Обзор архитектуры

Rizoma Mesh — частное сетевое ядро платформы: автономный оверлей, в котором идентичность, политики и трафик принадлежат оператору, а не публичному облачному провайдеру.

Одна сеть — множество сервисов

Окружение Ризомы представляет собой частную оверлейную сеть, построенную на четырёх взаимодействующих ролях. агент открывает TUN-интерфейс на каждом подключённом хосте, применяет маршруты, анонсирует эндпоинты, обрабатывает heartbeat и передаёт зашифрованные пакеты по QUIC. координатор — это control plane: ему принадлежат подключение узлов, корневой центр доверия MeshCA, записи пиров, setup-ключи, RBAC, распространение ACL, учёт релеев, мониторинг, снапшоты и системные API. Релеи поддерживают доступность узлов при недоступности прямых маршрутов, а ingress открывает выбранные сервисы во внешний мир согласно политике оператора.

Каждый подключённый узел получает адрес из зарезервированного диапазона CGNAT 100.64.0.0/10, с назначением каждому узлу индивидуального /32, а также имя в суффиксе Magic DNS Rizoma.mesh. Значение MTU по умолчанию — 1420 — подобрано для работы QUIC внутри туннеля без фрагментации внешних UDP-пакетов.

Эталонная топология

  Internet
     |
  [ ingress ] &lt;-------- public DNS + TLS
     |                        |
  [ relay ]  &lt;---[ coordinator ]---> MeshCA / ACL / RBAC
     |                        |
  [ agent: node-a.rizoma.mesh ]  -- 100.64.0.1/32
  [ agent: node-b.rizoma.mesh ]  -- 100.64.0.2/32
     |
  [ product services ]  Webpanel | S3 | Git | Router | CMS

Путь пакета

Трафик между узлами проходит пять этапов: захват на локальном интерфейсе, разрешение идентичности пира в mesh и его текущих эндпоинтов, шифрование полезной нагрузки, транспортировка её по QUIC и внедрение её в TUN-устройство назначения. Принимающий агент проверяет идентичность источника, расшифровывает пакет, контролирует защиту от повторов и выполняет внедрение, — поэтому пакету доверяют не потому, откуда он пришёл, а потому, кто его подписал.

Сессии устанавливаются посредством hybrid X25519 + ML-KEM-768 гибридного обмена ключами, защищающего туннель как от актуальных, так и от перспективных квантовых угроз. Полезная нагрузка затем защищается AES-GCM с привязкой к QUIC-соединению и проверяется тегами подтверждения и окнами защиты от повторов на обеих сторонах.

Для окружений с особыми требованиями к маршрутизации агент поддерживает маршрутизацию через exit-узел с исключениями маршрутов, NAT, MSS clamping и контролем утечек, а также опционально ускоряет тракт пакетов с помощью AF_XDP/XDP.

Почему QUIC. QUIC предоставляет mesh мультиплексирование, TLS-транспорт, потоки и дейтаграммы, а также UDP-доступность, совместимую с межсетевыми экранами, — единый тракт, работающий через NAT без открытия множества TCP-портов.

Зона ответственности координатора

Координатор — единый источник истины для окружения. Он компилирует ACL, команды, группы и правила межсетевого экрана в политики, фактически применяемые агентами; распространяет записи пиров, выбор релеев и назначения ingress; а также хранит состояние снапшотов и мониторинга, обеспечивающее повседневную эксплуатацию. Состояние координатора хранится в SQLite или PostgreSQL: записи узлов, ACL, релеи, ресурсы ingress, события и снапшоты.

Координатор предоставляет свой REST API по пути /v1 — auth, nodes, peers, ACL, relays, ingress, MeshCA, firewall, telemetry, snapshots, monitoring и WAF, — а дашборд проксирует эти API, одновременно обслуживая установщики пиров и релеев.

Продуктовые сервисы как возможности

Каждый продукт Ризомы работает внутри mesh как возможность, а не как отдельный сервер:

Webpanel — control plane хостинга в mesh: 12 управляемых сервисов для рабочих нагрузок, сети и коммуникаций.
S3 storage — S3-совместимый эндпоинт, доступный только через mesh, по mesh-IP узла на порту 9000.
Rizoma Router — шлюз безопасности Linux, объединяющий WAN/LAN, межсетевой экран, NAT, DNS, DHCP и VPN для окружений, подключённых к mesh.
Rizoma Git — автономная forge-платформа: репозитории, pull request'ы, задачи, сопровождение CI/CD, подписанные артефакты и материалы для аудита.
Rizoma CMS — публикации внутри периметра по тем же правилам идентичности и политик.

Поскольку продукты используют общую идентичность mesh, оператор, способный оценить ACL-позицию узла, может рассуждать о каждом связанном с ним продукте — единая поверхность управления вместо разрозненных силосов. Требования к хосту перед запуском всего перечисленного приведены на странице «Системные требования» .

Далее System Requirements