ZeroTier i LAN: rheolau llwybr UFW, nid caniatâd porth

Mae cyrraedd argraffydd ar LAN y swyddfa trwy aelod ZeroTier yn swnio fel un rheol, ond mewn gwirionedd mae'n dair penderfyniad mewn tri lle gwahanol. Rhaid i'r haen droshaenol wybod ble mae'r LAN, rhaid i'r gwesteiwr Linux fod yn barod i flaenyrru pecynnau, a rhaid i'r LAN wybod sut i anfon yr ateb yn ôl. Nid yw rheol fewnbynol sy'n agor porth ar y porthfa yn cyffwrdd ag unrhyw un o'r rhain. Yr offeryn anghywir ar y gwesteiwr cywir yw hi.

Tair swydd, tri pherchennog

Mae'r llwybr a reolir yn perthyn i ffurfweddiad rhwydwaith ZeroTier. Mae'n dweud wrth aelodau fod rhagddodiad yn gyrraeddadwy trwy gyfeiriad aelod penodol.

Mae blaenyrru yn perthyn i gnewyllyn Linux ac i'r sawl sy'n berchen ar ei bolisi wal dân. Mae'n penderfynu a yw pecyn sy'n cyrraedd ar y haen droshaenol yn gadael eto ar y rhyngwyneb corfforol. Bydd gwesteiwr nad yw'n blaenyrru yn gollwng y pecyn yn dawel ar ôl ei dderbyn. Mae'r anfonwr yn gweld terfyn amser ac nid oes dim yn ymddangos yn nyddiadur y gwasanaeth.

Mae'r llwybr dychwelyd yn perthyn i'r LAN. Rhaid i'w gwesteiwyr a'i lwybrydd wybod bod y rhagddodiad haen droshaenol yn gyrraeddadwy trwy gyfeiriad LAN eich porthfa, neu rhaid i rywbeth gyfieithu'r traffig fel na fydd y cwestiwn byth yn codi.

Gall pob un o'r rhain fod yn gywir tra bod y lleill yn methu, a dyna pam nad yw prawf sy'n pingo'r porthfa yn unig yn profi dim am y gwasanaeth y tu ôl iddi.

Pwyntiwch y llwybr a reolir at yr aelod

Ychwanegwch lwybr ar gyfer y rhagddodiad LAN a fwriadwyd trwy gyfeiriad haen droshaenol y porthfa, nid trwy ei chyfeiriad LAN. Y cyfeiriad haen droshaenol yw'r un y gall aelodau eraill ei gyrraedd; dim ond ar y wifren y mae'r cyfeiriad LAN yn ystyrlon.

Rhaid i aelodau dderbyn llwybrau a reolir er mwyn i'r cynllun weithio, ac ni ddylai eu rhwydweithiau lleol eu hunain fod eisoes yn defnyddio'r rhagddodiad rydych yn ei hysbysebu. Ni all gliniadur o bell sydd gartref ar 192.168.60.0/24 lwybreiddio 192.168.60.0/24 trwy'r haen droshaenol ychwaith.

Cadwch y rhagddodiad a hysbysebir mor gul ag y mae'r dasg yn ei ganiatáu. Gall hysbysebu agreg mwy i ddylanwadu ar ffafriaeth hefyd hawlio gofod cyfeiriad nad ydych yn berchen arno, ac mae'r gwrthdaro sy'n deillio yn ymddangos ar y dyfeisiau sy'n cysylltu â'r ddwy rwydwaith. Gall hefyd beri i aelod ffafrio llwybr nad yw'n arwain i unman. Cadwch y llwybr yn onest a gadewch i'r polisi wneud y gweddill.

Ysgrifennwch y rhagddodiad a chyfeiriad yr aelod yn yr un nodyn â'r rheolau wal dân, oherwydd y methiant mwyaf cyffredin yw llwybr sy'n pwyntio at yr aelod anghywir.

Galluogwch dramwyo yn y cnewyllyn

Darllenwch y gwerth blaenyrru sy'n rhedeg cyn newid unrhyw beth, yna gwnewch y gosodiad yn barhaol trwy'r mecanwaith y mae eich system yn ei ddefnyddio eisoes, nid trwy orchymyn untro sy'n diflannu wrth ailgychwyn.

Os UFW sy'n berchen ar y polisi, mae ei reolau llwybr yn mynegi blaenyrru ar gyfer pâr o ffynhonnell, cyrchfan a rhyngwyneb. Maen nhw ar wahân i reolau mewnbynol sy'n agor gwasanaeth ar y porthfa ei hun:

sysctl net.ipv4.ip_forward
sudo ufw route allow in on zt3f2a1c9d out on eth0 proto tcp to 192.168.60.20 port 443
sudo ufw status verbose

Enw'r rhyngwyneb yw'r ddyfais haen droshaenol wirioneddol ar y gwesteiwr hwnnw, y gallwch ei ddarllen o ip link; nid yw'n llinyn sefydlog ar draws gosodiadau. Os yw'r gwesteiwr yn blaenyrru yn ôl y rhagosodiad ac nad yw UFW yn y llwybr, bydd y rheol llwybr yn cael ei hanwybyddu a gosodiadau'r cnewyllyn sydd o bwys.

Dewiswch sut y daw atebion yn ôl

Gyda chadw'r ffynhonnell, mae gwasanaeth y LAN yn gweld y gwir gyfeiriad haen droshaenol ac yn ateb iddo. Mae hynny'n gofyn am lwybr ar westeiwr y LAN neu ar ei lwybrydd sy'n pwyntio'r rhagddodiad haen droshaenol at eich porthfa, ac mae hynny'n newid y tu allan i'r blwch Linux.

Pan na ellir ychwanegu'r llwybr hwnnw, mae cyfieithu ffynhonnell wedi'i gwmpasu yn gwneud i'r cais edrych fel pe bai'n dod o'r porthfa ar y LAN. Yna daw atebion yn ôl yn lleol ac nid oes angen newid llwybreiddio'r LAN, ar draul colli'r ffynhonnell wreiddiol yn nyddiaduron y gwasanaeth.

Cwmpaswch y cyfieithu i ffynhonnell yr haen droshaenol a'r gyrchfan LAN benodol. Mae cyfieithu popeth sy'n gadael rhyngwyneb y LAN yn y fersiwn eang sy'n synnu'n ddiweddarach pwy bynnag sy'n darllen y rheolau, ac mae hefyd yn cuddio traffig y dylid bod wedi'i rwystro.

Nid yw'r naill ddewis na'r llall yn rhoi mynediad digymell o'r LAN yn ôl at aelodau haen droshaenol mympwyol. Os dymunir hynny, mae'n rheol ar wahân gyda'i hadolygiad ei hun.

Profwch o aelod go iawn

Cysylltwch o aelod arall, nid o'r porthfa, a gofynnwch am un gwasanaeth a ganiateir. Yna rhowch gynnig ar wasanaeth y dylai aros ar gau, ac ailadroddwch y ddau brawf ar ôl ailgysylltu ac ar ôl ailgychwyn y porthfa.

Nid yw aelod sy'n adrodd ONLINE, na phing llwyddiannus i gyfeiriad haen droshaenol y porthfa, yn dilysu'r llwybr, y rheol flaenyrru na'r llwybr dychwelyd:

zerotier-cli listnetworks
ip -4 route get 192.168.60.20
sudo ufw status numbered

Mae'r ail orchymyn yn dangos pa ryngwyneb y byddai'r pecyn yn ei ddefnyddio ar gyfer gwesteiwr y LAN, ac mae'r trydydd yn dangos a yw'r rheol llwybr yn bodoli yn y ffurf y bwriadwyd. Os yw'r ddau yn edrych yn gywir ac mae'r gwasanaeth yn dal i ddod i ben, y llwybr dychwelyd yw'r unig un dan amheuaeth sy'n weddill.