A yw HTTP dros ZeroTier yn cael ei amgryptio? Edrychwch ble mae'r droshaen yn gorffen

Ewch drwy'r gwiriadau hyn yn eu trefn a stopiwch ar yr un cyntaf sy'n methu, oherwydd mae pob ateb yn newid ystyr y cam nesaf. Mae'r gwir gwestiwn yn gul: a yw HTTP plaen ar rwydwaith ZeroTier yn teithio'n agored dros y rhyngrwyd? Rhwng dau gymar ZeroTier fel arfer nid yw, gan fod y droshaen yn amgryptio'r naid honno. Ond mae hynny'n ddatganiad am ddau bwynt terfyn, nid am bob segment y mae cais yn ei groesi. Mae llwybrydd, pont neu brocsi gwrthdro yn symud y pwynt terfyn, ac mae testun plaen yn ailddechrau ar yr ochr arall iddo.

Gwirio 1: darganfyddwch y cyfeiriad y mae'r porwr yn ei ddeialu

Cymharwch yr URL â'r hyn sydd gan y peiriant mewn gwirionedd. Mae ip -brief addr show yn rhestru rhyngwyneb zt a'r cyfeiriad troshaen a benodwyd gan reolwr y rhwydwaith; os yw'r URL yn defnyddio'r cyfeiriad hwnnw, mae soced y porwr yn mynd i'r droshaen.

Pan fydd yr enw yn datrys i gyfeiriad LAN yn lle hynny, efallai nad yw'r droshaen yn rhan o'r daith o gwbl, beth bynnag y mae dangosydd statws y cleient yn ei awgrymu. Mae ip route get 10.147.20.5 yn argraffu'r rhyngwyneb a'r cyfeiriad ffynhonnell y byddai'r cnewyllyn yn ei ddewis, felly mae rhyngwyneb zt yno yn golygu bod y pecyn yn mynd i'r droshaen, ac mae enw eich cerdyn rhwydwaith corfforol yn golygu nad yw'n mynd. Mae enwau'n ychwanegu haen arall: mae cofnod sy'n pwyntio at gyfeiriad troshaen yn ymddwyn yn wahanol i un sy'n pwyntio at gyfeiriad LAN, a gall ôl-ddodiad chwilio neu gofnod yn y ffeil hosts benderfynu'n dawel pa un a gewch.

Gwirio 2: cadarnhewch fod y ddau ben yn gymarion, nid cyfnewidydd sy'n dadgryptio

Mae ZeroTier yn amgryptio rhwng cymarion, a lle nad oes llwybr uniongyrchol mae'r pecynnau'n cael eu hailgyfeirio drwy wraidd sy'n eu hanfon ymlaen yn dal wedi'u hamgryptio. Mae zerotier-cli peers yn marcio llwybr pob cymar fel DIRECT neu RELAY gyda ffigur cymorthdrin. Mae llwybr wedi'i ailgyfeirio yn costio teithiau llwyr, nid cyfrinachedd.

Yr hyn sy'n newid yr ateb yw aelod nad yw'n bwynt terfyn go iawn. Pan fo'r ochr bell yn aelod ZeroTier sy'n llwybro neu'n pontio i LAN corfforol, mae'r droshaen yn gorffen at yr aelod hwnnw a'r naid nesaf yw Ethernet cyffredin.

Gwirio 3: gwyliwch ble mae'r cais yn dod yn ddarllenadwy

Ar y gwesteiwr y credwch sy'n gwasanaethu'r dudalen, dalwch y rhyngwyneb troshaen wrth i chi ail-lwytho: sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'. Mae llinell gais darllenadwy yn yr allbwn hwnnw'n profi bod y traffig wedi cyrraedd y gwesteiwr hwnnw wedi'i ddadgryptio, a dyna'r ffin rydych yn chwilio amdani.

Yna dalwch ar y rhyngwyneb sy'n wynebu gweddill y LAN. Os yw'r un cais yn ymddangos yno'n agored, mae wedi gadael y droshaen cyn cyrraedd y cymhwysiad a gall pob dyfais ar y segment hwnnw ei ddarllen. Os nad oes dim yn ymddangos ar ochr y LAN ac mae'r dudalen yn dal i lwytho, mae'r cymhwysiad yn terfynu ar westeiwr ZeroTier ei hun.

Mae dal loopback yn bwysig hefyd pan fo procsi gwrthdro o'i flaen, gan fod procsi sy'n derbyn HTTPS ac yn anfon HTTP ymlaen yn symud y ffin i'w gefn ei hun.

Gwirio 4: cyfrifwch bob naid y tu ôl i lwybrydd neu bont

Mae aelod wedi'i ffurfweddu i lwybro rhwng y droshaen a LAN yn ddyluniad cyffredin a'r lle mae'r rhan fwyaf o'r rhagdybiaethau hyn yn torri. Mae'r droshaen yn amddiffyn y goes o'r porwr i'r llwybrydd a dim byd ar ei hôl. Mae pont yn adrodd yr un stori drwy fecanwaith gwahanol: mae'r droshaen a'r segment corfforol yn dod yn un parth darlledu, felly mae cais o liniadur wedi'i bontio'n croesi Ethernet cyffredin er bod y liniadur hwnnw'n eistedd ar rwydwaith ZeroTier.

Olrheiniwch ef yn lle ei dybio. Mae traceroute o'r cleient i gyfeiriad y gwasanaeth ynghyd â'r tabl llwybro ar yr aelod porth yn dangos ai zt neu eth yw'r naid olaf.

Mae ZeroTier hefyd yn cynnig modd llwybr ymddiriedol a all ollwng diogelwch cludiant ar lwybrau lleol dynodedig er mwyn perfformiad. Nid yw rhwydwaith sy'n ei ddefnyddio yn etifeddu'r rhagdybiaeth arferol o lwybr amgryptiedig, felly darllenwch ffurfweddiad y rhwydwaith cyn dyfynnu un. Mae dogfennaeth y protocol yn disgrifio'r amgryptio rhwng cymarion a'r eithriad hwnnw.

Gwirio 5: penderfynwch beth sydd yn rhaid i'r cymhwysiad ei wneud o hyd

Mae aelodaeth droshaen yn dilysu dyfais i rwydwaith ac yn dweud dim am ba un a yw'r gwasanaeth ar y pen arall yr un y gwnaethoch fwriadu ei gyrraedd. Mae HTTPS yn ateb cwestiwn gwahanol drwy rwymo enw gwesteiwr i allwedd, felly mae'r ddau amddiffyniad yn gorgyffwrdd heb ddisodli'i gilydd. Gall cymar awdurdodedig fod y gwasanaeth anghywir o hyd, ac mae pwynt terfyn wedi'i gyfaddawdu yn darllen y cais cyn amgryptio ac ar ôl dadgryptio. Nid yw'r naill na'r llall yn archwilio'r hyn mae'r cymhwysiad yn ei gofnodi.

Ar gyfer unrhyw beth ag sesiwn y gellir ei hailddefnyddio neu gyfrinair, terfynwch TLS yn y cymhwysiad neu mewn procsi rydych yn ei reoli a gadewch ddilysu tystysgrifau ymlaen. Lle bo rhaid i wasanaeth etifeddol aros ar HTTP plaen, nodwch yr union lwybr o westeiwr i westeiwr y caiff ei ddefnyddio, pwy all ei gyrraedd a pha segment sy'n aros heb ei amddiffyn; y nodyn hwnnw sydd ei angen ar adolygydd yn y dyfodol.

"Mae'r VPN wedi cysylltu" nid yw'n asesiad o unrhyw un o'r rhain. Mae'r fersiwn onest yn enwi'r ddau bwynt terfyn, y llwybr rhyngddynt, a'r naid gyntaf nad yw'n cael ei chwmpasu.

Cadwch allbwn y dal a'r rhestr cymar wrth ymyl dogfennaeth y gwasanaeth, fel y gall pwy bynnag sy'n newid llwybr neu'n ychwanegu pont weld pa ragdybiaeth y mae ar fin ei thorri.