Pared

Pared est un plan de contrôle de sécurité d'hôte Linux sécurisé et hautes performances, ainsi qu'une console web d'administration en temps réel, écrit en Crystal. Construit sur Kemal et les composants rendus côté serveur Blueprint avec SQLite3, une petite couche vanilla-JS/WebSocket, et le streaming natif du journal libsystemd, il unifie l'orchestration de firewalld et NetworkManager dans une interface centralisée et réactive.

Pared propose une authentification sans mot de passe par TLS mutuel (mTLS), la gestion des identités Linux PAM/SSSD, des liaisons C natives vers libsystemd pour le streaming du journal en direct, la simulation de paquets noyau, des gardiens de rollback anti-verrouillage automatisés, et l'audit de contournement réseau des conteneurs.

Fonctionnalités clés du plan de contrôle

Topologie vivante et moteur de graphe : cartographie de topologie en graphe acyclique dirigé (DAG) des interfaces physiques, agrégations réseau, ponts, tunnels WireGuard, réseaux de conteneurs Netavark, zones de pare-feu et démons en écoute.
Simulateur Trace-a-Packet : pipeline d'évaluation déterministe de paquets en 7 étapes simulant le parcours d'un paquet à travers les interfaces d'entrée, les substitutions de source, les règles riches, les politiques, le NAT et les cibles de socket, sans injecter de trafic réseau réel.
Gardien anti-verrouillage (Dead Man's Switch) : instantanés de staging volatils automatisés avec un minuteur de surveillance de rollback de 30 secondes sur les mutations perturbatrices de cible de zone (DROP/REJECT), empêchant le verrouillage de l'opérateur.
Compilateur visuel de règles riches et AST : validation syntaxique, détection de conflits (règles masquées, contradictoires et dupliquées), confinement CIDR double pile IPv4/IPv6, et traductions de règles en langage clair.
Corrélateur de sockets d'hôte et de démons : corrélation en temps réel des sockets TCP/UDP ouverts avec les unités de service systemd locales, les identifiants de processus et les états d'exposition du pare-feu.
Console d'exposition des services : une ligne actionnable par port/protocole fusionnant l'état de l'écouteur et du pare-feu (ouverture fantôme, blocage masqué, exposé, local uniquement), avec remédiation par ligne et filtrage en direct.
Inspecteur de pont de conteneurs Netavark : découverte automatique des réseaux de conteneurs Podman/Netavark et audit de contournement de pare-feu zero-trust sur les liaisons de ports d'hôte génériques (0.0.0.0, ::).
Orchestrateur WireGuard et hub visuel : hygiène des clés cryptographiques, configuration des points de terminaison des pairs, et détection de chevauchement CIDR double pile IPv4/IPv6.
UX pilotée au clavier par Omnibar : navigation entièrement au clavier et palette de mutations (/trace, /rollback <zone>, /wg peer <term>, /zone add), avec répartition côté serveur vers la console correspondante.
Identité et accès renforcés (RBAC) : repli sur Linux PAM avec vérifications d'expiration de compte (pam_acct_mgmt), résolution de groupe SSSD D-Bus, mTLS par certificat client X.509 avec vérifications CRL, et protection CSRF.
Observabilité de production : streaming du journal systemd en direct via WebSockets, intégration native du watchdog via NOTIFY_SOCKET, et journalisation d'audit structurée.

Démarrage rapide

Prérequis

Fedora Linux/RHEL 9+ (ou distribution Linux basée sur systemd)
Compilateur Crystal (v1.21+)
En-têtes de développement libsystemd (systemd-devel)
Démons firewalld et NetworkManager actifs
SQLite3 et OpenSSL

Installation et configuration locale

# 1. Clone repository & install shard dependencies
git clone https://gitlab.com/renich/pared.git
cd pared
shards install

# 2. Provision host system Polkit rules & seed default database
make setup
make seed

# 3. Compile and launch development server
make build
make run

Le tableau de bord web du plan de contrôle est disponible à l'adresse http://localhost:3636.

Identifiants de démonstration par défaut

Lors de l'initialisation via make seed, les identifiants par défaut sont :

Email : [email protected]
Mot de passe : password

(Les comptes utilisateurs PAM du système local avec UID ≥ 1000 peuvent également s'authentifier directement).

Tests et assurance qualité

Pared impose des normes de qualité strictes avec des suites de tests unitaires et E2E navigateur complètes :

# Run unit & integration test suite (200 examples)
make spec

# Run headless Selenium E2E browser test suite (16 examples)
make test-browser

# Run static analysis (Ameba)
bin/ameba

# Run security vulnerability scan (Flaw)
bin/flaw scan .

# Run reStructuredText documentation linter (crstlint)
find docs -name "*.rst" -exec crstlint {} +

Déploiement en production et service Systemd

Un fichier d'unité systemd renforcé pour la production est fourni à scripts/pared.service, mettant en œuvre l'isolation du noyau, le ping du watchdog et les restrictions de capacités :

# Build production release binary
make release

# Install binary and systemd service
sudo install -m 755 bin/pared /usr/local/bin/pared
sudo install -m 644 scripts/pared.service /etc/systemd/system/pared.service

# Enable and start service
sudo systemctl daemon-reload
sudo systemctl enable --now pared.service

# Inspect service status and watchdog health
sudo systemctl status pared.service

Documentation et bibliothèque de référence

Des spécifications architecturales complètes et des enregistrements de décisions sont maintenus dans le répertoire docs/ :

Pour construire la documentation HTML Sphinx localement :

sphinx-build -b html -W docs docs/_build/html

Dépôts et miroirs

Dépôt canonique principal : GitLab
Miroir officiel : Codeberg

Mainteneur

Rénich Bon Ćirić (@renich) — Créateur et architecte principal
Publié sous la GNU General Public License v3.0 ou ultérieure (GPL-3.0-or-later).

pared

Populaires