Is HTTP oor ZeroTier geënkripteer? Kyk waar die oordekking eindig

Werk hierdie kontroles in volgorde deur en stop by die eerste een wat misluk, want elke antwoord verander wat die volgende stap beteken. Die werklike vraag is smal: beweeg gewone HTTP op 'n ZeroTier-netwerk in die oopte oor die internet? Tussen twee ZeroTier-eweknieë doen dit gewoonlik nie, want die oordekking geënkripteer daardie sprong. Dit is egter 'n stelling oor twee eindpunte, nie oor elke segment wat 'n versoek kruis nie. 'n Router, 'n brug of 'n tru-om-proxy verskuif die eindpunt, en gewone teks hervat aan die ander kant daarvan.

Kontrole 1: vind die adres wat die blaaier skakel

Vergelyk die URL met wat die masjien werklik het. ip -brief addr show lys die zt-koppelvlak en die oordekkingsadres wat die netwerkbeheerder toegewys het; as die URL daardie adres gebruik, gaan die blaaier se sok na die oordekking.

Wanneer die naam eerder na 'n LAN-adres oplos, is die oordekking dalk glad nie betrokke nie, wat die kliënt se statusaanwyser ook al voorstel. ip route get 10.147.20.5 druk die koppelvlak en die bronadres wat die kern sou kies, dus 'n zt-koppelvlak daar beteken die pakkie betree die oordekking en jou fisiese NIC-naam beteken dit doen dit nie. Name voeg nog 'n laag by: 'n rekord wat na 'n oordekkingsadres wys, gedra hom anders as een wat na 'n LAN-adres wys, en 'n soek-agtervoegsel of 'n hosts-lêer-inskrywing kan stilweg besluit watter een jy kry.

Kontrole 2: bevestig dat beide kante eweknieë is, nie 'n ontsyferende aflos nie

ZeroTier geënkripteer tussen eweknieë, en waar geen direkte pad bestaan nie, word die pakkies deur 'n wortel aangestuur wat hulle steeds geënkripteer deurstuur. zerotier-cli peers merk elke eweknie se pad DIRECT of RELAY met 'n vertragingsyfer. 'n Aangestuurde pad kos retoereise, nie vertroulikheid nie.

Wat die antwoord wel verander, is 'n lid wat nie regtig 'n eindpunt is nie. Wanneer die ander kant 'n ZeroTier-lid is wat na 'n fisiese LAN roeteer of oorbrug, eindig die oordekking by daardie lid en is die volgende sprong gewone Ethernet.

Kontrole 3: kyk waar die versoek leesbaar word

Op die gasheer wat jy glo die bladsy bedien, vang die oordekkingskoppelvlak terwyl jy herlaai: sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'. 'n Leesbare versoeklyn in daardie uitset bewys die verkeer het ontsyfer op daardie gasheer aangekom, wat die grens is waarna jy soek.

Vang dan op die koppelvlak wat na die res van die LAN wys. As dieselfde versoek daar in die oopte verskyn, het dit die oordekking verlaat voor dit die toepassing bereik het, en elke toestel op daardie segment kan dit lees. As niks aan die LAN-kant verskyn nie en die bladsy laai steeds, beëindig die toepassing op die ZeroTier-gasheer self.

Om loopback vas te vang maak ook saak wanneer 'n tru-om-proxy voor sit, want 'n proxy wat HTTPS aanvaar en HTTP aanstuur, verskuif die grens na sy eie agterkant.

Kontrole 4: verreken elke sprong agter 'n router of brug

'n Lid wat ingestel is om tussen die oordekking en 'n LAN te roeteer, is 'n gewone ontwerp en die plek waar die meeste van hierdie aannames breek. Die oordekking beskerm die been van blaaier tot router en niks daarna nie. 'n Brug vertel dieselfde verhaal deur 'n ander meganisme: die oordekking en die fisiese segment word een uitsaaidomein, so 'n versoek van 'n oorbrugde skootrekenaar kruis gewone Ethernet al sit daardie skootrekenaar op die ZeroTier-netwerk.

Volg dit eerder as om dit aan te neem. traceroute van die kliënt na die diensadres plus die roetetabel op die poortlid wys of die laaste sprong zt of eth is.

ZeroTier bied ook 'n vertroude-pad-modus wat vervoersekuriteit op aangewese plaaslike paaie vir werkverrigting kan laat vaar. 'n Netwerk wat dit gebruik, erf nie die normale aanname van geënkripteerde paaie nie, so lees die netwerkkonfigurasie voordat jy een aanhaal. Die protokol-dokumentasie beskryf beide die eweknie-enkripsie en daardie uitsondering.

Kontrole 5: besluit wat die toepassing nog moet doen

Oordekkingslidmaatskap verifieer 'n toestel by 'n netwerk en sê niks oor of die diens aan die ander kant die een is wat jy wou bereik nie. HTTPS beantwoord 'n ander vraag deur 'n gasheernaam aan 'n sleutel te bind, so die twee beskermings oorvleuel sonder om mekaar te vervang. 'n Gemagtigde eweknie kan steeds die verkeerde diens wees, en 'n gekompromitteerde eindpunt lees die versoek beide voor enkripsie en na ontsyfering. Nie een van die meganismes oudit wat die toepassing aanteken nie.

Vir enigiets met 'n herbruikbare sessie of 'n wagwoord, beëindig TLS by die toepassing of by 'n proxy wat jy beheer en laat sertifikaatvalidasie aan. Waar 'n nalatenskapdiens op gewone HTTP moet bly, skryf die presiese gasheer-tot-gasheer-pad neer wat dit mag gebruik, wie dit kan bereik en watter segment onbeskermd bly; daardie nota is wat 'n toekomstige resensent nodig het.

"Die VPN is gekoppel" is nie 'n beoordeling van enigiets hiervan nie. Die eerlike weergawe noem beide eindpunte, die pad tussen hulle en die eerste sprong wat nie gedek is nie.

Hou die opvang-uitset en die eweknie-lys langs die diensdokumentasie, sodat elkeen wat 'n roete verander of 'n brug byvoeg kan sien watter aanname hulle op die punt is om te breek.