ZTTP — ज़ीरो-ट्रस्ट ट्रांसपेरेंट प्रॉक्सी

एक सुरक्षित, सेल्फ-होस्टेड SSH बैस्टियन होस्ट जिसमें Vault-आधारित कुंजी प्रबंधन, RBAC नीति प्रवर्तन, पूर्ण सत्र रिकॉर्डिंग, और एक इंटरैक्टिव एडमिन TUI शामिल है — उन टीमों के लिए डिज़ाइन किया गया है जिन्हें प्रोडक्शन इंफ्रास्ट्रक्चर तक ऑडिटेबल, ज़ीरो-ट्रस्ट पहुंच की आवश्यकता है।

विषय-सूची

• ZTTP क्यों?
• आर्किटेक्चर अवलोकन
• फीचर हाइलाइट्स
• पूर्वापेक्षाएँ
• त्वरित प्रारंभ — सर्वर
• त्वरित प्रारंभ — क्लाइंट
• कॉन्फ़िगरेशन
• भूमिकाएँ और RBAC नीति
• एडमिन कंसोल
• ऑडिट लॉग और सत्र रिकॉर्डिंग
• स्रोत से निर्माण
• Makefile संदर्भ
• स्क्रीनशॉट और डेमो
• प्रोजेक्ट संरचना
• सुरक्षा मॉडल
• योगदान
• लाइसेंस

ZTTP क्यों?

आधुनिक इंजीनियरिंग टीमों को डेवलपर्स को उनके काम के लिए न्यूनतम आवश्यक पहुंच देने का एक तरीका चाहिए — न अधिक, न कम। पारंपरिक SSH कुंजी वितरण त्रुटि-प्रवण है: कुंजियाँ साझा की जाती हैं, लैपटॉप पर भूल जाती हैं, और बहुत देर से रद्द की जाती हैं।

ZTTP आपके इंफ्रास्ट्रक्चर में एकमात्र द्वार के रूप में कार्य करके इसे हल करता है:

आर्किटेक्चर अवलोकन

Developer Laptop
      │
      │  zttp
      │  (Under the hood: SSH over port 2224)
      ▼
┌─────────────────────────────────────────────────────────┐
│                     ZTTP Proxy                          │
│                                                         │
│  ① Auth Gate     — bcrypt/Argon2id login TUI           │
│  ② RBAC Engine   — environment-aware policy check      │
│  ③ Vault Fetch   — ephemeral SSH key retrieval         │
│  ④ Bridge        — transparent TCP tunnel              │
│  ⑤ Audit Writer  — ttyrec frame recorder               │
└──────────┬──────────────────────────────────────────────┘
           │  ssh (private IP, ephemeral key)
           ▼
     Target Server

इंफ्रास्ट्रक्चर सेवाएँ (Docker Compose):

फीचर हाइलाइट्स

• 🔐 ज़ीरो-ट्रस्ट प्रमाणीकरण — bcrypt पासवर्ड हैशिंग, रेट लिमिटिंग, और 5 असफल प्रयासों के बाद खाता लॉकआउट के साथ इंटरैक्टिव SSH लॉगिन TUI
• 🛡️ RBAC नीति इंजन — एकल अनुकूलित PostgreSQL JOIN के साथ प्रति-भूमिका, प्रति-पर्यावरण पहुंच नियंत्रण (कोई राउंड-ट्रिप नहीं)
• 🗝️ Vault-आधारित SSH कुंजियाँ — निजी कुंजियाँ कभी डिस्क को स्पर्श नहीं करतीं; प्रति सत्र HashiCorp Vault से अस्थायी रूप से प्राप्त की जाती हैं
• 📹 पूर्ण सत्र रिकॉर्डिंग — सभी सत्र टाइमस्टैम्प्ड फ्रेम के साथ .ttyrec प्रारूप में रिकॉर्ड किए जाते हैं
• 🖥️ इंटरैक्टिव एडमिन TUI — उपयोगकर्ता प्रबंधन, सर्वर पंजीकरण, पहुंच अनुदान, और लॉग समीक्षा के लिए पूर्ण टर्मिनल UI
• 🔍 ऑडिट लॉग व्यूअर — सर्वर द्वारा सत्र ब्राउज़ करें, रिकॉर्डिंग दोबारा चलाएं, या एडमिन कंसोल से सीधे साफ टेक्स्ट लॉग पढ़ें
• ⚡ किल स्विच — किसी भी लाइव सत्र को तुरंत समाप्त करने के लिए gRPC एंडपॉइंट
• 📋 एडमिन क्रिया लॉग — प्रत्येक प्रशासनिक क्रिया (उपयोगकर्ता निर्माण, पहुंच अनुदान, लॉग देखना) एक स्थायी ऑडिट ट्रेल में लॉग की जाती है
• 🌍 मल्टी-प्लेटफ़ॉर्म क्लाइंट — Linux, macOS (amd64/arm64), और Windows के लिए सिंगल-बाइनरी CLI

पूर्वापेक्षाएँ

सर्वर (प्रॉक्सी होस्ट):

• Docker ≥ 24 और Docker Compose ≥ 2.20
• पोर्ट 2224 पर सार्वजनिक या LAN-सुलभ IP
• make (वैकल्पिक, लेकिन अनुशंसित)

डेवलपर (क्लाइंट):

• कोई भी SSH क्लाइंट (ssh कमांड)
• Linux, macOS, या Windows मशीन

त्वरित प्रारंभ — सर्वर

1. रिपॉजिटरी क्लोन करें

git clone https://gitlab.com/Nihal799/zttp.git
cd zttp

2. अपना पर्यावरण कॉन्फ़िगर करें

cp .env.example .env

.env संपादित करें और न्यूनतम निम्नलिखित सेट करें:

PROXY_NODE_IP=<your-server-public-ip>
POSTGRES_PASSWORD=<a-strong-password>
VAULT_TOKEN=<a-strong-vault-token>

⚠️ अपनी .env फ़ाइल कभी कमिट न करें। यह .gitignore में सूचीबद्ध है।

3. सभी सेवाएँ प्रारंभ करें

make docker-up
# या सीधे:
docker compose -f deploy/docker-compose.yml up -d --build

4. सेवाओं के स्वस्थ होने की पुष्टि करें

make docker-ps
curl http://localhost:8080/healthz

5. CLI इंस्टॉलर बनाएं और प्रकाशित करें

make release PROXY_ADDR=<your-server-ip>:2224

यह सभी प्लेटफ़ॉर्म के लिए क्लाइंट क्रॉस-कंपाइल करता है और सही सर्वर URL के साथ dist/install.sh और dist/install.ps1 को स्वचालित रूप से अपडेट करता है। Nginx कंटेनर इन्हें http://<your-server-ip>:8555/ पर प्रदान करता है।

त्वरित प्रारंभ — क्लाइंट

Linux / macOS

curl -fsSL http://<proxy-ip>:8555/install.sh | bash

Windows (PowerShell, एडमिनिस्ट्रेटर के रूप में चलाएं)

irm http://<proxy-ip>:8555/install.ps1 | iex

कनेक्ट करें

इंस्टॉल होने के बाद, ZTTP गेटवे से कनेक्ट करें:

zttp
# या सीधे:
ssh -p 2224 <your-username>@<proxy-ip>

आपको एक टर्मिनल लॉगिन स्क्रीन दिखाई जाएगी। प्रमाणीकरण के बाद, आप उन सर्वरों की सूची देखेंगे जिन तक आप पहुंच के लिए अधिकृत हैं।

कॉन्फ़िगरेशन

सभी कॉन्फ़िगरेशन पर्यावरण चर (या .env फ़ाइल) के माध्यम से होता है। पूर्ण संदर्भ के लिए .env.example देखें।

भूमिकाएँ और RBAC नीति

ZTTP एक भूमिका-आधारित मॉडल का उपयोग करता है। प्रत्येक उपयोगकर्ता को एक भूमिका सौंपी जाती है; प्रत्येक भूमिका की एक नीति होती है जो परिभाषित करती है कि वह किन सर्वर पर्यावरणों तक पहुंच सकती है।

भूमिकाएँ और सर्वर असाइनमेंट एडमिन कंसोल के माध्यम से प्रबंधित किए जाते हैं (नीचे देखें)। RBAC इंजन सभी जाँच एक ही PostgreSQL क्वेरी में करता है — यह क्लाइंट को कभी नहीं बताता कि पहुंच क्यों अस्वीकार की गई (एन्यूमरेशन सुरक्षा)।

एडमिन कंसोल

गेटवे मेनू से zttp-admin सर्वर से कनेक्ट करें, या security-admin भूमिका वाले खाते से लॉगिन करें।

एडमिन कंसोल निम्नलिखित प्रदान करता है:

सभी एडमिन क्रियाएँ ऑडिट वॉल्यूम के अंदर admin-actions.log में लॉग की जाती हैं।

ऑडिट लॉग और सत्र रिकॉर्डिंग

सभी सत्र zttp-audit-logs Docker वॉल्यूम में संग्रहीत हैं (कंटेनर के अंदर /var/log/zttp/audit/)।

एडमिन कंसोल से देखना

1. security-admin के रूप में लॉगिन करें
2. ऑडिट लॉग देखें चुनें
3. सूची से एक सर्वर चुनें
4. एक सत्र चुनें
5. टेक्स्ट लॉग देखें (ANSI-स्ट्रिप्ड, पठनीय) या रिकॉर्डिंग चलाएं (रीयल-टाइम प्लेबैक) चुनें
6. वापस जाने के लिए Ctrl+C दबाएं

होस्ट से देखना (कच्चा)

# रिकॉर्डिंग सूचीबद्ध करें
sudo ls /var/lib/docker/volumes/zttp-audit-logs/_data/

# ttyplay के साथ रिकॉर्डिंग चलाएं
sudo ttyplay /var/lib/docker/volumes/zttp-audit-logs/_data/<session-id>.ttyrec

# एडमिन क्रिया लॉग पढ़ें
sudo cat /var/lib/docker/volumes/zttp-audit-logs/_data/admin-actions.log

स्रोत से निर्माण

आवश्यकताएँ: Go 1.25+, Docker (क्रॉस-कंपाइलेशन के लिए)

# वर्तमान प्लेटफ़ॉर्म के लिए प्रॉक्सी + CLI बनाएं
make build

# सभी प्लेटफ़ॉर्म के लिए CLI क्रॉस-कंपाइल करें (Linux, macOS, Windows)
make release PROXY_ADDR=<proxy-ip>:2224

# परीक्षण चलाएं
make test

# प्रॉक्सी को स्थानीय रूप से चलाएं (Postgres + Vault पहले से चल रहे होने चाहिए)
make run-proxy

Makefile संदर्भ

स्क्रीनशॉट और डेमो

1. इंस्टॉलेशन

(डेमो चलाने के लिए क्लिक करें)

2. सुरक्षित लॉगिन

(डेमो चलाने के लिए क्लिक करें)

3. सर्वर जोड़ें (एडमिन कंसोल)

(डेमो चलाने के लिए क्लिक करें)

4. सर्वर से कनेक्ट करें (गेटवे)

(डेमो चलाने के लिए क्लिक करें)

5. किल स्विच (एडमिन इजेक्ट)

(डेमो चलाने के लिए क्लिक करें)

प्रोजेक्ट संरचना

zttp/
├── cmd/
│   ├── proxy/          # Proxy server entrypoint
│   └── zttp/           # CLI client entrypoint
├── db/
│   └── migrations/     # PostgreSQL schema migrations
├── deploy/
│   ├── docker-compose.yml
│   ├── Dockerfile.proxy
│   └── vault-seed.sh   # Seeds test SSH keys into Vault
├── dist/
│   ├── install.sh      # Linux/macOS installer script
│   └── install.ps1     # Windows installer script
├── internal/
│   ├── audit/          # Admin action logging
│   ├── auth/           # User authentication (bcrypt, lockout)
│   ├── cli/            # CLI client TUI and connect logic
│   ├── config/         # Environment-based configuration
│   ├── killswitch/     # gRPC kill-switch service
│   ├── proxy/          # SSH proxy, gateway TUI, admin TUI, bridge
│   ├── rbac/           # Role-based access control engine
│   ├── ratelimit/      # Per-IP rate limiting
│   ├── session/        # Session tracking and DB store
│   └── vault/          # HashiCorp Vault SSH key client
├── proto/              # gRPC protocol definitions
├── tools/
│   └── hashpw/         # CLI tool: generate bcrypt password hash
├── .env.example        # Configuration template
├── go.mod
└── Makefile

सुरक्षा मॉडल

योगदान

1. रिपॉजिटरी फोर्क करें
2. एक फीचर ब्रांच बनाएं: git checkout -b feat/your-feature
3. अपने परिवर्तन करें, सुनिश्चित करें कि प्रत्येक फ़ाइल को अपना स्वयं का कमिट मिले
4. परीक्षण चलाएं: make test
5. एक मर्ज रिक्वेस्ट खोलें

कृपया निम्नलिखित कमिट न करें:

• .env या गोपनीय जानकारी वाली कोई भी फ़ाइल
• प्रोडक्शन सर्वरों के वास्तविक IP पते या होस्टनाम
• संकलित बाइनरी (रूट में zttp बाइनरी .gitignored है)

लाइसेंस

यह प्रोजेक्ट स्वामित्व वाला है। सर्वाधिकार सुरक्षित।

Go, PostgreSQL, HashiCorp Vault, और Docker के साथ निर्मित।