Està xifrat l'HTTP sobre ZeroTier? Comprova on acaba la xarxa de superposició

Recorre aquestes comprovacions en ordre i atura't a la primera que falli, perquè cada resposta canvia què significa el pas següent. La pregunta real és estreta: l'HTTP simple en una xarxa ZeroTier viatja en clar per internet? Entre dos iguals de ZeroTier normalment no, perquè la xarxa de superposició xifra aquest salt. Però això és una afirmació sobre dos extrems, no sobre cada segment que travessa una petició. Un encaminador, un pont o un proxy invers mouen l'extrem, i el text pla torna a l'altre costat.

Comprovació 1: troba l'adreça que marca el navegador

Compara l'URL amb el que la màquina té realment. ip -brief addr show llista la interfície zt i l'adreça de superposició que va assignar el controlador de xarxa; si l'URL fa servir aquesta adreça, el sòcol del navegador entra a la superposició.

Quan el nom es resol, en canvi, a una adreça de LAN, pot ser que la superposició no hi tingui res a veure, digui el que digui l'indicador d'estat del client. ip route get 10.147.20.5 imprimeix la interfície i l'adreça d'origen que triaria el nucli, així que una interfície zt allà vol dir que el paquet entra a la superposició i el nom de la teva targeta de xarxa física vol dir que no. Els noms hi afegeixen una altra capa: un registre que apunta a una adreça de superposició es comporta diferent d'un que apunta a una adreça de LAN, i un sufix de cerca o una entrada del fitxer hosts poden decidir en silenci quina obtens.

Comprovació 2: confirma que els dos extrems són iguals, no un repetidor que desxifra

ZeroTier xifra entre iguals, i on no hi ha camí directe els paquets es retransmeten per una arrel que els envia encara xifrats. zerotier-cli peers marca el camí de cada igual com a DIRECT o RELAY amb una xifra de latència. Un camí retransmès costa anades i tornades, no confidencialitat.

El que sí que canvia la resposta és un membre que no és realment un extrem. Quan l'altre costat és un membre de ZeroTier que encamina o fa pont cap a una LAN física, la superposició acaba en aquest membre i el salt següent és Ethernet corrent.

Comprovació 3: mira on la petició es torna llegible

Al host que creus que serveix la pàgina, captura la interfície de superposició mentre recarregues: sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'. Una línia de petició llegible en aquesta sortida demostra que el trànsit va arribar desxifrat en aquest host, que és la frontera que busques.

Després captura a la interfície que mira la resta de la LAN. Si la mateixa petició hi apareix en clar, ha deixat la superposició abans d'arribar a l'aplicació i qualsevol dispositiu d'aquell segment la pot llegir. Si no hi apareix res pel costat de la LAN i la pàgina encara es carrega, l'aplicació acaba al mateix host de ZeroTier.

Capturar loopback també importa quan hi ha un proxy invers al davant, perquè un proxy que accepta HTTPS i reenvia HTTP mou la frontera al seu propi backend.

Comprovació 4: compta cada salt darrere d'un encaminador o pont

Un membre configurat per encaminar entre la superposició i una LAN és un disseny corrent i el lloc on la majoria d'aquestes suposicions es trenquen. La superposició protegeix el tram del navegador a l'encaminador i res després. Un pont explica la mateixa història amb un altre mecanisme: la superposició i el segment físic esdevenen un sol domini de difusió, així que una petició d'un portàtil connectat per pont travessa Ethernet corrent encara que aquest portàtil sigui a la xarxa ZeroTier.

Rastreja-ho en comptes de suposar-ho. traceroute del client a l'adreça del servei més la taula d'encaminament del membre de passarel·la mostren si l'últim salt és zt o eth.

ZeroTier també ofereix un mode de camí de confiança que pot deixar caure la seguretat del transport en camins locals designats per rendiment. Una xarxa que el fa servir no hereta la suposició normal de camí xifrat, així que llegeix la configuració de la xarxa abans de citar-ne una. La documentació del protocol descriu tant el xifrat entre iguals com aquesta excepció.

Comprovació 5: decideix què ha de fer encara l'aplicació

La pertinença a la superposició autentica un dispositiu en una xarxa i no diu res sobre si el servei de l'altre costat és el que volies assolir. HTTPS respon una altra pregunta en lligar un nom d'amfitrió a una clau, així que les dues proteccions se solapen sense substituir-se. Un igual autoritzat encara pot ser el servei equivocat, i un extrem compromès llegeix la petició tant abans del xifrat com després del desxifrat. Cap dels dos mecanismes audita què registra l'aplicació.

Per a qualsevol cosa amb una sessió reutilitzable o una contrasenya, acaba TLS a l'aplicació o en un proxy que controlis i deixa la validació de certificats activada. On un servei antic hagi de romandre en HTTP simple, anota el camí exacte d'amfitrió a amfitrió que pot fer servir, qui hi pot arribar i quin segment queda desprotegit; aquesta nota és el que necessitarà un revisor futur.

"La VPN està connectada" no és cap avaluació de tot això. La versió honesta anomena els dos extrems, el camí entre ells i el primer salt que no queda cobert.

Guarda la sortida de captura i la llista d'iguals al costat de la documentació del servei, perquè qui canviï una ruta o afegeixi un pont vegi quina suposició està a punt de trencar.