ZeroTier ilə LAN-a: port icazəsi deyil, UFW marşrut qaydaları

Ofis LAN-ındakı printerə ZeroTier üzvü vasitəsilə çatmaq bir qayda kimi səslənir, amma əslində üç fərqli yerdə üç qərardır. Overlay LAN-ın harada olduğunu bilməlidir, Linux hostu paketləri yönləndirməyə hazır olmalıdır və LAN cavabı geri necə göndərəcəyini bilməlidir. Şlüzdə port açan gələn qayda bunların heç birinə toxunmur. Bu, düzgün hostda səhv alətdir.

Üç iş, üç sahib

İdarə olunan marşrut ZeroTier şəbəkə konfiqurasiyasına aiddir. O, üzvlərə bildirir ki, müəyyən prefiksə konkret üzv ünvanı vasitəsilə çatmaq olar.

Yönləndirmə Linux nüvəsinə və onun firewall siyasətinə sahib olan hər şeyə aiddir. O, overlay-də gələn paketin fiziki interfeysdən yenidən çıxıb-çıxmayacağını həll edir. Yönləndirmə edən olmayan host paketi qəbul etdikdən sonra səssizcə atacaq. Göndərən taym-aut görür və xidmət jurnalında heç nə görünmür.

Cavab yolu LAN-a aiddir. Onun hostları və marşrutlaşdırıcısı bilməlidir ki, overlay prefiksinə şlüzün LAN ünvanı vasitəsilə çatmaq olar, əks halda trafiki nəsə tərcümə etməlidir ki, bu sual heç yaranmasın.

Bunların hər biri düzgün ola bilər, digərləri isə uğursuz ola bilər; buna görə yalnız şlüzü ping edən test arxasındakı xidmət haqqında heç nə sübut etmir.

İdarə olunan marşrutu üzvə yönəldin

Nəzərdə tutulan LAN prefiksi üçün marşrutu şlüzün overlay ünvanı vasitəsilə əlavə edin, LAN ünvanı vasitəsilə deyil. Overlay ünvanı digər üzvlərin çata bildiyi ünvandır; LAN ünvanı yalnız kabel üzərində məna daşıyır.

Dizaynın işləməsi üçün üzvlər idarə olunan marşrutları qəbul etməlidir və onların öz yerli şəbəkələri artıq elan etdiyiniz prefiksi istifadə etməməlidir. Evdə 192.168.60.0/24 üzərində oturan uzaq noutbuk da 192.168.60.0/24-ü overlay vasitəsilə marşrutlaşdıra bilməz.

Elan olunan prefiksi tapşırığın icazə verdiyi qədər dar saxlayın. Üstünlüyə təsir etmək üçün daha böyük aqreqat elan etmək sahibi olmadığınız ünvan məkanını da iddia edə bilər və yaranan toqquşma hər iki şəbəkəyə qoşulan cihazlarda görünür. Bu həm də üzvün heç bir yerə aparmayan yola üstünlük verməsinə səbəb ola bilər. Marşrutu dürüst saxlayın və qalanını siyasətə buraxın.

Prefiksi və üzv ünvanını firewall qaydaları ilə eyni qeydə yazın, çünki ən çox rast gəlinən nasazlıq səhv üzvə yönəlmiş marşrutdur.

Nüvədə keçidi aktivləşdirin

Heç nəyi dəyişməzdən əvvəl işləyən yönləndirmə dəyərini oxuyun, sonra parametri yenidən başlatmada itən birtəhərlik əmrlə deyil, sisteminizin artıq istifadə etdiyi mexanizmlə qalıcı edin.

Əgər siyasət UFW-na məxsusdursa, onun marşrut qaydaları mənbə, təyinat və interfeys cütü üçün yönləndirməni ifadə edir. Bunlar şlüzün özündə xidmət açan gələn qaydalardan ayrıdır:

sysctl net.ipv4.ip_forward
sudo ufw route allow in on zt3f2a1c9d out on eth0 proto tcp to 192.168.60.20 port 443
sudo ufw status verbose

İnterfeys adı həmin hostdakı faktiki overlay cihazıdır və onu ip link ilə oxuya bilərsiniz; bu, bütün quraşdırmalarda sabit sətir deyil. Əgər host ilkin olaraq yönləndirirsə və UFW yolda deyilsə, marşrut qaydası nəzərə alınmayacaq və nüvə parametrləri əhəmiyyətli olacaq.

Cavabların necə qayıdacağını seçin

Mənbə saxlanması ilə LAN xidməti real overlay ünvanını görür və ona cavab verir. Bu, LAN hostunda və ya onun marşrutlaşdırıcısında overlay prefiksini şlüzünüzə yönəldən marşrut tələb edir ki, bu da Linux qutusundan kənar dəyişiklikdir.

O marşrut əlavə edilə bilmədikdə, məhdud mənbə tərcüməsi sorğunu sanki LAN-dakı şlüzdən gəlmiş kimi göstərir. Onda cavablar yerli olaraq qayıdır və LAN marşrutunda dəyişiklik lazım olmur; bunun qiyməti xidmət jurnallarında ilkin mənbənin itirilməsidir.

Tərcüməni overlay mənbəyi və konkret LAN təyinatı ilə məhdudlaşdırın. LAN interfeysindən çıxan hər şeyi tərcümə etmək geniş versiyadır və sonradan qaydaları oxuyan hər kəsi təəccübləndirir, həm də bloklanmalı olan trafiki gizlədir.

Heç bir seçim LAN-dan ixtiyari overlay üzvlərinə istənilməmiş giriş vermir. Əgər bu istənilirsə, öz baxışı olan ayrıca qaydadır.

Real üzvdən test edin

Şlüzdən deyil, başqa üzvdən qoşulun və icazə verilən bir xidmət istəyin. Sonra bağlı qalmalı olan xidməti sınayın və hər iki testi yenidən qoşulmadan və şlüzün yenidən başladılmasından sonra təkrarlayın.

ONLINE bildirən üzv və ya şlüzün overlay ünvanına uğurlu ping marşrutu, yönləndirmə qaydasını və ya cavab yolunu təsdiqləmir:

zerotier-cli listnetworks
ip -4 route get 192.168.60.20
sudo ufw status numbered

İkinci əmr paketin LAN hostuna hansı interfeysdən istifadə edəcəyini, üçüncüsü isə marşrut qaydasının nəzərdə tutduğunuz formada olub-olmadığını göstərir. Əgər hər ikisi doğru görünürsə və xidmət hələ də taym-aut verirsə, qalan şübhəli cavab yoludur.