Ou

Cela a pris environ 15 minutes sur mon ordinateur portable (ce sera beaucoup plus rapide si vous le relancez). L'étape du lien symbolique au début n'est pas nécessaire si votre VM de compilation est autonome. Elle donne plus d'espace disque à Docker et évite de perdre le cache des images Docker lorsque vous redémarrez la Qube. Ce n'est pas nécessaire avec Podman car les conteneurs vivent dans votre répertoire personnel par défaut.

Remarque : les fichiers objets sont stockés dans le répertoire _build pour accélérer les compilations incrémentales. Si vous modifiez les dépendances, vous devrez supprimer ce répertoire avant de recompiler.

Il est acceptable d'installer le paquet Docker ou Podman dans une VM modèle si vous souhaitez qu'il reste après un redémarrage, mais la compilation du pare-feu lui-même doit être effectuée dans une AppVM normale.

Vous pouvez également compiler sans ce script, comme pour tout unikernel Mirage normal ; voir les instructions d'installation de Mirage pour plus de détails.

Le script de compilation fige les versions des bibliothèques qu'il utilise, garantissant que vous obtiendrez exactement le même binaire que celui de la release. Si vous compilez sans lui, la compilation se fera avec les dernières versions à la place (le hash ne correspondra donc probablement pas). Cependant, cela devrait tout de même fonctionner correctement.

Deploy

Déploiement manuel

Si vous souhaitez déployer manuellement, il vous suffit de télécharger qubes-firewall.xen et qubes-firewall.sha256 dans domU et de vérifier que le fichier .xen a une somme de contrôle correspondante. qubes-firewall.xen est l'unikernel lui-même et doit être copié vers vmlinuz dans le répertoire /var/lib/qubes/vm-kernels/mirage-firewall dans dom0, par exemple (si dev est l'AppVM où vous l'avez compilé) :

Exécutez cette commande dans dom0 pour créer une VM mirage-firewall en utilisant le noyau mirage-firewall que vous avez ajouté ci-dessus

Déploiement avec saltstack

Si vous êtes familiarisé avec l'exécution des états Salt dans Qubes, vous pouvez également utiliser le script SaltScriptToDownloadAndInstallMirageFirewallInQubes.sls pour déployer automatiquement la dernière version de mirage firewall dans votre Qubes OS. Une introduction est disponible ici et ici. En suivant les instructions du premier lien, vous pouvez exécuter le script dans dom0 avec la commande sudo qubesctl --show-output state.apply SaltScriptToDownloadAndInstallMirageFirewallInQubes saltenv=user. Le script vérifie la somme de contrôle du serveur d'intégration et la compare avec la dernière version fournie dans les releases GitHub. Il peut être nécessaire d'ajuster les modèles de VM dans le script utilisés pour télécharger l'unikernel Mirage, si vos modèles par défaut n'ont pas les outils curl et tar installés par défaut. N'oubliez pas non plus de changer les VM dans lesquelles l'unikernel doit être utilisé ou d'ajuster les « Qubes Global Settings ».

Mise à niveau

Pour mettre à niveau à partir d'une version antérieure, il suffit de remplacer /var/lib/qubes/vm-kernels/mirage-firewall/vmlinuz par la nouvelle version et de redémarrer la VM du pare-feu.

Configurer les AppVMs pour l'utiliser

Vous pouvez exécuter mirage-firewall parallèlement à votre sys-firewall existant et choisir quelles AppVMs utilisent quel pare-feu via l'interface graphique. Pour configurer une AppVM afin qu'elle l'utilise, accédez aux paramètres de la VM d'application dans l'interface graphique et changez son NetVM de default (sys-firewall) à mirage-firewall.

Vous pouvez également la configurer en exécutant cette commande dans dom0 (remplacez my-app-vm par le nom de l'AppVM) :

Alternativement, vous pouvez configurer mirage-firewall comme VM de pare-feu par défaut.

Notez que par défaut dom0 utilise sys-firewall comme « UpdateVM » (un proxy pour télécharger les mises à jour). mirage-firewall ne peut pas être utilisé pour cela, mais n'importe quelle VM Linux devrait convenir. https://www.qubes-os.org/doc/software-update-dom0/ dit :

Le rôle d'UpdateVM peut être attribué à n'importe quelle VM dans le Qubes VM Manager, et il n'y a pas d'implications de sécurité significatives dans ce choix. Par défaut, ce rôle est attribué à la firewallvm.

Configurer le pare-feu avec un netvm de type OpenBSD

OpenBSD ne peut actuellement pas être utilisé comme netvm, donc si vous voulez utiliser un BSD comme VM sys-net, vous devrez définir son netvm sur qubes-mirage-firewall (voir https://github.com/mirage/qubes-mirage-firewall/issues/146 pour plus d'informations). Cela signifie que vous aurez AppVMs -> qubes-mirage-firewall <- OpenBSD, la flèche représentant le réglage de la propriété netvm.

Dans ce cas, vous devrez indiquer à qubes-mirage-firewall quel client AppVM doit être utilisé comme liaison montante :

avec X.X.X.X l'adresse IP de mirage-firewall et Y.Y.Y.Y l'adresse IP de votre HVM OpenBSD.

Composants

Ce diagramme montre les principaux composants (chaque boîte correspond à un fichier source .ml portant le même nom) :

Les trames Ethernet arrivent des qubes clientes (comme work ou personal) ou de sys-net. Les paquets Internet (IP) sont envoyés à firewall, qui consulte la table NAT et les règles de QubesDB pour décider quoi faire du paquet. S'il doit être transmis, il utilise router pour l'envoyer à la destination choisie. client_net surveille la base de données XenStore fournie par dom0 pour savoir quand des clients doivent être ajoutés ou supprimés.

Le processus de démarrage :

• config.ml décrit les bibliothèques utilisées et les paramètres de configuration statiques (taille de la table NAT). L'outil mirage utilise ce fichier pour générer main.ml.
• main.ml initialise les pilotes sélectionnés par config.ml et appelle la fonction start dans unikernel.ml.
• unikernel.ml connecte les agents Qubes, configure les composants réseau, puis attend une demande d'arrêt.

Déploiement facile pour les développeurs

Pour le développement, utilisez les scripts test-mirage pour déployer l'unikernel (qubes-firewall.xen) depuis votre AppVM de développement. La première fois, la mise en place demande un peu plus de travail, mais cela ira beaucoup plus vite ensuite. Par exemple :

Tester si le pare-feu fonctionne

Un unikernel qui teste le pare-feu est disponible dans le sous-répertoire test/. Pour l'utiliser, exécutez test.sh et suivez les instructions pour configurer l'environnement de test.

Avis de sécurité

Voir les problèmes étiquetés « security » pour les avis de sécurité concernant le pare-feu.

LICENCE

Voir LICENSE.md