Pared

Pared è un piano di controllo per la sicurezza degli host Linux sicuro e ad alte prestazioni, con una console web amministrativa in tempo reale, scritto in Crystal. Basato su Kemal e sui componenti renderizzati lato server di Blueprint con SQLite3, un piccolo layer vanilla-JS/WebSocket e lo streaming nativo del journal tramite libsystemd, unifica l'orchestrazione di firewalld e NetworkManager in un'interfaccia centralizzata e reattiva.

Pared offre autenticazione senza password con mutual TLS (mTLS), gestione delle identità tramite Linux PAM/SSSD, binding nativi C a libsystemd per lo streaming live del journal, simulazione dei pacchetti del kernel, guardiani automatici di rollback anti-lockout e auditing del bypass di rete dei container.

---

Funzionalità principali del piano di controllo

• Topologia vivente e motore a grafo: mappatura della topologia come grafo aciclico diretto (DAG) di interfacce fisiche, bond di rete, bridge, tunnel WireGuard, reti container Netavark, zone del firewall e daemon in ascolto.
• Simulatore Trace-a-Packet: pipeline deterministica di valutazione dei pacchetti in 7 fasi che simula l'attraversamento dei pacchetti attraverso interfacce di ingresso, override della sorgente, rich rule, policy, NAT e target socket senza iniettare traffico di rete reale.
• Guardiano anti-lockout (Dead Man's Switch): snapshot volatili automatizzati con timer watchdog di rollback di 30 secondi sulle mutazioni disruptive dei target di zona (DROP/REJECT), per prevenire il lockout dell'operatore.
• Compilatore visuale di rich rule e AST: validazione della sintassi, rilevamento dei conflitti (regole shadowed, contraddittorie e duplicate), contenimento CIDR dual-stack IPv4/IPv6 e traduzioni delle regole in linguaggio naturale.
• Correlatore socket host e daemon: correlazione in tempo reale dei socket TCP/UDP aperti con le unità di servizio systemd locali, i PID dei processi e gli stati di esposizione del firewall.
• Console di esposizione dei servizi: una riga azionabile per porta/protocollo che unisce lo stato del listener e del firewall (ghost opening, shadow block, exposed, local only), con remediation per riga e filtraggio live.
• Ispettore bridge container Netavark: scoperta automatica delle reti container Podman/Netavark e auditing del bypass del firewall zero-trust sui bind wildcard delle porte host (0.0.0.0, ::).
• Orchestratore WireGuard e hub visuale: igiene delle chiavi crittografiche, configurazione degli endpoint dei peer e rilevamento delle sovrapposizioni CIDR dual-stack IPv4/IPv6.
• UX Omnibar guidata da tastiera: navigazione completa da tastiera e palette di mutazione (/trace, /rollback <zone>, /wg peer <term>, /zone add), con dispatch lato server verso la console corrispondente.
• Identità e accesso rafforzati (RBAC): fallback su Linux PAM con controlli di scadenza dell'account (pam_acct_mgmt), risoluzione dei gruppi SSSD via D-Bus, mTLS con certificato client X.509 con controlli CRL e protezione CSRF.
• Osservabilità in produzione: streaming live del journal systemd su WebSocket, integrazione nativa del watchdog tramite NOTIFY_SOCKET e logging di audit strutturato.

---

Avvio rapido

Prerequisiti

• Fedora Linux/RHEL 9+ (o distribuzione Linux basata su systemd)
• Compilatore Crystal (v1.21+)
• Header di sviluppo di libsystemd (systemd-devel)
• Daemon firewalld e NetworkManager attivi
• SQLite3 e OpenSSL

Installazione e configurazione locale

# 1. Clone repository & install shard dependencies
git clone https://gitlab.com/renich/pared.git
cd pared
shards install

# 2. Provision host system Polkit rules & seed default database
make setup
make seed

# 3. Compile and launch development server
make build
make run

La dashboard web del piano di controllo è disponibile all'indirizzo http://localhost:3636.

Credenziali demo predefinite

Quando inizializzate tramite make seed, le credenziali predefinite sono:

• Email: [email protected]
• Password: password

(Anche gli account utente PAM del sistema locale con UID ≥ 1000 possono autenticarsi direttamente).

---

Test e garanzia della qualità

Pared impone standard di qualità rigorosi con suite complete di test unitari ed E2E nel browser:

# Run unit & integration test suite (200 examples)
make spec

# Run headless Selenium E2E browser test suite (16 examples)
make test-browser

# Run static analysis (Ameba)
bin/ameba

# Run security vulnerability scan (Flaw)
bin/flaw scan .

# Run reStructuredText documentation linter (crstlint)
find docs -name "*.rst" -exec crstlint {} +

---

Deployment in produzione e servizio Systemd

Un file unit systemd rafforzato per la produzione è fornito in scripts/pared.service, che implementa sandboxing del kernel, ping del watchdog e restrizioni delle capability:

# Build production release binary
make release

# Install binary and systemd service
sudo install -m 755 bin/pared /usr/local/bin/pared
sudo install -m 644 scripts/pared.service /etc/systemd/system/pared.service

# Enable and start service
sudo systemctl daemon-reload
sudo systemctl enable --now pared.service

# Inspect service status and watchdog health
sudo systemctl status pared.service

---

Documentazione e libreria di riferimento

Specifiche architetturali complete e record delle decisioni sono mantenuti nella directory docs/:

• Technical Specifications
• Functional Specifications
• Project Roadmap
• Architecture Decision Records (ADRs)
• Echelon Protocol Security & Architecture Audits

Per compilare localmente la documentazione HTML con Sphinx:

sphinx-build -b html -W docs docs/_build/html

---

Repository e mirror

• Repository canonico principale: GitLab
• Mirror ufficiale: Codeberg

---

Maintainer

• Rénich Bon Ćirić (@renich) — Creatore e Lead Architect
• Rilasciato sotto la GNU General Public License v3.0 o successiva (GPL-3.0-or-later).