Je li HTTP preko ZeroTier-a šifriran? Provjerite gdje prestaje prekrivna mreža

Prođite ove provjere redom i zaustavite se na prvoj koja ne uspije, jer svaki odgovor mijenja šta znači sljedeći korak. Pravo pitanje je usko: putuje li obični HTTP na ZeroTier mreži otvoreno preko interneta? Između dva ZeroTier čvora obično ne, jer prekrivna mreža šifrira taj skok. Ali to je tvrdnja o dvije krajnje točke, ne o svakom segmentu koji zahtjev prelazi. Usmjerivač, most ili obrnuti proxy pomiče krajnju točku, a čisti tekst se nastavlja s njene druge strane.

Provjera 1: pronađite adresu koju preglednik bira

Uporedite URL s onim što stroj zapravo ima. ip -brief addr show prikazuje zt sučelje i adresu prekrivne mreže koju je dodijelio kontroler mreže; ako URL koristi tu adresu, socket preglednika ulazi u prekrivnu mrežu.

Kada se ime umjesto toga razriješi u LAN adresu, prekrivna mreža možda uopće nije uključena, šta god sugerirao indikator stanja klijenta. ip route get 10.147.20.5 ispisuje sučelje i izvornu adresu koju bi kernel odabrao, pa zt sučelje tamo znači da paket ulazi u prekrivnu mrežu, a naziv vaše fizičke mrežne kartice znači da ne ulazi. Imena dodaju još jedan sloj: zapis koji pokazuje na adresu prekrivne mreže ponaša se drukčije od zapisa koji pokazuje na LAN adresu, a sufiks za pretragu ili unos u datoteci hosts mogu tiho odlučiti koji ćete dobiti.

Provjera 2: potvrdite da su oba kraja čvorovi, a ne dešifrirajući relej

ZeroTier šifrira između čvorova, a gdje ne postoji izravan put, paketi se prenose kroz korijen koji ih prosljeđuje još šifrirane. zerotier-cli peers označava put svakog čvora kao DIRECT ili RELAY uz brojku kašnjenja. Proslijeđeni put košta povratna putovanja, ne povjerljivost.

Ono što doista mijenja odgovor jest član koji nije prava krajnja točka. Kada je druga strana ZeroTier član koji usmjerava ili premošćuje u fizički LAN, prekrivna mreža završava na tom članu i sljedeći skok je obični Ethernet.

Provjera 3: gledajte gdje zahtjev postaje čitljiv

Na hostu za koji vjerujete da poslužuje stranicu, snimite sučelje prekrivne mreže dok je ponovno učitavate: sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'. Čitljiv redak zahtjeva u tom izlazu dokazuje da je promet stigao dešifriran na taj host, a to je granica koju tražite.

Zatim snimajte na sučelju okrenutom ostatku LAN-a. Ako se isti zahtjev tamo pojavi otvoreno, napustio je prekrivnu mrežu prije nego je stigao do aplikacije i svaki uređaj na tom segmentu ga može pročitati. Ako se na LAN strani ništa ne pojavi, a stranica se ipak učita, aplikacija završava na samom ZeroTier hostu.

Snimanje loopbacka također je važno kada je obrnuti proxy ispred, jer proxy koji prihvaća HTTPS i prosljeđuje HTTP pomiče granicu na vlastiti backend.

Provjera 4: obračunajte svaki skok iza usmjerivača ili mosta

Član konfiguriran za usmjeravanje između prekrivne mreže i LAN-a uobičajen je dizajn i mjesto gdje se većina ovih pretpostavki lomi. Prekrivna mreža štiti dionicu od preglednika do usmjerivača i ništa nakon nje. Most priča istu priču drugim mehanizmom: prekrivna mreža i fizički segment postaju jedna broadcast domena, pa zahtjev s premošćenog prijenosnika prolazi običnim Ethernetom iako taj prijenosnik sjedi na ZeroTier mreži.

Istražite to umjesto da pretpostavljate. traceroute od klijenta do adrese usluge plus tablica usmjeravanja na članu pristupnika pokazuju je li zadnji skok zt ili eth.

ZeroTier nudi i način pouzdanih putanja koji može odbaciti transportnu sigurnost na određenim lokalnim putanjama radi performansi. Mreža koja ga koristi ne nasljeđuje uobičajenu pretpostavku o šifriranoj putanji, pa pročitajte konfiguraciju mreže prije nego je citirate. Dokumentacija protokola opisuje i šifriranje između čvorova i to izuzeće.

Provjera 5: odlučite što aplikacija još mora učiniti

Članstvo u prekrivnoj mreži autentificira uređaj na mreži i ne govori ništa o tome je li usluga na drugoj strani ona koju ste namjeravali dosegnuti. HTTPS odgovara na drugo pitanje vezujući ime hosta uz ključ, pa se dvije zaštite preklapaju bez zamjene jedna druge. Ovlašteni čvor ipak može biti pogrešna usluga, a kompromitirana krajnja točka čita zahtjev i prije šifriranja i nakon dešifriranja. Nijedan mehanizam ne revidira što aplikacija bilježi.

Za sve što ima sesiju koja se može ponovno upotrijebiti ili lozinku, prekinite TLS na aplikaciji ili na proxyju koji kontrolirate i ostavite provjeru certifikata uključenom. Gdje naslijeđena usluga mora ostati na običnom HTTP-u, zapišite točnu putanju od hosta do hosta koju smije koristiti, kome je dostupna i koji segment ostaje nezaštićen; ta je bilješka ono što budućem recenzentu treba.

"VPN je povezan" nije procjena ničega od ovoga. Iskrena verzija imenuje obje krajnje točke, putanju između njih i prvi skok koji nije pokriven.

Držite izlaz snimanja i popis čvorova uz dokumentaciju usluge, kako bi svatko tko promijeni rutu ili doda most vidio koju pretpostavku upravo ruši.