ZeroTier üzərində HTTP şifrələnirmi? Üstqatın harada bitdiyini yoxlayın

Bu yoxlamaları sıra ilə aparın və ilk uğursuz olanında dayanın, çünki hər cavab növbəti addımın mənasını dəyişir. Əsl sual dardır: ZeroTier şəbəkəsində adi HTTP internet üzərində açıq şəkildə gedirmi? İki ZeroTier peer arasında adətən yox, çünki üstqat həmin keçidi şifrələyir. Amma bu, iki son nöqtə haqqında ifadədir, sorğunun keçdiyi hər seqment haqqında deyil. Marşrutlaşdırıcı, körpü və ya əks proxy son nöqtəni dəyişir və açıq mətn onun o biri tərəfində bərpa olunur.

Yoxlama 1: brauzerin yığdığı ünvanı tapın

URL-i maşının həqiqətən saxladığı ünvanla müqayisə edin. ip -brief addr show zt interfeysini və şəbəkə nəzarətçisinin təyin etdiyi üstqat ünvanını göstərir; URL həmin ünvandan istifadə edirsə, brauzerin soketi üstqata daxil olur.

Ad bunun əvəzinə LAN ünvanına həll olunursa, müştərinin status göstəricisi nə deyirsə desin, üstqat ümumiyyətlə işə qarışmaya bilər. ip route get 10.147.20.5 kernelin seçəcəyi interfeysi və mənbə ünvanını çap edir, yəni orada zt interfeysi paketin üstqata girdiyini, fiziki NIC adınız isə girmədiyini bildirir. Adlar bir qat daha əlavə edir: üstqat ünvanına baxan qeyd LAN ünvanına baxan qeyddən fərqli davranır və axtarış şəkilçisi və ya hosts faylındakı sətir hansını aldığınızı sakitcə həll edə bilər.

Yoxlama 2: hər iki ucun peer olduğunu, şifrə açan relay olmadığını təsdiqləyin

ZeroTier peer-lər arasında şifrələyir və birbaşa yol olmayanda paketlər onları hələ də şifrəli ötürən kök vasitəsilə yönləndirilir. zerotier-cli peers hər peer-in yolunu gecikmə rəqəmi ilə DIRECT və ya RELAY kimi işarələyir. Yönləndirilmiş yol gediş-dönüş bahasına başa gəlir, məxfilik deyil.

Cavabı həqiqətən dəyişən şey, əsl son nöqtə olmayan üzvdür. Qarşı tərəf fiziki LAN-a marşrutlaşdıran və ya körpü quran ZeroTier üzvüdürsə, üstqat həmin üzvdə bitir və növbəti keçid adi Ethernetdir.

Yoxlama 3: sorğunun harada oxunaqlı olduğunu izləyin

Səhifəni təqdim etdiyinə inandığınız hostda, səhifəni yenidən yükləyərkən üstqat interfeysini tutun: sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'. O çıxışdakı oxunaqlı sorğu sətri trafikin həmin hosta şifrəsi açılmış şəkildə çatdığını sübut edir, axtardığınız sərhəd budur.

Sonra LAN-ın qalan hissəsinə baxan interfeysdə tutun. Eyni sorğu orada açıq görünürsə, o, tətbiqə çatmazdan əvvəl üstqatı tərk edib və həmin seqmentdəki hər cihaz onu oxuya bilər. LAN tərəfində heç nə görünmürsə və səhifə hələ də yüklənirsə, tətbiq ZeroTier hostunun özündə sonlanır.

Qarşıda əks proxy olanda loopback-i tutmaq da vacibdir, çünki HTTPS qəbul edib HTTP ötürən proxy sərhədi öz arxa tərəfinə keçirir.

Yoxlama 4: marşrutlaşdırıcı və ya körpünün arxasındakı hər keçidi nəzərə alın

Üstqatla LAN arasında marşrutlaşdırma üçün qurulmuş üzv adi dizayndır və bu fərziyyələrin çoxunun pozulduğu yerdir. Üstqat brauzerdən marşrutlaşdırıcıya qədər olan hissəni qoruyur, ondan sonra heç nəyi qorumur. Körpü eyni hekayəni başqa mexanizmlə danışır: üstqat və fiziki seqment bir yayım domeninə çevrilir, ona görə də körpülənmiş noutbukdan gələn sorğu həmin noutbuk ZeroTier şəbəkəsində otursa da, adi Ethernetdən keçir.

Fərz etmək əvəzinə izləyin. Müştəridən xidmət ünvanına traceroute və şlüz üzvündəki marşrut cədvəli son keçidin zt yoxsa eth olduğunu göstərir.

ZeroTier həmçinin performans üçün təyin edilmiş yerli yollarda nəqliyyat təhlükəsizliyini aradan qaldıra bilən etibarlı yol rejimi təklif edir. Ondan istifadə edən şəbəkə adi şifrəli yol fərziyyəsini miras almır, ona görə də birini sitat gətirməzdən əvvəl şəbəkə konfiqurasiyasını oxuyun. Protokol sənədləri həm peer şifrələməsini, həm də həmin istisnanı təsvir edir.

Yoxlama 5: tətbiqin hələ nə etməli olduğunu müəyyənləşdirin

Üstqat üzvlüyü cihazı şəbəkəyə autentifikasiya edir və qarşı tərəfdəki xidmətin çatmaq istədiyiniz xidmət olub-olmadığı barədə heç nə demir. HTTPS başqa bir suala host adını açarla bağlayaraq cavab verir, yəni iki müdafiə üst-üstə düşür, amma bir-birini əvəz etmir. Səlahiyyətli peer yenə də səhv xidmət ola bilər və ələ keçirilmiş son nöqtə sorğunu həm şifrələmədən əvvəl, həm də açıldıqdan sonra oxuyur. Heç bir mexanizm tətbiqin qeyd etdiklərini yoxlamır.

Yenidən istifadə olunan sessiyası və ya parolu olan hər şey üçün TLS-i tətbiqdə və ya nəzarət etdiyiniz proxydə sonlandırın və sertifikat yoxlamasını işə salın. Köhnə xidmət adi HTTP-də qalmalıdırsa, istifadə edə biləcəyi dəqiq hostdan hosta yolu, ona kimin çata biləcəyini və hansı seqmentin qorunmasız qaldığını yazın; gələcək rəyçinin ehtiyacı olan qeyd budur.

"VPN qoşulub" bunların heç birinin qiymətləndirilməsi deyil. Dürüst variant hər iki son nöqtəni, aralarındakı yolu və əhatə olunmayan ilk keçidi adlandırır.

Tutma çıxışını və peer siyahısını xidmət sənədlərinin yanında saxlayın ki, marşrutu dəyişən və ya körpü əlavə edən hər kəs hansı fərziyyəni pozmaq üzrə olduğunu görsün.