OpenZiti

OpenZiti एक ओपन-सोर्स शून्य-विश्वास नेटवर्किंग प्लेटफ़ॉर्म है जो नेटवर्क सेवाओं को अनधिकृत उपयोगकर्ताओं के लिए अदृश्य बनाता है। हर कनेक्शन, चाहे वह किसी उपयोगकर्ता, सेवा, डिवाइस या वर्कलोड से हो, क्रिप्टोग्राफ़िक पहचान से प्रमाणित, नीति द्वारा अधिकृत और एंड-टू-एंड एन्क्रिप्टेड होता है।

OpenZiti मौजूदा एप्लिकेशन (हल्के टनलर्स का उपयोग करके, बिना कोड परिवर्तन के) और नए एप्लिकेशन (सबसे मजबूत शून्य-विश्वास मॉडल के लिए एम्बेडेड SDK) दोनों के साथ काम करता है। यह इसे ब्राउनफ़ील्ड वातावरण और ग्रीनफ़ील्ड विकास दोनों के लिए व्यावहारिक बनाता है।

NetFoundry द्वारा निर्मित और प्रायोजित। Apache 2.0 के तहत लाइसेंस प्राप्त।

विषय सूची

• उपयोग के मामले
• प्रमुख क्षमताएँ
• तीन परिनियोजन मॉडल
• आरंभ करना
• आर्किटेक्चर
• शून्य विश्वास, डार्क सेवाएँ और एंड-टू-एंड एन्क्रिप्शन
• एसडीके
• समुदाय और सहायता
• योगदान
• अपनाने वाले
• प्रबंधित समाधान

उपयोग के मामले

OpenZiti आपको किसी भी उपयोग मामले के लिए कहीं भी शून्य-विश्वास विस्तारित करने में सक्षम बनाता है, जिसमें गैर-मानव वर्कलोड और वर्कफ़्लो, कई नेटवर्क और तीसरे पक्ष शामिल हैं। निम्नलिखित कुछ सामान्य उपयोग मामले हैं।

वीपीएन बदलें

बिना वीपीएन क्लाइंट, स्प्लिट टनलिंग सिरदर्द या कंसंट्रेटर बाधाओं के आंतरिक सेवाओं तक सुरक्षित पहुँच प्रदान करें। प्रत्येक सेवा व्यक्तिगत रूप से अधिकृत है। कोई "एक बार अंदर आए, तो सब कुछ पहुँच योग्य" समस्या नहीं।

डार्क एपीआई और सेवाएँ

एपीआई और सेवाओं को इंटरनेट के लिए अदृश्य बनाएँ। शून्य सुनने वाले पोर्ट का मतलब शून्य हमले की सतह है। अधिकृत क्लाइंट OpenZiti के माध्यम से जुड़ते हैं; बाकी सभी को कुछ नहीं दिखता।

IoT और गैर-मानव पहचान

हर डिवाइस, सेंसर और मशीन को एक अद्वितीय क्रिप्टोग्राफ़िक पहचान दें। OpenZiti का पहचान मॉडल मानव उपयोगकर्ताओं की तरह ही गैर-मानव वर्कलोड के लिए भी काम करता है, जो आधुनिक नेटवर्क ट्रैफ़िक का बहुमत बनाने वाले मशीन-से-मशीन कनेक्शनों के लिए मजबूत प्रमाणीकरण प्रदान करता है।

शून्य विश्वास वर्कलोड

क्लाउड और वातावरणों में वर्कलोड-से-वर्कलोड संचार सुरक्षित करें। सेवाएँ नेटवर्क स्थान के बजाय क्रिप्टोग्राफ़िक पहचान के साथ एक-दूसरे को प्रमाणित करती हैं। कोई साझा रहस्य नहीं, कोई आईपी अनुमति सूची नहीं, कोई परिवेशीय अधिकार नहीं।

एजेंटिक AI

प्रत्येक AI प्रतिभागी के लिए क्रिप्टोग्राफ़िक पहचान के साथ एजेंट-से-सेवा और एजेंट-से-एजेंट संचार सुरक्षित करें। MCP सर्वर, टूल एंडपॉइंट और निजी LLM बिना किसी सुनने वाले पोर्ट या सार्वजनिक URL के डार्क रहते हैं। एजेंट मजबूत, अद्वितीय पहचानों के साथ प्रमाणित होते हैं और केवल उन संसाधनों तक पहुँचते हैं जिनकी नीति अनुमति देती है, इसलिए स्वायत्त वर्कफ़्लो को आवश्यक पहुँच मिलती है, बाकी सब पर परिवेशीय अधिकार नहीं।

मल्टी-क्लाउड और हाइब्रिड कनेक्टिविटी

AWS, Azure, GCP, ऑन-प्रिमाइसेस डेटा सेंटर और एज लोकेशन पर एक ओवरले नेटवर्क। कोई क्लाउड-विशिष्ट नेटवर्किंग टूल नहीं, वातावरणों के बीच कोई वीपीएन टनल नहीं, कोई जटिल पियरिंग व्यवस्था नहीं।

स्व-होस्टेड सेवा पहुँच

Nextcloud, Home Assistant, मीडिया सर्वर और विकास वातावरण जैसी होम लैब या स्व-होस्टेड सेवाओं तक कहीं से भी पहुँचें। कोई खुले राउटर पोर्ट नहीं, कोई डायनामिक DNS नहीं, तीसरे पक्ष की टनल सेवाओं पर कोई निर्भरता नहीं। आप पूरे पथ को नियंत्रित करते हैं।

Kubernetes और क्रॉस-क्लस्टर सेवाएँ

जटिल इन्ग्रेस नियमों, सर्विस मेश साइडकार या क्लस्टरों के बीच वीपीएन टनल के बिना Kubernetes क्लस्टरों में सेवाओं को कनेक्ट करें। Kubernetes से परे काम करता है, k8s सेवाओं को VM, बेयर मेटल, IoT डिवाइस या ओवरले पर किसी और चीज़ से जोड़ने का समर्थन करता है।

प्रमुख क्षमताएँ

तीन परिनियोजन मॉडल

OpenZiti तीन शून्य-विश्वास मॉडल का समर्थन करता है। उन्हें एक ही नेटवर्क में मिलाएं और समय के साथ उनके बीच माइग्रेट करें।

नेटवर्क पहुँच

एक विश्वसनीय नेटवर्क ज़ोन में OpenZiti एज राउटर तैनात करें। ट्रैफ़िक प्रमाणित क्लाइंट से ओवरले में प्रवेश करता है और निजी नेटवर्क में बाहर निकलता है जहाँ सेवाएँ चलती हैं।

• कोड परिवर्तन: कोई नहीं
• सेवा होस्ट पर एजेंट: कोई नहीं
• सुरक्षा मॉडल: नेटवर्क सीमा पर पहचान-आधारित पहुँच। गेटवे के समान, लेकिन क्रिप्टोग्राफ़िक पहचान और एन्क्रिप्टेड परिवहन के साथ।

होस्ट पहुँच

अपनी सेवा के समान होस्ट पर OpenZiti टनलर चलाएँ। टनलर पहचान, प्रमाणीकरण और एन्क्रिप्शन संभालता है। सेवा को केवल लोकलहोस्ट से कनेक्शन स्वीकार करने की आवश्यकता है।

• कोड परिवर्तन: कोई नहीं
• सेटअप: टनलर स्थापित करें, पहचान नामांकित करें
• सुरक्षा मॉडल: होस्ट OS पर विश्वास सीमा। सेवा नेटवर्क के लिए डार्क है और केवल टनलर के माध्यम से पहुँच योग्य है।

एप्लिकेशन पहुँच (सबसे मजबूत)

क्लाइंट और/या सर्वर एप्लिकेशन में सीधे OpenZiti SDK एम्बेड करें। एप्लिकेशन स्वयं क्रिप्टोग्राफ़िक पहचान रखता है और प्रक्रिया में ट्रैफ़िक को एन्क्रिप्ट करता है। कोई सुनने वाले पोर्ट मौजूद नहीं हैं, लोकलहोस्ट पर भी नहीं।

• कोड परिवर्तन: हाँ
• सुरक्षा मॉडल: सबसे मजबूत। प्रक्रिया में एंड-टू-एंड एन्क्रिप्शन। पूरी तरह से डार्क। एप्लिकेशन परत पर पहचान, नेटवर्क या होस्ट पर नहीं।

कहाँ से शुरू करें: कई टीमें मौजूदा सेवाओं के लिए होस्ट पहुँच (टनलर्स) से शुरू करती हैं। यह मिनटों में बिना कोड परिवर्तन के तैनात हो जाता है। नए विकास या उच्च-सुरक्षा वर्कलोड के लिए, एप्लिकेशन पहुँच (एसडीके) सबसे मजबूत शून्य-विश्वास मुद्रा प्रदान करता है।

आरंभ करना

निम्नलिखित क्विक स्टार्ट दिखाते हैं कि विकास, परीक्षण और सीखने के लिए स्थानीय OpenZiti नेटवर्क कैसे स्थापित करें। उत्पादन परिनियोजन के लिए, https://netfoundry.io/docs/openziti/category/deployments/ पर उत्पाद दस्तावेज़ देखें।

Docker के साथ क्विक स्टार्ट

स्थानीय OpenZiti नेटवर्क चलाने का सबसे तेज़ तरीका:

wget https://get.openziti.io/dock/all-in-one/compose.yml
docker compose up

यह एक ही compose स्टैक में एक नियंत्रक, एज राउटर और Ziti कंसोल शुरू करता है। कंसोल https://localhost:1280/zac/ पर उपलब्ध है। यहाँ से आप पहचान बना सकते हैं, सेवाएँ परिभाषित कर सकते हैं और पहुँच नीतियाँ कॉन्फ़िगर कर सकते हैं।

स्टोरेज विकल्पों, पर्यावरण चर और CLI उपयोग सहित पूर्ण विवरण के लिए सभी-एक-में Docker क्विकस्टार्ट देखें।

CLI के साथ क्विक स्टार्ट

GitHub Releases से नवीनतम ziti बाइनरी डाउनलोड करें, फिर:

ziti edge quickstart

यह एक स्थानीय विकास नेटवर्क लाता है: नियंत्रक, राउटर और एक डिफ़ॉल्ट प्रशासन पहचान। परीक्षण और सीखने के लिए आदर्श।

चल रहे नियंत्रक में Ziti Admin Console (ZAC) जोड़ने के लिए:

ziti ops console download --location /opt/openziti/console
ziti ops console configure /path/to/controller.yml --all --location /opt/openziti/console
# नियंत्रक को पुनरारंभ करें, फिर https://<controller-address>/zac/ खोलें

या नियंत्रक कॉन्फ़िगरेशन को छुए बिना ZAC को स्थानीय रूप से परोसें:

ziti run console --version latest
# https://127.0.0.1:8443 खुलता है। ब्राउज़र से इसे किसी भी नियंत्रक पर इंगित करें

और जानें

आर्किटेक्चर

OpenZiti का ओवरले नेटवर्क मौजूदा बुनियादी ढांचे के शीर्ष पर चलता है: कोई भी IP नेटवर्क, कोई भी क्लाउड, कोई भी संयोजन। मुख्य घटक:

नियंत्रक

नियंत्रक प्रबंधन विमान है। यह संभालता है:

• पहचान प्रबंधन: नेटवर्क में प्रत्येक प्रतिभागी के लिए क्रिप्टोग्राफ़िक पहचान (x509 प्रमाणपत्र) जारी और सत्यापित करता है
• नीति प्रवर्तन: परिभाषित करता है कि कौन सी पहचान किन सेवाओं तक, किन एज राउटरों के माध्यम से पहुँच सकती हैं
• नेटवर्क स्थिति: राउटर, सेवाओं और टोपोलॉजी को ट्रैक करता है; प्रबंधन के लिए एक REST API और वेब-आधारित प्रशासन कंसोल प्रदान करता है

एज राउटर

एज राउटर डेटा विमान, एक मेश फैब्रिक बनाते हैं जो एंडपॉइंट के बीच एन्क्रिप्टेड ट्रैफ़िक ले जाता है।

• सार्वजनिक राउटर इंटरनेट से पहुँच योग्य होते हैं, नेटवर्क में प्रवेश बिंदु के रूप में सेवा करते हैं
• निजी ("डार्क") राउटर केवल आउटबाउंड कनेक्शन के साथ निजी नेटवर्क के अंदर तैनात किए जाते हैं

राउटर स्वचालित रूप से एक-दूसरे की खोज करते हैं, मेश कनेक्शन बनाते हैं, और विलंबता, थ्रूपुट और लागत के आधार पर सबसे अच्छा पथ चुनने के लिए स्मार्ट रूटिंग का उपयोग करते हैं।

एंडपॉइंट: एसडीके और टनलर्स

एंडपॉइंट वे हैं जिनके माध्यम से एप्लिकेशन और उपयोगकर्ता OpenZiti नेटवर्क से जुड़ते हैं:

• एसडीके (Go, C, Python, Node.js, Java, Swift, C#): अपने एप्लिकेशन में सीधे शून्य-विश्वास एम्बेड करें। ऐप स्वयं पहचान रखता है और एन्क्रिप्शन संभालता है। कोई साइडकार, कोई एजेंट, कोई सुनने वाले पोर्ट नहीं।

• टनलर्स (Linux, Windows, macOS, iOS, Android): हल्के ऐप जो असंशोधित सॉफ़्टवेयर को OpenZiti कनेक्टिविटी प्रदान करते हैं। ट्रैफ़िक को पारदर्शी रूप से इंटरसेप्ट किया जाता है और ओवरले के माध्यम से रूट किया जाता है। कोई कोड परिवर्तन आवश्यक नहीं।

शून्य विश्वास, डार्क सेवाएँ और एंड-टू-एंड एन्क्रिप्शन

शून्य विश्वास और एप्लिकेशन विभाजन

OpenZiti नेटवर्क में हर प्रतिभागी (जैसे, उपयोगकर्ता, सेवा, डिवाइस, वर्कलोड) x509 प्रमाणपत्रों द्वारा समर्थित एक अद्वितीय क्रिप्टोग्राफ़िक पहचान रखता है। जब कोई कनेक्शन प्रयास किया जाता है, OpenZiti सत्यापित करता है:

1. पहचान वैध और नामांकित है
2. एक नीति मौजूद है जो उस पहचान को अनुरोधित सेवा तक पहुँच प्रदान करती है
3. कनेक्शन एक अधिकृत एज राउटर के माध्यम से है

यदि कोई जाँच विफल होती है, तो कनेक्शन अस्वीकार कर दिया जाता है। यदि बाद में पहुँच रद्द कर दी जाती है, तो सक्रिय कनेक्शन तुरंत समाप्त कर दिए जाते हैं। नेटवर्क स्थान के आधार पर कोई निहित विश्वास नहीं है। एक ही LAN पर होने से इंटरनेट पर होने से अधिक पहुँच नहीं मिलती, जब तक कि नीति स्पष्ट रूप से इसकी अनुमति न दे।

यह मॉडल शून्य-विश्वास एप्लिकेशन विभाजन प्रदान करता है: प्रत्येक सेवा स्वतंत्र रूप से अधिकृत है। एक सेवा तक पहुँच प्राप्त करने से किसी अन्य सेवा तक पहुँच नहीं मिलती।

डार्क सेवाएँ

एक "डार्क" सेवा में कोई खुले पोर्ट नहीं होते। यह इनकमिंग कनेक्शन के लिए किसी भी नेटवर्क इंटरफ़ेस पर नहीं सुनती। इसके बजाय, सेवा (या इसके साथ एक टनलर) एक OpenZiti एज राउटर के लिए एक आउटबाउंड कनेक्शन बनाती है और स्वयं को पंजीकृत करती है। क्लाइंट इसे केवल OpenZiti फैब्रिक के माध्यम से, प्रमाणीकरण और प्राधिकरण के बाद पहुँचते हैं।

व्यवहार में इसका क्या अर्थ है:

• पोर्ट स्कैन को कुछ नहीं मिलता: खोजने के लिए कोई सुनने वाले पोर्ट नहीं हैं
• कोई हमले की सतह नहीं: आप उस चीज़ का शोषण नहीं कर सकते जिस तक आप नहीं पहुँच सकते
• DDoS प्रतिरोध: बाढ़ के लिए कोई सार्वजनिक एंडपॉइंट नहीं है
• अनधिकृत उपयोगकर्ताओं के लिए अदृश्य: केवल मिलान नीति वाली पहचानें ही जानती हैं कि सेवा मौजूद है
• NAT और फ़ायरवॉल के अनुकूल: सभी कनेक्शन आउटबाउंड हैं, इसलिए CG-NAT, डबल-NAT और प्रतिबंधात्मक फ़ायरवॉल चिंता का विषय नहीं हैं

एज राउटर भी डार्क हो सकते हैं। निजी राउटर केवल आउटबाउंड कनेक्शन बनाते हैं, इसलिए आपके निजी नेटवर्क में इनबाउंड फ़ायरवॉल नियमों की आवश्यकता नहीं है।

एंड-टू-एंड एन्क्रिप्शन

OpenZiti SDK के साथ, ट्रैफ़िक भेजने वाले एप्लिकेशन से प्राप्त करने वाले एप्लिकेशन तक libsodium का उपयोग करके डेटा पथ के लिए और mTLS का उपयोग करके पहचान प्रमाणीकरण के लिए एन्क्रिप्ट किया जाता है। भले ही राउटर या मध्यवर्ती नेटवर्क से समझौता किया गया हो, ट्रैफ़िक को डिक्रिप्ट या छेड़छाड़ नहीं किया जा सकता।

टनलर्स के साथ, एन्क्रिप्शन टनलर से टनलर (या टनलर से SDK) के पथ को कवर करता है, बिना एप्लिकेशन परिवर्तन के मशीन-से-मशीन एन्क्रिप्शन प्रदान करता है।

एसडीके

अपने एप्लिकेशन में सीधे शून्य-विश्वास नेटवर्किंग एम्बेड करें:

सभी SDK OpenZiti GitHub संगठन के अंतर्गत सूचीबद्ध हैं।

सुरक्षा

OpenZiti एक सुरक्षा-केंद्रित परियोजना है। कमजोरियों का जिम्मेदाराना खुलासा हमें प्लेटफ़ॉर्म और इसके उपयोगकर्ताओं को सुरक्षित रखने में मदद करता है।

कमजोरी की रिपोर्ट करना: यदि आपको कोई सुरक्षा मुद्दा मिलता है, तो कृपया पूर्ण विवरण के लिए हमारी कमजोरी प्रकटीकरण नीति देखें। संवेदनशील मुद्दों को [email protected] पर रिपोर्ट किया जाना चाहिए। गैर-संवेदनशील मुद्दों को उपयुक्त रिपॉजिटरी में GitHub मुद्दों के रूप में दर्ज किया जा सकता है। आपको 7 दिनों के भीतर प्रतिक्रिया मिलनी चाहिए।

हम कमजोरियों को कैसे संभालते हैं: हमारी उत्पाद सुरक्षा घटना प्रतिक्रिया प्रक्रिया बताती है कि रिपोर्ट की गई कमजोरियों को कैसे ट्राइएज, दस्तावेज और हल किया जाता है — जिसमें CVE रिलीज़ को फिक्स के साथ कैसे समन्वित किया जाता है।

सुरक्षित आश्रय: OpenZiti और NetFoundry उस व्यक्ति के खिलाफ कानूनी कार्रवाई नहीं करेंगे जो सद्भावना से कमजोरियों पर शोध और रिपोर्ट करता है। हम सुरक्षा अनुसंधान को प्रोत्साहित करते हैं और सलाह और रिलीज़ नोट्स में रिपोर्ट किए गए निष्कर्षों को उनके रिपोर्टरों को श्रेय देते हैं।

समुदाय और सहायता

OpenZiti का एक सक्रिय और बढ़ता हुआ समुदाय है:

• Discourse फ़ोरम: प्रश्न पूछें, परियोजनाएँ साझा करें, समुदाय और अनुरक्षकों से सहायता प्राप्त करें
• YouTube: ट्यूटोरियल, डेमो और गहन चर्चाएँ
• ब्लॉग: परियोजना अद्यतन और तकनीकी लेख
• Twitter/X: समाचार और घोषणाएँ

योगदान

OpenZiti परियोजना कोड, दस्तावेज़ीकरण, बग रिपोर्ट और प्रतिक्रिया सहित योगदान का स्वागत करती है।

मुख्य रिपॉजिटरी

स्रोत से निर्माण

बिल्ड निर्देशों के लिए स्थानीय विकास ट्यूटोरियल देखें।

डेवलपर दस्तावेज़ीकरण

• डेवलपर अवलोकन
• स्थानीय विकास
• स्थानीय परिनियोजन
• नियंत्रक PKI
• रिलीज़ नोट्स

अपनाने वाले

OpenZiti का उपयोग उत्पादन में DeltaSecure (प्रबंधित SOC), Resulticks (मार्केटिंग ऑटोमेशन), Chirp Wireless (IoT/दूरसंचार), GIGO Dev (क्लाउड डेव वातावरण), OSMIT (प्रबंधित IT/GDPR अनुपालन), और zrok](https://zrok.io) और BlueBubbles जैसी ओपन-सोर्स परियोजनाओं सहित संगठनों द्वारा किया जाता है।

पूरी सूची देखें: ADOPTERS.md। OpenZiti का उपयोग कर रहे हैं? हम आपको जोड़ना पसंद करेंगे — एक मुद्दा खोलें या PR सबमिट करें।

प्रबंधित समाधान

अपने स्वयं के बुनियादी ढांचे के प्रबंधन के बिना शून्य-विश्वास नेटवर्किंग के लिए, NetFoundry SLA, उद्यम समर्थन और एज राउटर के वैश्विक फैब्रिक के साथ पूरी तरह से प्रबंधित, वैश्विक रूप से वितरित OpenZiti नेटवर्क एक सेवा के रूप में प्रदान करता है।

OpenZiti NetFoundry, Inc द्वारा विकसित और ओपन-सोर्स किया गया है।