Pared

Pared は、Crystal で書かれた安全で高性能な Linux ホストセキュリティコントロールプレーンおよびリアルタイム管理 Web コンソールです。Kemal と Blueprint のサーバーレンダリングコンポーネント、SQLite3、小さなバニラ JS/WebSocket レイヤー、およびネイティブの libsystemd ジャーナルストリーミング上に構築されており、firewalld と NetworkManager のオーケストレーションを集中型のリアクティブインターフェースに統合します。

Pared は、相互 TLS (mTLS) パスワードレス認証、Linux PAM/SSSD アイデンティティ管理、ライブジャーナルストリーミングのための libsystemd へのネイティブ C バインディング、カーネルパケットシミュレーション、自動アンチロックアウトロールバックガーディアン、およびコンテナネットワークバイパス監査を備えています。

コントロールプレーンの主な機能

リビングトポロジー & グラフエンジン: 物理インターフェース、ネットワークボンド、ブリッジ、WireGuard トンネル、Netavark コンテナネットワーク、ファイアウォールゾーン、およびリッスン中のデーモンをマッピングする有向非巡回グラフ (DAG) トポロジー。
Trace-a-Packet シミュレーター: ライブネットワークトラフィックを注入することなく、イングレスインターフェース、送信元オーバーライド、リッチルール、ポリシー、NAT、およびソケットターゲットにわたるパケットの通過をシミュレートする 7 段階の決定論的パケット評価パイプライン。
アンチロックアウトガーディアン (デッドマンスイッチ): 破壊的なゾーンターゲット変更 (DROP/REJECT) に対する 30 秒のロールバックウォッチドッグタイマーを備えた自動揮発性ステージングスナップショットにより、オペレーターのロックアウトを防止します。
ビジュアルリッチルールコンパイラ & AST: 構文検証、競合検出 (シャドウされたルール、矛盾するルール、重複するルール)、デュアルスタック IPv4/IPv6 CIDR 包含、および平易な英語によるルール翻訳。
ホストソケット & デーモンコリレーター: 開いている TCP/UDP ソケットとローカル systemd サービスユニット、プロセス ID、およびファイアウォール公開状態とのリアルタイム相関。
サービス公開コンソール: リスナーとファイアウォールの状態 (ゴーストオープニング、シャドウブロック、公開、ローカルのみ) を統合したポート/プロトコルごとの実行可能な行で、行ごとの修復とライブフィルタリングを備えています。
Netavark コンテナブリッジインスペクター: Podman/Netavark コンテナネットワークの自動検出と、ワイルドカードホストポートバインド (0.0.0.0、::) に対するゼロトラストファイアウォールバイパス監査。
WireGuard オーケストレーター & ビジュアルハブ: 暗号鍵の衛生管理、ピアエンドポイント設定、およびデュアルスタック IPv4/IPv6 CIDR オーバーラップ検出。
Omnibar キーボード駆動 UX: 完全なキーボードナビゲーションとミューテーションパレット (/trace、/rollback <zone>、/wg peer <term>、/zone add)、および一致するコンソールへのサーバーサイドディスパッチ。
強化されたアイデンティティ & アクセス (RBAC): アカウント有効期限チェック (pam_acct_mgmt) を備えた Linux PAM フォールバック、SSSD D-Bus グループ解決、CRL チェック付き X.509 クライアント証明書 mTLS、および CSRF 保護。
本番環境の可観測性: WebSocket を介したライブ systemd ジャーナルストリーミング、NOTIFY_SOCKET を介したネイティブウォッチドッグ統合、および構造化監査ログ。

クイックスタート

前提条件

Fedora Linux/RHEL 9+ (または systemd ベースの Linux ディストリビューション)
Crystal コンパイラ (v1.21+)
libsystemd 開発ヘッダー (systemd-devel)
firewalld および NetworkManager のアクティブなデーモン
SQLite3 および OpenSSL

インストール & ローカルセットアップ

# 1. Clone repository & install shard dependencies
git clone https://gitlab.com/renich/pared.git
cd pared
shards install

# 2. Provision host system Polkit rules & seed default database
make setup
make seed

# 3. Compile and launch development server
make build
make run

コントロールプレーン Web ダッシュボードは http://localhost:3636 で利用できます。

デフォルトのデモ認証情報

make seed でシードすると、デフォルトの認証情報は次のとおりです:

メール: [email protected]
パスワード: password

(UID ≥ 1000 のローカルシステム PAM ユーザーアカウントも直接認証できます)。

テスト & 品質保証

Pared は、包括的なユニットテストと E2E ブラウザテストスイートで厳格な品質基準を適用します:

# Run unit & integration test suite (200 examples)
make spec

# Run headless Selenium E2E browser test suite (16 examples)
make test-browser

# Run static analysis (Ameba)
bin/ameba

# Run security vulnerability scan (Flaw)
bin/flaw scan .

# Run reStructuredText documentation linter (crstlint)
find docs -name "*.rst" -exec crstlint {} +

本番環境へのデプロイ & Systemd サービス

本番環境向けに強化された systemd ユニットファイルが scripts/pared.service に提供されており、カーネルサンドボックス化、ウォッチドッグ ping、およびケイパビリティ制限を実装しています:

# Build production release binary
make release

# Install binary and systemd service
sudo install -m 755 bin/pared /usr/local/bin/pared
sudo install -m 644 scripts/pared.service /etc/systemd/system/pared.service

# Enable and start service
sudo systemctl daemon-reload
sudo systemctl enable --now pared.service

# Inspect service status and watchdog health
sudo systemctl status pared.service

ドキュメント & リファレンスライブラリ

包括的なアーキテクチャ仕様と決定記録は docs/ ディレクトリに維持されています:

Sphinx HTML ドキュメントをローカルでビルドするには:

sphinx-build -b html -W docs docs/_build/html

リポジトリ & ミラー

主要正規リポジトリ: GitLab
公式ミラー: Codeberg

メンテナー

Rénich Bon Ćirić (@renich) — 作成者 & リードアーキテクト
GNU General Public License v3.0 以降 (GPL-3.0-or-later) の下でリリースされています。

pared

人気