netpolicyd

این پروژه چیست

netpolicyd پیکربندی مطلوب شبکه را برای یک میزبان لینوکس نگه می‌دارد — مسیرها، قوانین سیاست، آدرس‌ها، فایروال، NAT، کنترل ترافیک و sysctlها — و آن را با ip، nft، tc و sysctl اعمال می‌کند. netpolicyctl پنل کنترل آن است: یک رابط ترمینالی با حالت ساده و حالت پیشرفته، به‌علاوهٔ CLI.

چه چیزهایی را مدیریت می‌کند

حوزه	ابزار اعمال
سیاست‌ها	قوانین مرتب سطح‌بالا که به ip rule / مسیرهای جدول / NAT باز می‌شوند
مسیرها و قوانین IP	ip route، ip rule
آدرس‌ها و لینک‌ها	ip addr، ip link
فایروال و NAT	nftables (masquerade، SNAT، کمک‌کننده‌های forward)
فهرست‌های IP	گروه‌های نام‌دار CIDR که به nft set تبدیل می‌شوند
کنترل ترافیک	شکل‌دهی خروجی HTB و محدودسازی ورودی
Sysctl	ip_forward، rp_filter، …

وضعیت زنده را هم نشان می‌دهد: خروجی فقط‌خواندنی از فایروال و مسیریابی میزبان، و نرخ اینترفیس‌ها به‌علاوهٔ فهرست سوکت‌ها از /proc/net/dev و ss.

مدل اعمال

1. اشیای مطلوب از راه API نوشته می‌شوند (یا یک‌جا با PUT /v1/desired جایگزین می‌شوند).
2. POST /v1/apply یک برنامهٔ مرتب از فرمان‌ها می‌سازد. ?dry_run=1 همان برنامه را بدون دست زدن به میزبان برمی‌گرداند.
3. فایروال مدیریت‌شده به‌صورت یک اسکریپت nft -f ساخته می‌شود که جدول inet netpolicyd را در یک تراکنش واحد اعلان، حذف و دوباره تعریف می‌کند — بدون پنجرهٔ نیمه‌اعمال و بدون تکرار انباشته. قوانین بیرون از آن جدول دست نمی‌خورند.
4. فهرست‌های IP به nft setهای نام‌دار تبدیل می‌شوند، نه یک قانون برای هر آدرس، پس یک فهرست بزرگ کشوری به‌جای هزاران قانون، یک جست‌وجوی set است.
5. مسیرهای سیاست در بازهٔ اولویتی قرار می‌گیرند که مال netpolicyd است. قوانینی در آن بازه که generation فعلی نخواسته حذف می‌شوند — اما هرگز وقتی فهرست نگه‌داشتنی خالی است، چون درست بعد از ری‌استارت «خالی» یعنی «هنوز چیزی گفته نشده»، نه «هیچ چیز نباید باشد».

نمونه: خروجی بر اساس مبدأ

curl -s -H "Authorization: Bearer $TOKEN" -H 'Content-Type: application/json' \
  -d '{"name":"src-via-gre-lab","priority":10,
       "subjects":[{"kind":"cidr","value":"10.77.0.4/32"}],
       "destination":{"kind":"any","value":"0.0.0.0/0"},
       "action":"egress","egress_name":"gre-lab","source_cidr":"10.77.0.4/32"}' \
  http://127.0.0.1:51910/v1/policies
netpolicyctl apply

این یک ip rule و یک جدول مسیریابی با پیش‌فرض gre-lab برنامه‌ریزی می‌کند، به‌علاوهٔ masquerade روی همان دستگاه، مگر اینکه یک NAT صریح از قبل آن را پوشش داده باشد.

محدودیت‌ها

• وضعیت مطلوب در حافظه است. بعد از ری‌استارت، چیزی — یک control plane یا یک اسکریپت — باید آن را دوباره بفرستد؛ وضعیت کرنل تا آن موقع باقی می‌ماند.
• اعمال زنده به CAP_NET_ADMIN نیاز دارد. بدون باینری ip، یا با --mock، فقط برنامه‌ریزی می‌کند.
• API را روی loopback یا یک شبکهٔ مدیریتی خصوصی نگه دارید.

فناوری‌ها

Go، Bubble Tea برای TUI، nftables، iproute2، tc. با مجوز GNU AGPL v3.