مرشحات منارة Nebula مقابل الجدار الناري: ماذا يحجب كل منهما

انظر إلى مصافحة Nebula من الطرف الخاطئ وستجد أن الآليتين تبدوان قابلتين للتبادل. إحداهما تحدد العناوين التي تخبر بها العقدة المنارة والعناوين البعيدة التي ستحاولها؛ والأخرى تحدد ما يُسمح بمروره بعد وجود النفق. يمكن للمرشح أن يوقف اتصالًا قبل تقييم أي قاعدة جدار ناري، ولا تستطيع قاعدة جدار ناري إحياء نقطة نهاية أزالتها عملية الاكتشاف. الطبقتان تجيبان عن سؤالين مختلفين، والترتيب الذي تعملان به هو المفتاح.

تتبّع اتصالًا واحدًا عبر أربع مراحل: العنوان المحلي المعلن، ونقطة النهاية البعيدة المدروسة، والمصافحة، وحركة المرور داخل الطبقة فوقية. لكل مرحلة إعدادها الخاص وبصمتها الخاصة بالفشل.

ابدأ من العنوان المحلي الذي تعلنه العقدة

local_allow_list يرشّح العناوين المحلية لهذا المضيف قبل الإبلاغ بها إلى المنارات. يمكن أن تكون المدخلات نطاقات عناوين، ويدعم الإعداد أيضًا أنماط أسماء الواجهات. هذا مفيد عندما يملك المضيف جسور حاويات أو واجهات نفق إضافية لا ينبغي أن تصبح نقاط نهاية للنظراء.

تجوّل في واجهات المضيف واسأل أيها يستطيع نظير بعيد الوصول إليه فعلاً. عنوان جسر Docker محلي على ذلك المضيف ولا فائدة منه لنظير في شبكة أخرى. الإعلان عنه يهدر الاكتشاف وقد يوجّه نظيرًا نحو عنوان لا يستجيب أبدًا. كل ما لا يستطيع النظير توجيهه هو ضجيج في رد المنارة.

قائمة السماح الضيقة أكثر أمانًا هنا من قائمة المنع الواسعة. إذا وُجدت مدخلات سماح فقط، يُستبعد الباقي غير المحدد؛ وإضافة مدخل منع لاحقًا تغيّر منطق الافتراضي وتحتاج إلى مراجعة خاصة. يستحق ذلك التغيير نظرة ثانية إلى الافتراضي.

ثم راقب اختيار نقطة النهاية البعيدة

remote_allow_list يرشّح العناوين التي سيدرسها هذا المضيف لنظير بعيد أثناء المصافحة. ينطبق على عنوان الشبكة الأساسية، لا على عنوان الطبقة فوقية الذي سيستخدمه النظير بعد قيام النفق.

قد يكون نطاق خاص صالحًا تمامًا في شبكة مكتب مشتركة وعديم المعنى حين يقع المضيفان في شبكتين غير مترابطتين تستخدمان كلتاهما 10.0.0.0/8. يتيح لك المرشح تفضيل المسار القابل للتوجيه وتجاهل المصادفة.

عندما يفشل نظير في الاتصال، قارن العنوان الذي يُجرَّب بالقاعدة المطابقة له. فعّل سجلات المصافحة واقرأ العنوان البعيد المختار؛ يذكر سطر السجل نقطة النهاية التي نجت من الترشيح، وهذا أنفع من قائمة العناوين التي يملكها النظير.

يمكن لمرشح اسم الواجهة في جهة الإعلان أن يزيل نقطة النهاية قبل أن تراها جهة الاستقبال أصلًا. افحص العقدتين عندما يفشل اتجاه واحد فقط.

بعد المصافحة تُطبَّق قواعد الوصول في الطبقة فوقية

تعمل قواعد جدار Nebula الناري داخل الطبقة فوقية، بعد قيام النفق. تطابق المضيفين والمجموعات والمنافذ والبروتوكولات، وتقرر ما إذا كان يمكن لحزمة أن تدخل المضيف المحلي أو تخرج منه. ولا تختار نقطة نهاية في الشبكة الأساسية.

يفسّر هذا الفصل خطأ تشخيص شائعًا. يضيف مشغّل قاعدة جدار ناري لمنفذ ما ومع ذلك لا يستطيع الاتصال، لأن مرشح المنارة أزال نقطة النهاية الوحيدة القابلة للوصول. ويكشف مشغّل آخر مرشح العناوين ومع ذلك لا يصل إلى الخدمة، لأن جدار الطبقة فوقية يرفض المنفذ.

اقرأ الفشل في الطبقة الصحيحة. مصافحة لا تكتمل أبدًا تشير إلى الاكتشاف أو ترشيح نقاط النهاية أو مسار الشبكة. مصافحة مكتملة يتبعها رفض أو إسقاط لاتصال خدمة يشير إلى جدار الطبقة فوقية أو إلى التطبيق.

اقرأ الافتراضي عند خلط السماح والمنع

يدعم إعداد المنارة القوائم ذات السماح فقط والمنع فقط والقوائم المختلطة، ويختلف الافتراضي للباقي غير المحدد بين تلك الأشكال. تحتاج القائمة المختلطة إلى افتراضي صريح لعائلة العناوين؛ افتراض أن الباقي يتصرف كالإعداد السابق هو الطريق الذي تختفي به نقطة نهاية عاملة بهدوء.

lighthouse:
  local_allow_list:
    interfaces:
      docker0: false
  remote_allow_list:
    192.168.0.0/16: true
    default: false

تعامل مع الافتراضي كجزء من القاعدة، لا كنص قالب. إذا كان افتراضي العائلة منعًا، يُستبعد كل عنوان غير مدرج، بما في ذلك نطاق مكتب جديد أُضيف بعد كتابة الإعداد.

سجّل العناوين المقصود أن تكون قابلة للوصول واختبر من الجهتين. المرشح الذي يعمل لزوج نظراء واحد قد يفشل لزوج آخر يستخدم مساره المشترك الوحيد عنوانًا تستبعده القائمة.

استخدم الترحيل عندما لا تكون هناك نقطة نهاية مباشرة قابلة للوصول

إذا رُشّح كل نقطة نهاية مرشحة أو تعذر الوصول إليها، فالحل ليس قائمة سماح أوسع تعيد قبول عناوين لا تثق بها. يوفر إعداد الترحيل في Nebula مسارًا بديلًا للنظير عندما لا يكون الاتصال المباشر عمليًا.

يحل الترحيل مشكلة النقل والاكتشاف، لا التصريح، وهو لا يوسّع الجدار الناري. لا يزال جدار الطبقة فوقية يقرر الخدمات المسموح بها، ولا يحوّل الترحيل ترشيح المنارة إلى آلية تحكم في الوصول.

اختبر مسار الترحيل مع تعطيل نقاط النهاية المباشرة وتأكد من أن الخدمة المقصودة لا تزال تعمل بينما لا تعمل خدمة غير مقصودة. ذلك الاختبار الواحد يفصل إصلاح النقل عن تغيير السياسة ويبقي الطبقتين صادقتين.