Документация SibNode

Начало работы

SibNode находится в стадии раннего доступа. Сервисы доступны одобренным пользователям до публичного запуска.

Как получить доступ

• Оставьте email на главной странице — вы попадёте в список ожидания.
• Вы получите письмо-приглашение, когда аккаунт будет готов.
• Следуйте инструкциям по настройке, приложенным к приглашению.

Для разработчиков

Все сервисы SibNode работают на стандартных протоколах. Проприетарный клиент не требуется. Примеры конфигурации предоставляются для популярных open-source клиентов.

• Почта: любой IMAP/SMTP-клиент (Thunderbird, Mutt, Apple Mail, K-9)
• VPN: любой WireGuard-клиент (официальное приложение, wg-quick, NetworkManager)
• Self-hosting: Docker Compose или Ansible-плейбуки

SibNode Mail

SibNode Mail — почтовый сервис с поддержкой собственного домена, шифрованием данных на диске и полной совместимостью с IMAP/SMTP.

Настройка клиента

IMAP  mail.sibnode.org  993  TLS
SMTP  mail.sibnode.org  587  STARTTLS
DAV   dav.sibnode.org   443  HTTPS

Возможности

• Поддержка собственного домена — полный контроль DNS
• Шифрование на диске — почта зашифрована в состоянии покоя
• Поддержка OpenPGP — генерация и управление ключами через веб-интерфейс
• Универсальные псевдонимы — получение почты на любой адрес вашего домена
• CalDAV / CardDAV — синхронизация календаря и контактов
• Sieve-фильтры — серверная фильтрация почты

Безопасность по умолчанию

• TLS 1.3 обязателен для всех подключений
• DKIM, DMARC и DANE настраиваются автоматически для вашего домена
• Без сканирования почты, без индексации ключевых слов, без рекламного таргетинга
• Фильтрация спама через Rspamd — оценочная система, данные не покидают сервер

SibNode VPN

SibNode VPN использует протокол WireGuard. Сервис спроектирован без хранения журналов активности пользователей. Трафик шифруется между устройством и VPN-узлом.

Технические параметры

Протокол   WireGuard (UDP)
Порт       51820
Узлы       Франкфурт  (EU-Central)
           Дополнительные регионы планируются

Возможности

• WireGuard — современный аудируемый протокол с минимальной поверхностью атаки
• Без журналов активности — метаданные соединений не сохраняются
• Встроенная DNS-фильтрация — блокировка трекеров и вредоносных доменов
• Многоскачковая маршрутизация — доступна для пользователей раннего доступа
• Kill switch — предотвращение утечек трафика при потере соединения

Настройка клиента

После одобрения аккаунта скачайте конфигурационный файл WireGuard из панели управления и импортируйте его в любой WireGuard-клиент.

# Импорт через wg-quick
sudo wg-quick up /path/to/sibnode.conf

# Или через NetworkManager
nmcli connection import type wireguard file sibnode.conf

Self-hosting

Все компоненты SibNode спроектированы для самостоятельного развёртывания. При желании вы можете запустить собственный экземпляр, не завися от нашей инфраструктуры.

Требования

• Linux-сервер — Ubuntu 22.04 или Debian 12 (рекомендуется)
• Docker 24+ и Docker Compose v2
• Минимум 2 ГБ RAM, рекомендуется 4 ГБ для почты + VPN
• Доменное имя с доступом к управлению DNS
• Открытые порты 25, 587, 993, 51820 в файрволе

Быстрый старт

git clone https://github.com/sibnode/infra
cd infra

# Скопировать и настроить переменные окружения
cp .env.example .env
$EDITOR .env

# Запустить все сервисы
docker compose up -d

Ansible

Ansible-плейбуки для полного провизионирования сервера (файрвол, TLS, DNS, конфигурация сервисов) включены в репозиторий. Протестированы на Ubuntu 22.04.

ansible-playbook -i inventory/hosts.ini site.yml

Полная документация по self-hosting будет опубликована вместе с публичным запуском. Пользователи раннего доступа, заинтересованные в self-hosting, могут запросить документацию заранее: contact@sibnode.org.

Архитектура

SibNode построен как набор изолированных сервисов за общим слоем маршрутизации и TLS-терминации. Каждый сервис работает независимо. Учётные данные и ключи никогда не передаются между сервисами.

Компоненты

sibnode-platform   DNS, маршрутизация, TLS-терминация, auth-прокси
sibnode-mail       Postfix + Dovecot + Rspamd + веб-интерфейс
sibnode-vpn        WireGuard-сервер + management API
sibnode-mobile     Интеграционный слой MVNO (планируется)

Принципы проектирования

• Изоляция сервисов — компрометация одного не затрагивает остальные
• Без общих секретов — у каждого сервиса собственные учётные данные
• Только стандартные протоколы — без проприетарного обмена между компонентами
• Вся конфигурация хранится в репозитории под контролем версий
• Infrastructure-as-code — без ручного дрейфа конфигурации

Модель угроз

Документ с моделью угроз запланирован к публикации вместе с публичным запуском. В нём будет описано, от чего SibNode защищает, от чего не защищает и какие допущения о доверии заложены в каждый сервис.

REST API запланирован к публичному запуску. Пользователи раннего доступа получат доступ к API для интеграционного тестирования до общей доступности.

Планируемые эндпоинты

GET  /api/v1/status              Статус сервисов
POST /api/v1/mail/domains        Управление доменами
GET  /api/v1/vpn/config          WireGuard-конфигурация
POST /api/v1/waitlist            Запросы раннего доступа (текущий)

Документация API будет соответствовать спецификации OpenAPI 3.0. Machine-readable схема будет доступна по адресу /api/v1/openapi.json.

Чтобы получить уведомление о готовности API, запишитесь в список ожидания на главной странице или напишите на contact@sibnode.org.