Nebula mayak filtrləri ilə firewall arasındakı fərq: hər biri nəyi bloklayır

Nebula əl sıxmasına yanlış tərəfdən baxın və iki mexanizm bir-birini əvəz edə bilən görünür. Biri düyünün mayaka hansı ünvanları bildirdiyini və hansı uzaq ünvanları sınayacağını müəyyən edir; digəri tunel mövcud olduqdan sonra nəyin keçə biləcəyini müəyyən edir. Filtr hər hansı firewall qaydası qiymətləndirilməmişdən əvvəl bağlantını dayandıra bilər, firewall qaydası isə kəşfiyyatın sildiyi son nöqtəni dirildə bilməz. İki qat fərqli suallara cavab verir və onların hərəkət sırası əsas məsələdir.

Bir bağlantını dörd mərhələdə izləyin: elan edilən yerli ünvan, nəzərdən keçirilən uzaq son nöqtə, əl sıxması və overlay trafiki. Hər mərhələnin öz konfiqurasiyası və öz uğursuzluq imzası var.

Düyünün elan etdiyi yerli ünvandan başlayın

local_allow_list bu hostun yerli ünvanlarını mayaklara bildirilməmişdən əvvəl filtrləyir. Girişlər ünvan diapazonları ola bilər və konfiqurasiya interfeys adı şablonlarını da dəstəkləyir. Bu, hostun peer son nöqtəsinə çevrilməməli olan konteyner körpüləri və ya əlavə tunel interfeysləri olduqda faydalıdır.

Hostun interfeyslərini gəzin və hansılarına uzaq peer-in həqiqətən çata biləcəyini soruşun. Docker körpü ünvanı həmin hosta aiddir və başqa şəbəkədəki peer üçün faydasızdır. Onu elan etmək kəşfiyyatı boşa çıxarır və peer-i heç vaxt cavab verməyən ünvana yönəldə bilər. Peer-in marşrutlaşdıra bilmədiyi hər şey mayak cavabındakı səs-küydür.

Burada dar icazə siyahısı geniş qadağa siyahısından təhlükəsizdir. Yalnız icazə girişləri varsa, göstərilməyən qalan hissə çıxarılır; sonradan qadağa girişi əlavə etmək standart məntiqi dəyişir və ayrıca nəzərdən keçirmə tələb edir. Bu dəyişiklik standarta ikinci baxışa layiqdir.

Sonra uzaq son nöqtə seçimini izləyin

remote_allow_list bu hostun əl sıxması zamanı uzaq peer üçün nəzərdən keçirəcəyi ünvanları filtrləyir. O, əsas şəbəkə ünvanına aiddir, peer-in tunel qurulduqdan sonra istifadə edəcəyi overlay ünvanına deyil.

Şəxsi diapazon ortaq ofis şəbəkəsində tamamilə yararlı ola bilər və iki host hər ikisi 10.0.0.0/8 istifadə edən əlaqəsiz şəbəkələrdə yerləşdikdə mənasız olur. Filtr sizə marşrutlaşdırıla bilən yolu üstün tutmağa və təsadüfü nəzərə almamağa imkan verir.

Peer qoşula bilmədikdə, sınanan ünvanı ona uyğun gələn qayda ilə müqayisə edin. Əl sıxması jurnallarını aktivləşdirin və seçilmiş uzaq ünvanı oxuyun; jurnal sətri filtrləmədən keçən son nöqtəni adlandırır və bu, peer-in sahib olduğu ünvanlar siyahısından daha faydalıdır.

Elan tərəfindəki interfeys adı filtri son nöqtəni qəbul edən tərəf onu görməmişdən əvvəl silə bilər. Yalnız bir istiqamət uğursuz olduqda hər iki düyünü yoxlayın.

Əl sıxmasından sonra overlay giriş qaydaları tətbiq olunur

Nebula firewall qaydaları overlay daxilində, tunel qurulduqdan sonra işləyir. Onlar hostları, qrupları, portları və protokolları uyğunlaşdırır və paketin yerli hosta girə və ya ondan çıxa biləcəyini müəyyən edir. Onlar əsas şəbəkədə son nöqtə seçmir.

Bu ayrılıq tez-tez rast gəlinən səhv diaqnozu izah edir. Operator port üçün firewall qaydası əlavə edir və yenə də qoşula bilmir, çünki mayak filtri yeganə əlçatan son nöqtəni silmişdi. Başqa bir operator ünvan filtrini açır və yenə də xidmətə çata bilmir, çünki overlay firewall portu rədd edir.

Uğursuzluğu düzgün qatda oxuyun. Heç vaxt tamamlanmayan əl sıxması kəşfiyyata, son nöqtə filtrləməsinə və ya şəbəkə yoluna işarə edir. Tamamlanmış əl sıxmasından sonra rədd edilən və ya atılan xidmət bağlantısı overlay firewallına və ya tətbiqə işarə edir.

İcazə və qadağanı qarışdırdıqda standartı oxuyun

Mayak konfiqurasiyası yalnız-icazə, yalnız-qadağa və qarışıq siyahıları dəstəkləyir və göstərilməyən qalan hissə üçün standart bu formalar arasında fərqlənir. Qarışıq siyahı ünvan ailəsi üçün açıq standart tələb edir; qalan hissənin əvvəlki konfiqurasiya kimi davrandığını güman etmək işlək son nöqtənin səssizcə yox olmasının yoludur.

lighthouse:
  local_allow_list:
    interfaces:
      docker0: false
  remote_allow_list:
    192.168.0.0/16: true
    default: false

Standarta qaydanın bir hissəsi kimi yanaşın, şablon mətni kimi deyil. Ailə standartı qadağadırsa, sadalanmayan hər ünvan çıxarılır, o cümlədən konfiqurasiya yazıldıqdan sonra əlavə edilmiş yeni ofis diapazonu.

Hansı ünvanların əlçatan olması nəzərdə tutulduğunu qeyd edin və hər iki tərəfdən sınaqdan keçirin. Bir peer cütü üçün işləyən filtr, yeganə ümumi yolu siyahının çıxardığı ünvandan keçən başqa cüt üçün uğursuz ola bilər.

Birbaşa son nöqtə əlçatan olmadıqda relay istifadə edin

Hər namizəd son nöqtə filtrlənib və ya əlçatmazdırsa, cavab etibar etmədiyiniz ünvanları yenidən qəbul edən daha geniş icazə siyahısı deyil. Nebula-nın relay konfiqurasiyası birbaşa əlaqə mümkün olmadıqda alternativ peer yolu təqdim edir.

Relay nəqliyyatı və kəşfiyyatı həll edir, avtorizasiyanı yox, və firewallı genişləndirmir. Overlay firewallı hələ də hansı xidmətlərin istifadə oluna biləcəyini müəyyən edir və relay mayak filtrləməsini giriş nəzarəti mexanizminə çevirmir.

Birbaşa son nöqtələr söndürülmüş halda relay yolunu sınayın və nəzərdə tutulan xidmətin hələ də işlədiyini, nəzərdə tutulmayanın isə işləmədiyini təsdiqləyin. Bu tək sınaq nəqliyyat düzəlişini siyasət dəyişikliyindən ayırır və iki qatı dürüst saxlayır.