Hidlau goleudy Nebula yn erbyn mur tân: beth mae pob un yn ei rwystro

Edrychwch ar handshake Nebula o'r pen anghywir ac mae'r ddau fecanwaith yn edrych yn gyfnewidiol. Mae un yn penderfynu pa gyfeiriadau mae nod yn eu dweud wrth y goleudy a pha gyfeiriadau pell y bydd yn ceisio'u defnyddio; mae'r llall yn penderfynu beth a gaiff basio unwaith y bydd y twnnel yn bodoli. Gall hidlydd atal cysylltiad cyn i unrhyw reol mur tân gael ei gwerthuso, ac ni all rheol mur tân adfywio pen terfyn a dynnwyd gan y darganfyddiad. Mae'r ddau haen yn ateb cwestiynau gwahanol, a'r drefn y maent yn gweithredu ynddi yw'r allwedd.

Dilynwch un cysylltiad drwy bedwar cam: y cyfeiriad lleol a hysbysebir, y pen terfyn pell a ystyrir, y handshake, a thraffig y gorhaen. Mae gan bob cam ei ffurfweddiad ei hun a'i lofnod methiant ei hun.

Dechreuwch gyda'r cyfeiriad lleol y mae'r nod yn ei hysbysebu

local_allow_list yn hidlo cyfeiriadau lleol y gwesteiwr hwn cyn eu hadrodd i oleudai. Gall y cofnodion fod yn ystodau cyfeiriadau, ac mae'r ffurfweddiad hefyd yn cefnogi patrymau enw rhyngwyneb. Mae hynny'n ddefnyddiol pan fo gan westeiwr bontydd cynhwysydd neu ryngwynebau twnnel ychwanegol na ddylent ddod yn bennau terfyn cymheiriaid.

Cerddwch drwy ryngwynebau'r gwesteiwr a gofyn pa rai y gall cymheir pell gyrraedd yn wirioneddol. Mae cyfeiriad pont Docker yn lleol i'r gwesteiwr hwnnw ac yn ddiwerth i gymheir mewn rhwydwaith arall. Mae ei hysbysebu yn gwastraffu darganfyddiad a gall anfon cymheir tuag at gyfeiriad nad yw byth yn ateb. Mae unrhyw beth na all cymheir ei lwybr yn sŵn yn ymateb y goleudy.

Mae rhestr ganiatáu gul yn fwy diogel yma na rhestr gwrthod lydan. Os mai dim ond cofnodion caniatáu sydd, eithrir y gweddill heb ei nodi; mae ychwanegu cofnod gwrthod yn ddiweddarach yn newid y rhesymeg ddiofyn ac angen ei adolygiad ei hun. Mae'r newid hwnnw'n haeddu ail gip ar y gwerth diofyn.

Yna gwyliwch y dewis pen terfyn pell

remote_allow_list yn hidlo'r cyfeiriadau y bydd y gwesteiwr hwn yn eu hystyried ar gyfer cymheir pell yn ystod handshake. Mae'n berthnasol i gyfeiriad yr ishaen, nid i gyfeiriad y gorhaen y bydd y cymheir yn ei ddefnyddio ar ôl i'r twnnel godi.

Gall ystod preifat fod yn gwbl ddefnyddiadwy ar rwydwaith swyddfa a rennir ac yn ddiystyr pan fo'r ddau westeiwr mewn rhwydweithiau di-gysylltiad sy'n defnyddio 10.0.0.0/8 ill dau. Mae'r hidlydd yn gadael i chi ffafrio'r llwybr y gellir ei lwybr a diystyru'r cyd-ddigwyddiad.

Pan fydd cymheir yn methu cysylltu, cymharwch y cyfeiriad a dreigir â'r rheol sy'n cyfateb iddo. Galluogwch logiau'r handshake a darllenwch y cyfeiriad pell a ddewiswyd; mae llinell y log yn enwi'r pen terfyn a oroesoedd yr hidlo, sy'n fwy defnyddiol na'r rhestr o gyfeiriadau sydd gan y cymheir.

Gall hidlydd enw rhyngwyneb ar yr ochr hysbysebu ddileu'r pen terfyn cyn i'r ochr dderbyn ei weld o gwbl. Gwiriwch y ddau nod pan fo dim ond un cyfeiriad yn methu.

Ar ôl y handshake, mae rheolau mynediad y gorhaen yn berthnasol

Mae rheolau mur tân Nebula yn gweithredu y tu mewn i'r gorhaen, ar ôl sefydlu'r twnnel. Maent yn cyfateb gwesteiwyr, grwpiau, porthladdoedd a phrotocolau, ac yn penderfynu a gaiff pecyn fynd i mewn i'r gwesteiwr lleol neu ei adael. Nid ydynt yn dewis pen terfyn ishaen.

Mae'r gwahanu hwn yn egluro camddiagnosis cyffredin. Mae gweithredwr yn ychwanegu rheol mur tân ar gyfer porthladd ac yn dal i fethu cysylltu, oherwydd bod hidlydd y goleudy wedi dileu'r unig ben terfyn cyrraeddadwy. Mae gweithredwr arall yn agor yr hidlydd cyfeiriadau ac yn dal i fethu cyrraedd y gwasanaeth, oherwydd bod mur tân y gorhaen yn gwrthod y porthladd.

Darllenwch y methiant ar y haen gywir. Mae handshake na chwblheir byth yn cyfeirio at ddarganfyddiad, hidlo pen terfyn neu lwybr y rhwydwaith. Mae handshake a gwblhawyd ac yna cysylltiad gwasanaeth a wrthodwyd neu a ollyngwyd yn cyfeirio at fur tân y gorhaen neu at y cymhwysiad.

Darllenwch y gwerth diofyn wrth gymysgu caniatáu a gwrthod

Mae ffurfweddiad y goleudy yn cefnogi rhestrau caniatáu yn unig, gwrthod yn unig a chymysg, ac mae'r gwerth diofyn ar gyfer y gweddill heb ei nodi yn wahanol rhwng y siapiau hynny. Mae angen gwerth diofyn penodol ar restr gymysg ar gyfer teulu'r cyfeiriadau; tybio bod y gweddill yn ymddwyn fel y ffurfweddiad blaenorol yw'r ffordd y mae pen terfyn gweithredol yn diflannu'n dawel.

lighthouse:
  local_allow_list:
    interfaces:
      docker0: false
  remote_allow_list:
    192.168.0.0/16: true
    default: false

Triniwch y gwerth diofyn fel rhan o'r rheol, nid fel testun boelerplate. Os yw diofyn y teulu yn gwrthod, eithrir pob cyfeiriad nas rhestrir, gan gynnwys ystod swyddfa newydd a ychwanegwyd ar ôl ysgrifennu'r ffurfweddiad.

Cofnodwch pa gyfeiriadau y bwriadwyd iddynt fod yn gyrraeddadwy a phrofwch o'r ddwy ochr. Gall hidlydd sy'n gweithio i un pâr o gymheiriaid fethu i bâr arall y mae ei unig lwybr cyffredin yn defnyddio cyfeiriad y mae'r rhestr yn ei eithrio.

Defnyddiwch relay pan nad oes pen terfyn uniongyrchol yn gyrraeddadwy

Os yw pob pen terfyn ymgeisydd wedi'i hidlo neu'n anghyrraeddadwy, nid rhestr ganiatáu ehangach sy'n ail-dderbyn cyfeiriadau nad ydych yn ymddiried ynddynt yw'r ateb. Mae ffurfweddiad relay Nebula yn darparu llwybr cymheir amgen pan nad yw cysylltedd uniongyrchol yn ymarferol.

Mae relay yn datrys cludo a darganfod, nid awdurdodi, ac nid yw'n ehangu'r mur tân. Mae mur tân y gorhaen yn dal i benderfynu pa wasanaethau y gellir eu defnyddio, ac nid yw relay yn troi hidlo'r goleudy yn fecanwaith rheoli mynediad.

Profwch lwybr relay gyda'r pennau terfyn uniongyrchol wedi'u hanalluogi a chadarnhewch fod y gwasanaeth a fwriedir yn dal i weithio tra nad yw un nas bwriedir yn gwneud. Mae'r prawf sengl hwnnw yn gwahanu trwsio cludo oddi wrth newid polisi ac yn cadw'r ddau haen yn onest.