Pared

Pared é um plano de controle de segurança de host Linux seguro e de alto desempenho e um console web administrativo em tempo real escrito em Crystal. Construído sobre Kemal e componentes renderizados no servidor Blueprint com SQLite3, uma pequena camada vanilla-JS/WebSocket e streaming nativo de journal via libsystemd, ele unifica a orquestração de firewalld e NetworkManager em uma interface centralizada e reativa.

Pared apresenta autenticação sem senha com TLS mútuo (mTLS), gerenciamento de identidade Linux PAM/SSSD, bindings nativos em C para libsystemd para streaming de journal ao vivo, simulação de pacotes no kernel, guardiões automatizados de rollback anti-bloqueio e auditoria de bypass de rede de contêineres.

Principais Recursos do Plano de Controle

Motor de Topologia Viva e Grafos: Mapeamento de topologia em grafo acíclico direcionado (DAG) de interfaces físicas, bonds de rede, bridges, túneis WireGuard, redes de contêineres Netavark, zonas de firewall e daemons em escuta.
Simulador Trace-a-Packet: Pipeline determinístico de avaliação de pacotes em 7 estágios simulando a travessia de pacotes por interfaces de entrada, substituições de origem, regras ricas, políticas, NAT e destinos de socket sem injetar tráfego de rede real.
Guardião Anti-Bloqueio (Dead Man's Switch): Snapshots voláteis automatizados de preparação com um temporizador watchdog de rollback de 30 segundos em mutações disruptivas de destino de zona (DROP/REJECT), prevenindo o bloqueio do operador.
Compilador Visual de Regras Ricas e AST: Validação de sintaxe, detecção de conflitos (regras sombreadas, contraditórias e duplicadas), contenção CIDR dual-stack IPv4/IPv6 e traduções de regras em linguagem simples.
Correlacionador de Sockets de Host e Daemons: Correlação em tempo real de sockets TCP/UDP abertos com unidades de serviço systemd locais, IDs de processo e estados de exposição do firewall.
Console de Exposição de Serviços: Uma linha acionável por porta/protocolo mesclando estado de listener e firewall (abertura fantasma, bloqueio sombreado, exposto, apenas local), com remediação por linha e filtragem ao vivo.
Inspetor de Bridge de Contêineres Netavark: Descoberta automática de redes de contêineres Podman/Netavark e auditoria de bypass de firewall de confiança zero em binds de porta de host com wildcard (0.0.0.0, ::).
Orquestrador WireGuard e Hub Visual: Higiene de chaves criptográficas, configuração de endpoint de peers e detecção de sobreposição CIDR dual-stack IPv4/IPv6.
UX Omnibar Orientada por Teclado: Navegação completa por teclado e paleta de mutações (/trace, /rollback <zone>, /wg peer <term>, /zone add), com despacho no lado do servidor para o console correspondente.
Identidade e Acesso Reforçados (RBAC): Fallback Linux PAM com verificações de expiração de conta (pam_acct_mgmt), resolução de grupos SSSD via D-Bus, mTLS com certificado de cliente X.509 com verificações de CRL e proteção CSRF.
Observabilidade de Produção: Streaming de journal systemd ao vivo via WebSockets, integração nativa de watchdog via NOTIFY_SOCKET e registro de auditoria estruturado.

Início Rápido

Pré-requisitos

Fedora Linux/RHEL 9+ (ou distribuição Linux baseada em systemd)
Compilador Crystal (v1.21+)
Headers de desenvolvimento libsystemd (systemd-devel)
Daemons firewalld e NetworkManager ativos
SQLite3 e OpenSSL

Instalação e Configuração Local

# 1. Clone repository & install shard dependencies
git clone https://gitlab.com/renich/pared.git
cd pared
shards install

# 2. Provision host system Polkit rules & seed default database
make setup
make seed

# 3. Compile and launch development server
make build
make run

O painel web do plano de controle está disponível em http://localhost:3636.

Credenciais de Demonstração Padrão

Quando populado via make seed, as credenciais padrão são:

Email: [email protected]
Password: password

(Contas de usuário PAM do sistema local com UID ≥ 1000 também podem autenticar diretamente).

Testes e Garantia de Qualidade

Pared impõe padrões rigorosos de qualidade com suítes abrangentes de testes unitários e E2E de navegador:

# Run unit & integration test suite (200 examples)
make spec

# Run headless Selenium E2E browser test suite (16 examples)
make test-browser

# Run static analysis (Ameba)
bin/ameba

# Run security vulnerability scan (Flaw)
bin/flaw scan .

# Run reStructuredText documentation linter (crstlint)
find docs -name "*.rst" -exec crstlint {} +

Implantação em Produção e Serviço Systemd

Um arquivo de unidade systemd reforçado para produção é fornecido em scripts/pared.service, implementando sandboxing de kernel, ping de watchdog e restrições de capacidades:

# Build production release binary
make release

# Install binary and systemd service
sudo install -m 755 bin/pared /usr/local/bin/pared
sudo install -m 644 scripts/pared.service /etc/systemd/system/pared.service

# Enable and start service
sudo systemctl daemon-reload
sudo systemctl enable --now pared.service

# Inspect service status and watchdog health
sudo systemctl status pared.service

Documentação e Biblioteca de Referência

Especificações arquiteturais abrangentes e registros de decisão são mantidos no diretório docs/:

Para construir a documentação HTML do Sphinx localmente:

sphinx-build -b html -W docs docs/_build/html

Repositórios e Espelhos

Repositório Canônico Primário: GitLab
Espelho Oficial: Codeberg

Mantenedor

Rénich Bon Ćirić (@renich) — Criador e Arquiteto Principal
Lançado sob a GNU General Public License v3.0 ou posterior (GPL-3.0-or-later).

pared

Mais Populares