Lantern DSSE 0.4.2 mang đến tính năng mạng zero-trust thử nghiệm cho các phòng lab một máy chủ

Lantern Networks đã phát hành phiên bản 0.4.2 của nền tảng DSSE mã nguồn mở, cho phép các nhà phát triển và quản trị viên hệ thống tự lưu trữ (self-host) kiến trúc mạng zero-trust. Được công bố vào ngày 12 tháng 11 năm 2026, bản build thử nghiệm này tập trung vào việc đơn giản hóa quá trình triển khai Zero Trust Network Access (ZTNA) và các cổng web bảo mật trên một máy chủ Linux duy nhất. Mặc dù được thiết kế cho môi trường phòng thí nghiệm thay vì môi trường sản xuất, nó cung cấp một phương pháp cụ thể để kiểm thử các chiến lược phòng chống ransomware và kiểm soát lưu lượng chi tiết mà không cần phụ thuộc vào các dịch vụ đám mây của bên thứ ba.

Chuyện gì đã xảy ra

Bản phát hành mới nhất cung cấp quy trình cài đặt tinh gọn để chạy toàn bộ stack DSSE dưới dạng container trên một máy. Hướng dẫn minh họa cách thiết lập hệ thống trên instance Ubuntu 24.04 với Docker Engine và Compose v2. Trình cài đặt xử lý việc tạo các cơ quan chứng thực (certificate authorities), tệp cấu hình và điều phối container trong một chuỗi gồm sáu bước tự động. Cách tiếp cận này giảm bớt độ phức tạp thường thấy trong các triển khai zero-trust, vốn thường yêu cầu nhiều máy chủ cho các control plane, nút edge và nhà cung cấp danh tính.

Khi máy chủ hoạt động, hệ thống kết nối các thiết bị khách, chẳng hạn như PC Windows, thông qua một agent đã ký. Kiến trúc này thực thi bảo mật bằng cách chặn đứng lưu lượng nội bộ và lưu lượng đi ra ngoài. Các kết nối nội bộ được giới hạn đối với những ứng dụng cụ thể thông qua các connector gọi ra Edge, trong khi quyền truy cập internet ra ngoài được quản lý bởi các quy tắc cho phép hoặc từ chối. Mọi quyết định đều được ghi log, cung cấp khả năng hiển thị về hành vi của thiết bị. Hệ thống cũng hỗ trợ xác thực ngoài băng tần (out-of-band authentication), giữ lại các kết nối như SSH hoặc RDP cho đến khi người dùng xác minh danh tính của họ thông qua một nhà cung cấp danh tính bên ngoài sử dụng OIDC.

Chi tiết chính

• Phiên bản và Giấy phép: Bản phát hành là phiên bản 0.4.2-experimental và được phân phối theo giấy phép mã nguồn mở Apache-2.0.
• Yêu cầu hệ thống: Thiết lập yêu cầu một máy chủ Linux x86-64 có Docker Engine và Compose v2, cụ thể đã được kiểm thử trên instance AWS với 4 vCPU và 16 GiB RAM.
• Thời gian cài đặt: Trình cài đặt tự động hoàn tất quy trình triển khai sáu bước trong khoảng bốn phút, bao gồm cả việc tải image.
• Hỗ trợ Client: Hướng dẫn chi tiết cách kết nối PC Windows bằng trình cài đặt DsseAgent-0.4.2-windows-x64.msi và xác minh chữ ký trước khi đăng ký.
• Tính năng bảo mật: Nền tảng bao gồm kiểm tra TLS sử dụng cơ quan chứng thực tùy chỉnh, lọc lưu lượng đi ra ngoài và nhật ký kiểm toán chi tiết cho tất cả các yêu cầu được phép và bị từ chối.
• Trạng thái thử nghiệm: Các tác giả tuyên bố rõ ràng rằng bố cục một máy chủ này chỉ dành cho mục đích kiểm thử, lưu ý rằng nếu máy chủ ngừng hoạt động, toàn bộ dịch vụ mạng sẽ dừng lại.

Bối cảnh

Zero Trust Network Access (ZTNA) là mô hình bảo mật giả định rằng không có người dùng hoặc thiết bị nào được tin cậy mặc định, ngay cả khi họ ở bên trong ranh giới mạng doanh nghiệp. Thay vì cấp quyền truy cập rộng dựa trên vị trí mạng, ZTNA xác minh danh tính và ngữ cảnh trước khi cho phép truy cập vào các ứng dụng cụ thể. Một Secure Web Gateway (SWG) bổ sung cho điều này bằng cách thực thi các chính sách bảo mật cho lưu lượng web, chặn các trang độc hại và ngăn ngừa rò rỉ dữ liệu. Theo truyền thống, việc triển khai các công nghệ này đòi hỏi cơ sở hạ tầng phức tạp hoặc các gói đăng ký đám mây đắt đỏ. Việc tự lưu trữ các công cụ này cho phép các tổ chức duy trì quyền kiểm soát toàn diện đối với dữ liệu và chính sách bảo mật của họ, mặc dù nó làm tăng gánh nặng vận hành cho các đội ngũ IT nội bộ.

Tại sao điều này quan trọng

Đối với các đội ngũ quản lý cơ sở hạ tầng riêng, bản phát hành này cung cấp một điểm khởi đầu với rào cản thấp để đánh giá các nguyên tắc zero-trust. Bằng cách chạy toàn bộ stack trên một máy chủ duy nhất, các kỹ sư có thể thử nghiệm các biện pháp kiểm soát truy cập chi tiết và kiểm tra TLS mà không cần cam kết với một cụm đa nút. Điều này đặc biệt có giá trị đối với các công ty vừa và nhỏ cần chứng minh sự tuân thủ hoặc kiểm thử các cơ chế phòng chống ransomware. Khả năng kiểm tra lưu lượng mã hóa và ghi log mọi quyết định truy cập cung cấp khả năng hiển thị cần thiết để phát hiện các thiết bị bị xâm nhập trước khi chúng có thể di chuyển ngang qua mạng.

Tuy nhiên, tính chất thử nghiệm của bản phát hành này có nghĩa là nó không phù hợp với các môi trường sản xuất quan trọng. Thiết kế một điểm lỗi duy nhất (single-point-of-failure) ngụ ý rằng bất kỳ sự cố máy chủ nào cũng dẫn đến thời gian chết mạng hoàn toàn cho các thiết bị được kết nối. Ngoài ra, việc quản lý khóa riêng tư cho cơ quan chứng thực gốc của triển khai đòi hỏi bảo mật vận hành nghiêm ngặt. Các đội ngũ phải cân nhắc lợi ích của việc kiểm thử thực tế so với rủi ro khi chạy phần mềm chưa được kiểm chứng trong môi trường trực tiếp. Nó đóng vai trò tốt nhất như một công cụ học tập hoặc một prototype cho các triển khai mạnh mẽ hơn trong tương lai.

Bạn có thể làm gì

• Thiết lập môi trường lab: Cung cấp một máy chủ Linux có Docker để kiểm thử quy trình cài đặt và làm quen với bảng điều khiển DSSE và các tệp cấu hình.
• Kiểm thử lọc lưu lượng: Cấu hình các quy tắc cho phép và từ chối cho các tên miền cụ thể để quan sát cách hệ thống ghi log các quyết định và chặn lưu lượng đi ra ngoài không mong muốn.
• Đánh giá kiểm tra TLS: Nhập chứng chỉ gốc của triển khai vào một client thử nghiệm để hiểu cách hệ thống giải mã và kiểm tra lưu lượng mã hóa nhằm thực thi chính sách.
• Xem xét nhật ký kiểm toán: Phân tích các log được tạo ra để xem mức độ chi tiết của báo cáo đối với cả quyền truy cập ứng dụng nội bộ và hoạt động duyệt web.
• Cung cấp phản hồi: Nếu bạn kiểm thử phần mềm, hãy báo cáo bất kỳ sai lệch nào giữa hành vi dự kiến và trải nghiệm của bạn tới các vấn đề (issues) trên GitHub của dự án, loại trừ dữ liệu nhạy cảm.
• Lập kế hoạch cho tính dư thừa: Sử dụng thử nghiệm này để xác định các thành phần bạn cần tách ra trên các máy chủ khác nhau cho một thiết lập sản xuất có tính sẵn sàng cao.