> ZERO-TRUST // zt-arch-11

Peer-to-Peer Zero-Trust Mesh with Ephemeral WireGuard

WireGuard ve Headscale ile çalışan, geçici anahtar çiftleri ve kimlik tabanlı erişim kontrolüyle sunucular arasında noktadan noktaya şifreli tüneller kuran hafif açık kaynaklı ağ mimarisi.

Genel BakışNIST 800-207 Mimariler18 Duruş SihirbazıInteractive Kılavuzlar10 Karşılaştırma Matrisi22

18 Mimari Kataloğuna Dön Bu Mimariyi Kendi Sisteminizle Değerlendirin

Hedef Saldırgan Tehdit Modeli

Saldırganın bulut WAN hatlarını dinleyerek veya sahte paketler enjekte ederek sunucular arası trafiğe müdahale etmesi.

Mimari Meta Verileri

CISA Sütunu:NETWORKS

Arketip Tipi:NETWORK_MICROSEGMENTATION

Format:text/markdown

NIST SP 800-207 Karşılanan Temel İlkeler

✓All communication is secured regardless of network location.
✓Access to resources is determined by dynamic policy.

Engellenen MITRE ATT&CK Teknikleri

T1040Engellendi

T1557Engellendi

T1021Engellendi

3 Olgunluk Seviyesi Konfigürasyonu

Başlangıç seviyesinden CISA Optimal tavizsiz savunmaya kadar evrimleşen teknik konfigürasyon parametreleri.

INITIAL TIER

Uygulama Kapsamı:

Static WireGuard tunnels connecting production nodes to central bastion.

Kimlik Doğrulama:

Long-lived public/private key pairs exchanged manually.

Ağ Yalıtımı:

Point-to-point tunnel encryption.

Telemetri & Denetim:

Kernel WireGuard transfer byte counters.

Bileşen Yığını:

wireguard-toolslinux-kernel

⚠️ Hata Riski: Key management overhead and lack of central revocation mechanism.

ADVANCED TIER

Uygulama Kapsamı:

Self-hosted Headscale control plane managing peer routing across multiple cloud providers.

Kimlik Doğrulama:

OIDC integration for node pre-authentication and automated key rotation every 24h.

Ağ Yalıtımı:

ACL-based microsegmentation restricting inter-node traffic per tag.

Telemetri & Denetim:

Headscale API audit logs streamed to central syslog.

Bileşen Yığını:

headscaletailscale-clientkeycloakderp-server

⚠️ Hata Riski: Headscale database unavailability preventing new peer joins.

OPTIMAL TIERCISA OPTIMAL

Uygulama Kapsamı:

Mesh topology with sub-hour ephemeral key regeneration and hardware-rooted attestation.

Kimlik Doğrulama:

Continuous posture assessment verifying host integrity before routing updates.

Ağ Yalıtımı:

Default-deny mesh; nodes cannot discover each other without cryptographic authorization.

Telemetri & Denetim:

Kernel-level connection telemetry with automated anomaly quarantine.

Bileşen Yığını:

headscale-hawireguard-kerneltpm2-toolstetragon

⚠️ Hata Riski: Mesh routing table flapping during rapid autoscaling events.

Altyapı Kodları: Terraform & Kubernetes Manifestoları

Doğrudan üretim ortamınıza uygulanabilir Helm/Terraform ve Kubernetes YAML şablonları.

main.tf (Terraform HCL)

OpenTofu / Terraform

resource "helm_release" "headscale" {
  name       = "headscale"
  repository = "https://headscale.net/helm"
  chart      = "headscale"
  namespace  = "vpn"

  set {
    name  = "config.server_url"
    value = "https://headscale.internal.tinycto.tv"
  }
  set {
    name  = "config.oidc.issuer"
    value = "https://auth.tinycto.tv/realms/tinycto"
  }
}

policy.yaml (Kubernetes Manifest)

Kube v1.28+

apiVersion: v1
kind: ConfigMap
metadata:
  name: headscale-acls
  namespace: vpn
data:
  acls.hujson: |
    {
      "acls": [
        {"action": "accept", "src": ["tag:prod-api"], "dst": ["tag:prod-db:5432"]},
        {"action": "accept", "src": ["tag:ops"], "dst": ["*:22"]}
      ]
    }

Yapay Zekâ Özeti — Peer-to-Peer Zero-Trust Mesh with Ephemeral WireGuard

AEO / GEO / Perplexity Indexable

CISA Sütunu & ArketipNETWORKS // NETWORK_MICROSEGMENTATION

NIST SP 800-207 İlkeleriAll communication is secured regardless of network location.; Access to resources is determined by dynamic policy.

Engellenen ATT&CKT1040, T1557, T1021

Optimal Seviye Yığınıheadscale-ha, wireguard-kernel, tpm2-tools, tetragon

Mimarî Plan Sıkça Sorulan Sorular

Peer-to-Peer Zero-Trust Mesh with Ephemeral WireGuard mimarisi hangi birincil tehdit modellerini ve MITRE ATT&CK tekniklerini engeller?

Peer-to-Peer Zero-Trust Mesh with Ephemeral WireGuard, Saldırganın bulut WAN hatlarını dinleyerek veya sahte paketler enjekte ederek sunucular arası trafiğe müdahale etmesi. Saldırganların yanlamasına ilerlemesini (lateral movement) ve yetki yükseltmesini engellemek için T1040, T1557, T1021 tekniklerini çekirdek seviyesinde (in-kernel) veya kriptografik kimlik kanıtlamasıyla etkisiz hale getirir.

Bu mimari NIST SP 800-207 Sıfır Güven ilkelerini nasıl karşılar?

Bu mimari, NIST SP 800-207 yönergelerine uygun olarak şu temel ilkeleri tavizsiz zorunlu kılar: All communication is secured regardless of network location.; Access to resources is determined by dynamic policy.. Statik ağ çevresi güveni yerine her istekte dinamik kimlik kanıtlaması ve kriptografik doğrulama yürütülür.

INITIAL (Başlangıç) ile OPTIMAL (Tavizsiz Savunma) seviyeleri arasındaki operasyonel farklar nelerdir?

INITIAL seviyesi temel politika ve kimlik doğrulamasına odaklanırken (Static WireGuard tunnels connecting production nodes to central bastion.), OPTIMAL seviyesi CISA ZTMM 2.0 tavizsiz savunma hedeflerini hayata geçirir (Mesh topology with sub-hour ephemeral key regeneration and hardware-rooted attestation.). OPTIMAL seviye teknoloji yığını: headscale-ha, wireguard-kernel, tpm2-tools, tetragon.

Bu mimarideki temel hata riski (Failure Risk) nedir ve operasyonel dayanıklılık nasıl korunur?

Birincil operasyonel risk: Mesh routing table flapping during rapid autoscaling events.. Bu risk, yedekli denetim düzlemi (control plane) dağıtımı, yerel önbellek yedekleri ve otomatik hata devri (failover) mekanizmalarıyla bertaraf edilir.

Bu mimari Altyapı Kodu (IaC) ile üretim ortamına nasıl uygulanır?

Bu sayfada sunulan ana Terraform/OpenTofu (main.tf) ve Kubernetes politika (policy.yaml) bildirimleri doğrudan GitOps boru hatlarına (ArgoCD, Flux) entegre edilebilir. Bildirimler, en az ayrıcalık ve kriptografik iş yükü kanıtlaması parametreleriyle önceden yapılandırılmıştır.