3 y OpenSSL

Instalación y configuración local

# 1. Clone repository & install shard dependencies
git clone https://gitlab.com/renich/pared.git
cd pared
shards install

# 2. Provision host system Polkit rules & seed default database
make setup
make seed

# 3. Compile and launch development server
make build
make run

El panel web del plano de control está disponible en http://localhost:3636.

Credenciales de demostración predeterminadas

Cuando se inicializa mediante make seed, las credenciales predeterminadas son:

• Email: [email protected]
• Password: password

(Las cuentas de usuario PAM del sistema local con UID ≥ 1000 también pueden autenticarse directamente).

---

Pruebas y aseguramiento de calidad

Pared aplica estándares de calidad estrictos con suites completas de pruebas unitarias y E2E en navegador:

# Run unit & integration test suite (200 examples)
make spec

# Run headless Selenium E2E browser test suite (16 examples)
make test-browser

# Run static analysis (Ameba)
bin/ameba

# Run security vulnerability scan (Flaw)
bin/flaw scan .

# Run reStructuredText documentation linter (crstlint)
find docs -name "*.rst" -exec crstlint {} +

---

Despliegue en producción y servicio Systemd

Se proporciona un archivo de unidad systemd reforzado para producción en scripts/pared.service, que implementa sandboxing del kernel, ping de watchdog y restricciones de capacidades:

# Build production release binary
make release

# Install binary and systemd service
sudo install -m 755 bin/pared /usr/local/bin/pared
sudo install -m 644 scripts/pared.service /etc/systemd/system/pared.service

# Enable and start service
sudo systemctl daemon-reload
sudo systemctl enable --now pared.service

# Inspect service status and watchdog health
sudo systemctl status pared.service

---

Documentación y biblioteca de referencia

Las especificaciones arquitectónicas completas y los registros de decisiones se mantienen en el directorio docs/:

• Technical Specifications
• Functional Specifications
• Project Roadmap
• Architecture Decision Records (ADRs)
• Echelon Protocol Security & Architecture Audits

Para compilar la documentación HTML de Sphinx localmente:

sphinx-build -b html -W docs docs/_build/html

---

Repositorios y réplicas

• Repositorio canónico principal: GitLab
• Réplica oficial: Codeberg

---

Mantenedor

• Rénich Bon Ćirić (@renich) — Creador y arquitecto principal
• Publicado bajo la GNU General Public License v3.0 o posterior (GPL-3.0-or-later).