Pin OpenZiti op v2.0.6 of nieuwer binnen de 2.0-lijn, en behandel een pre-release-tag niet als de pinversie voor klanten

Pin OpenZiti op v2.0.6 of nieuwer binnen de 2.0-lijn, en behandel een pre-release-tag niet als de pinversie voor klanten

De zin die een MSP hoort is: “we draaien een zero-trust-overlay, dus het platte netwerk is weg.” Het antwoord is dat de overlay een control plane is die je nog steeds moet inventariseren, op een versie moet pinnen en moet afschermen. Het is geen slogan die wijzigingsvensters overbodig maakt. Het project waar het hier om gaat is OpenZiti, repository openziti/ziti, gelicentieerd onder Apache-2.0, met 4417 GitHub-sterren en 276 forks op 4 oktober 2026 en een homepage op openziti.io. Dat zijn tellingen, geen bewering over populariteit die verder gaat dan het getal.

De pin hoort er direct bij. De nieuwste volledige release op de 2.0-lijn is v2.0.6, gepubliceerd op 18 september 2026. Er bestaan ook v2.0.7 (25 september) en v2.0.8 (8 oktober), en beide zijn nog als pre-release gemarkeerd.

Hierna volgt wat “programmeerbare zero-trust-overlay” mag betekenen: op identiteit gerouteerde diensten, een controller, edge-routers en ingeschreven identiteiten. En wat OpenZiti niet is, naast zes andere producten die andere taken oplossen. Het onderhoudsadvies stopt bij “een gepinde release toepassen”, en de zes verdedigende maatregelen voegen geen aanvalsdetails toe.

De functiezin die dit artikel gebruikt, komt uit de beschrijving van de repository en nergens anders vandaan: het hoofdproject van OpenZiti levert de uitvoerbare bestanden voor een volledig zero-trust, programmeerbaar netwerk. De topics van de repository omvatten overlay, zero-trust en ZTNA, de standaardbranch is main en de hoofdtaal is Go. Er wordt hier geen high-availability-topologie als feit verkocht, geen doorvoercijfer en geen klantenaantal. Een diagram van hoe één klant zijn controllers aan elkaar heeft gekoppeld, is het ontwerpdossier van die klant, geen bewering die deze pagina aan een aantal sterren kan ontlenen.

De objecten die een MSP nog steeds moet benoemen, zijn controllers, edge-routers en ingeschreven identiteiten, inclusief een HA-controllermesh als de klant er een draait. Dat zijn namen voor een inventarisexport. Het is geen bouwhandleiding, geen topologie om te kopiëren en geen belofte dat elke omgeving de mesh heeft. Draait de klant geen tweede controller, dan zegt de inventaris dat. Een lege HA-regel is een feit. Een gegokte tweede controller niet.

“Op identiteit gerouteerd” is de zin voor de koper, en die is smal. Een dienst wordt bereikt via een ingeschreven identiteit en een policy, niet omdat de host toevallig op het LAN van de klant staat. Dat is het verschil dat een overlay hier mag claimen. Het is geen bewering dat misconfiguratie onmogelijk is. Een te ruime policy, een identiteit die nooit is ingetrokken of een router die wordt beheerd waar dat niet zou moeten, blijven gewone operationele fouten. De overlay verschuift de vraag van “welk subnet” naar “welke identiteit en welke policy”. De vraag verdwijnt niet.

Sterren zijn een telling, en daar houdt het op. De 4417 sterren van 4 oktober 2026 zijn geen beveiligingsbeoordeling, geen supportcontract en geen pin. De repository krijgt vaak pushes; de laatste vóór dit artikel was op 8 oktober 2026. Dat zegt dat het project beweegt. Het zegt niet welke tag een klant moet draaien.

De licentie is Apache-2.0, zoals GitHub die vermeldt. Een licentie vertelt een koper iets over auteursrechtelijke voorwaarden. Ze zegt niet welke release veilig in een wijzigingsvenster kan, en ze vervangt de pin niet.

De releasepagina leest het best als een korte lijst, niet als een spreadsheet vol digests. v2.0.6 (18 september 2026) is een volledige release. v2.0.7 (25 september) en v2.0.8 (8 oktober) zijn pre-releases. v1.6.21 (18 september) en v1.5.18 (22 september) zijn volledige releases op de oudere lijnen, en v2.0.5 (15 september) is de vorige volledige 2.0-release. Elke tag blijft binnen zijn eigen lijn. Een 1.6-tag wordt niet “nieuwer dan 2.0” omdat hij later op de dag is gepubliceerd, en een 2.0-tag beëindigt geen 1.5-onderhoudslijn alleen doordat hij bestaat.

De pinregel is één zin die een MSP kan herhalen. Ga op de 2.0-lijn niet onder v2.0.6, draai geen zwevende latest en promoveer v2.0.7 of v2.0.8 niet zolang ze als pre-release zijn gemarkeerd. Een klant die nog op 1.6 zit, blijft op een gecontroleerde 1.6-tag (de nieuwste is v1.6.21) tot een geplande overstap, niet omdat er een 2.0-tag bestaat. “Neem gewoon de nieuwste” over 1.5, 1.6 en 2.0 heen is de instructie die dit artikel weigert. Onderhoudslijnen bestaan zodat een geplande overstap een overstap is, met een ticket, en geen toeval van de sorteervolgorde.

De release notes van v2.0.6, v2.0.7 en v2.0.8 beschrijven bugfixes en componentupdates of backports. De beveiligingsboodschap is kort: het project levert fixes, en de MSP past na een wijzigingsvenster een gepinde release toe. Wie de lijst met issues wil zien, kan de releasepagina openen.

Eerdere releases uit 2026, in augustus, bevatten ook beveiligingsfixes aan de controller- en routerkant, met de advisories vermeld in hun release notes. Het praktische advies verandert niet: pin een actuele, gecontroleerde release en behandel een advisory als reden om volgens planning bij te werken.

Headscale is een coördinatieserver voor een andere overlayfamilie. Dit artikel vergelijkt er geen functielijsten mee. De twee in één hardeningverhaal stoppen zou verbergen over welke control plane het ticket werkelijk gaat.

Linkerd2 is een service mesh met een proxy-dataplane. OpenZiti, zoals het hier wordt besproken, is een identiteitsoverlay. Dit is geen artikel over mesh-sidecars, en een sidecar-policy is geen releasepin voor een overlaycontroller. Een MSP kan beide draaien. Beide draaien is niet dezelfde zin als “het ene vervangt het andere”.

Tetragon is runtime- en observability-handhaving in een ander project. Het is niet deze pin. Een sensor die een node bewaakt, kiest niet de OpenZiti-tag, en een OpenZiti-tag wordt geen runtimepolicy omdat beide woorden op dezelfde architectuurslide kunnen staan.

Gatekeeper en Kyverno zijn admission control voor clusterpolicy’s. Een zero-trust-overlay vervangt geen Kubernetes-admissionpolicy, en een admissionpolicy pint geen overlayrelease. De objecten verschillen: het ene laat API-verzoeken in een cluster toe of weigert ze, het andere routeert ingeschreven identiteiten naar diensten. Wie ze als vervangers behandelt, raakt in het wijzigingsvenster zowel de overlaytag als de admissionregels kwijt.

Trivy, Prowler, Grype en Syft zijn scanners en SBOM-tools. Een scanbevinding is geen releasebeslissing voor een overlay, en dit artikel leent hun versieregels niet om een OpenZiti-pin op te sieren.

Een MSP kan er meerdere draaien. De fout van de koper is ze als vervangers te behandelen. De taak van dit artikel is de OpenZiti-pin en de hygiëne van die control plane, verder niets. Als de titel van het ticket kon worden vervangen door Headscale, Linkerd2, Tetragon, Gatekeeper, Kyverno of Trivy zonder dat de stappen veranderen, gaat het ticket niet over deze pin.

Voor elk van de zes maatregelen hieronder is er bewijs dat telt en bewijs dat niet telt. Een aantal sterren, een marketingregel met “zero trust” en een zwevende latest-digest zijn voor geen ervan bewijs.

Eén: inventariseer controllers, edge-routers en ingeschreven identiteiten, inclusief leden van een HA-controllercluster als die er zijn. Bewijs is een inventarisexport die deze objecten benoemt en vermeldt of er een tweede controller is. Een slide met “overlay uitgerold” is die export niet.

Twee: pin na het wijzigingsvenster een bekende lijn. Op de 2.0-lijn is de ondergrens v2.0.6. Pre-releases zoals v2.0.7 en v2.0.8 blijven buiten dat ticket, tenzij de klant uitdrukkelijk en schriftelijk een pre-release accepteert in dat ticket. Bewijs is de tagstring in het wijzigingsrecord, niet een digest die iemand op de ochtend van het venster binnenhaalde omdat hij bovenaan stond.

Drie: vereis admin-MFA voor identiteiten van de controller en de beheerconsole, trek verouderde inschrijvingen in en houd minimale rechten aan in identiteits- en dienstpolicy’s. Bewijs is een MFA-instelling op die beheeridentiteiten en een intrekkingslog voor inschrijvingen die geen eigenaar meer hebben.

Vier: bereik het beheervlak alleen vanaf vertrouwde beheernetwerken of jumphosts. Publiek bereikbaar beheer of publieke inschrijving is geen standaard. Bewijs is een allowlist, of een gelijkwaardige jumphostregel, gekoppeld aan het ticket. Een firewalldiagram zonder regel-ID’s is een plaatje.

Vijf: oefen back-up en herstel voor het datamodel van de controller en voor het inschrijvingsmateriaal. Bouw opnieuw op vanaf vertrouwde media en roteer identiteiten na een vermoedelijke compromittering. Bewijs is een verslag van de hersteloefening: de datum, wie die uitvoerde en of het herstel een controller opleverde die de inventaris nog herkent.

Zes: stuur auditlogs naar een SIEM. Behandel onverwachte inschrijvingen, verwijderde admin-MFA en instabiele routerverbindingen als operationele signalen om te bewaken. Bewijs is de naam van de query in de SIEM en een eigenaar die ernaar kijkt. Een logbucket die niemand opent, is opslag, geen bewaking.

De zin die het change-team kan herhalen: verwar “we hebben een overlay uitgerold” niet met “de control plane is gepind en afgeschermd”. Uitrollen is het begin van de inventaris. Pinnen en afschermen zijn latere tickets, en die moeten een lijn noemen.

Kort samengevat: OpenZiti (openziti/ziti) valt onder de Apache-2.0-licentie en had op 4 oktober 2026 4417 GitHub-sterren. De minimumversie op de 2.0-lijn is v2.0.6, uitgebracht op 18 september 2026, terwijl v2.0.7 en v2.0.8 nog pre-releases zijn. De homepage is openziti.io.

OpenZiti is geen Headscale, geen Linkerd2, geen Tetragon, geen Gatekeeper, geen Kyverno en geen Trivy. Pin de lijn, scherm de control plane af en bewaar het bewijs in het ticket.