Pared

Pared 是一个使用 Crystal 编写的安全、高性能 Linux 主机安全控制平面和实时管理 Web 控制台。它基于 Kemal 和 Blueprint 服务端渲染组件，使用 SQLite3、一个小型 vanilla-JS/WebSocket 层以及原生 libsystemd 日志流，将 firewalld 和 NetworkManager 编排统一到一个集中式、响应式界面中。

Pared 具备双向 TLS (mTLS) 无密码认证、Linux PAM/SSSD 身份管理、用于实时日志流的原生 libsystemd C 绑定、内核数据包模拟、自动化防锁定回滚守护机制，以及容器网络绕过审计。

核心控制平面功能

动态拓扑与图引擎：有向无环图 (DAG) 拓扑映射，涵盖物理接口、网络绑定、网桥、WireGuard 隧道、Netavark 容器网络、防火墙区域和监听守护进程。
数据包追踪模拟器：7 阶段确定性数据包评估流水线，模拟数据包在入口接口、源地址覆盖、富规则、策略、NAT 和套接字目标之间的穿越过程，而无需注入实时网络流量。
防锁定守护（死人开关）：针对破坏性区域目标变更（DROP/REJECT）的自动化易失性暂存快照，带有 30 秒回滚看门狗计时器，防止操作员被锁定。
可视化富规则编译器和 AST：语法验证、冲突检测（被遮蔽、矛盾和重复规则）、双栈 IPv4/IPv6 CIDR 包含关系，以及规则的白话文翻译。
主机套接字与守护进程关联器：实时关联开放的 TCP/UDP 套接字与本地 systemd 服务单元、进程 ID 和防火墙暴露状态。
服务暴露控制台：每个端口/协议一行可操作记录，合并监听器和防火墙状态（幽灵开放、影子阻断、已暴露、仅本地），支持逐行修复和实时过滤。
Netavark 容器网桥检查器：自动发现 Podman/Netavark 容器网络，并对通配符主机端口绑定（0.0.0.0、::）进行零信任防火墙绕过审计。
WireGuard 编排器和可视化中心：加密密钥卫生、对等端点配置，以及双栈 IPv4/IPv6 CIDR 重叠检测。
Omnibar 键盘驱动 UX：全键盘导航和变更面板（/trace、/rollback <zone>、/wg peer <term>、/zone add），并通过服务端分发到匹配的控制台。
强化身份与访问 (RBAC)：Linux PAM 回退，带账户过期检查（pam_acct_mgmt）、SSSD D-Bus 组解析、带 CRL 检查的 X.509 客户端证书 mTLS，以及 CSRF 保护。
生产可观测性：通过 WebSockets 实时流式传输 systemd 日志、通过 NOTIFY_SOCKET 集成原生看门狗，以及结构化审计日志。

快速开始

前置条件

Fedora Linux/RHEL 9+（或基于 systemd 的 Linux 发行版）
Crystal 编译器（v1.21+）
libsystemd 开发头文件（systemd-devel）
firewalld 和 NetworkManager 活动守护进程
SQLite3 和 OpenSSL

安装与本地设置

# 1. Clone repository & install shard dependencies
git clone https://gitlab.com/renich/pared.git
cd pared
shards install

# 2. Provision host system Polkit rules & seed default database
make setup
make seed

# 3. Compile and launch development server
make build
make run

控制平面 Web 仪表板可通过 http://localhost:3636 访问。

默认演示凭据

通过 make seed 初始化后，默认凭据为：

Email: [email protected]
Password: password

（UID ≥ 1000 的本地系统 PAM 用户账户也可以直接认证）。

测试与质量保证

Pared 通过全面的单元测试和 E2E 浏览器测试套件强制执行严格的质量标准：

# Run unit & integration test suite (200 examples)
make spec

# Run headless Selenium E2E browser test suite (16 examples)
make test-browser

# Run static analysis (Ameba)
bin/ameba

# Run security vulnerability scan (Flaw)
bin/flaw scan .

# Run reStructuredText documentation linter (crstlint)
find docs -name "*.rst" -exec crstlint {} +

生产部署与 Systemd 服务

生产强化版 systemd 单元文件位于 scripts/pared.service，实现了内核沙箱、看门狗 ping 和能力限制：

# Build production release binary
make release

# Install binary and systemd service
sudo install -m 755 bin/pared /usr/local/bin/pared
sudo install -m 644 scripts/pared.service /etc/systemd/system/pared.service

# Enable and start service
sudo systemctl daemon-reload
sudo systemctl enable --now pared.service

# Inspect service status and watchdog health
sudo systemctl status pared.service

文档与参考库

全面的架构规范和决策记录维护在 docs/ 目录中：

要在本地构建 Sphinx HTML 文档：

sphinx-build -b html -W docs docs/_build/html

仓库与镜像

主要规范仓库：GitLab
官方镜像：Codeberg

维护者

Rénich Bon Ćirić (@renich) — 创建者兼首席架构师
根据 GNU General Public License v3.0 或更高版本 (GPL-3.0-or-later) 发布。

pared

最受欢迎