Φίλτρα φάρου του Nebula έναντι τείχους προστασίας: τι μπλοκάρει το καθένα

Οι λίστες επιτρεπόμενων στον φάρο επιλέγουν ποια τελικά σημεία του υποκείμενου δικτύου ανακοινώνει ή δοκιμάζει ένας ομότιμος. Οι κανόνες τείχους προστασίας διέπουν την κίνηση στο overlay μετά τη χειραψία.

Δείτε μια χειραψία του Nebula από τη λάθος πλευρά και οι δύο μηχανισμοί φαίνονται εναλλάξιμοι. Ο ένας αποφασίζει ποιες διευθύνσεις αναφέρει ένας κόμβος στον φάρο και ποιες απομακρυσμένες διευθύνσεις θα δοκιμάσει· ο άλλος αποφασίζει τι επιτρέπεται να περάσει μόλις υπάρξει η σήραγγα. Ένα φίλτρο μπορεί να σταματήσει μια σύνδεση πριν αξιολογηθεί οποιοσδήποτε κανόνας τείχους προστασίας, και ένας κανόνας τείχους προστασίας δεν μπορεί να αναστήσει ένα τελικό σημείο που αφαίρεσε η ανακάλυψη. Τα δύο επίπεδα απαντούν σε διαφορετικά ερωτήματα, και η σειρά με την οποία ενεργούν είναι το κλειδί.

Ακολουθήστε μία σύνδεση σε τέσσερα στάδια: την τοπική διεύθυνση που διαφημίζεται, το απομακρυσμένο τελικό σημείο που εξετάζεται, τη χειραψία και την κίνηση στο overlay. Κάθε στάδιο έχει τη δική του διαμόρφωση και το δικό του ίχνος αποτυχίας.

Ξεκινήστε από την τοπική διεύθυνση που διαφημίζει ο κόμβος

local_allow_list φιλτράρει τις τοπικές διευθύνσεις αυτού του κεντρικού υπολογιστή πριν αναφερθούν στους φάρους. Οι καταχωρίσεις μπορούν να είναι εύρη διευθύνσεων, και η διαμόρφωση υποστηρίζει επίσης μοτίβα ονομάτων διασύνδεσης. Αυτό είναι χρήσιμο όταν ένας υπολογιστής έχει γέφυρες container ή πρόσθετες διασυνδέσεις σήραγγας που δεν πρέπει να γίνουν τελικά σημεία ομότιμων.

Περάστε τις διασυνδέσεις του υπολογιστή και ρωτήστε σε ποιες μπορεί πραγματικά να φτάσει ένας απομακρυσμένος ομότιμος. Μια διεύθυνση γέφυρας Docker είναι τοπική για αυτόν τον υπολογιστή και άχρηστη για έναν ομότιμο σε άλλο δίκτυο. Η διαφήμισή της σπαταλά την ανακάλυψη και μπορεί να στείλει έναν ομότιμο σε διεύθυνση που δεν απαντά ποτέ. Ό,τι δεν μπορεί να δρομολογήσει ένας ομότιμος είναι θόρυβος στην απάντηση του φάρου.

Μια στενή λίστα επιτρεπόμενων είναι εδώ ασφαλέστερη από μια ευρεία λίστα αποκλεισμένων. Αν υπάρχουν μόνο καταχωρίσεις επιτρεπόμενων, το απροσδιόριστο υπόλοιπο εξαιρείται· η προσθήκη καταχώρισης αποκλεισμού αργότερα αλλάζει την προεπιλεγμένη λογική και χρειάζεται δική της ανασκόπηση. Αυτή η αλλαγή αξίζει μια δεύτερη ματιά στην προεπιλογή.

Έπειτα παρατηρήστε την επιλογή του απομακρυσμένου τελικού σημείου

remote_allow_list φιλτράρει τις διευθύνσεις που θα εξετάσει αυτός ο υπολογιστής για έναν απομακρυσμένο ομότιμο κατά τη χειραψία. Εφαρμόζεται στη διεύθυνση του υποκείμενου δικτύου, όχι στη διεύθυνση overlay που θα χρησιμοποιήσει ο ομότιμος αφού σηκωθεί η σήραγγα.

Ένα ιδιωτικό εύρος μπορεί να είναι απολύτως χρήσιμο σε κοινόχρηστο δίκτυο γραφείου και χωρίς νόημα όταν οι δύο υπολογιστές βρίσκονται σε άσχετα δίκτυα που χρησιμοποιούν και τα δύο το 10.0.0.0/8. Το φίλτρο σάς επιτρέπει να προτιμήσετε τη δρομολογήσιμη διαδρομή και να αγνοήσετε τη σύμπτωση.

Όταν ένας ομότιμος αποτυγχάνει να συνδεθεί, συγκρίνετε τη διεύθυνση που δοκιμάζεται με τον κανόνα που της ταιριάζει. Ενεργοποιήστε τα αρχεία καταγραφής χειραψίας και διαβάστε την επιλεγμένη απομακρυσμένη διεύθυνση· η γραμμή καταγραφής ονομάζει το τελικό σημείο που επέζησε του φιλτραρίσματος, κάτι πιο χρήσιμο από τη λίστα διευθύνσεων που κατέχει ο ομότιμος.

Ένα φίλτρο ονομάτων διασύνδεσης στην πλευρά διαφήμισης μπορεί να αφαιρέσει το τελικό σημείο πριν το δει ποτέ η πλευρά λήψης. Ελέγξτε και τους δύο κόμβους όταν αποτυγχάνει μόνο μία κατεύθυνση.

Μετά τη χειραψία ισχύουν οι κανόνες πρόσβασης του overlay

Οι κανόνες τείχους προστασίας του Nebula λειτουργούν μέσα στο overlay, αφού εγκατασταθεί η σήραγγα. Ταιριάζουν υπολογιστές, ομάδες, θύρες και πρωτόκολλα, και αποφασίζουν αν ένα πακέτο μπορεί να εισέλθει ή να εξέλθει από τον τοπικό υπολογιστή. Δεν επιλέγουν τελικό σημείο στο υποκείμενο δίκτυο.

Αυτός ο διαχωρισμός εξηγεί μια συχνή λανθασμένη διάγνωση. Ένας διαχειριστής προσθέτει κανόνα τείχους προστασίας για μια θύρα και ακόμη δεν μπορεί να συνδεθεί, επειδή το φίλτρο του φάρου αφαίρεσε το μοναδικό προσβάσιμο τελικό σημείο. Άλλος διαχειριστής ανοίγει το φίλτρο διευθύνσεων και ακόμη δεν φτάνει στην υπηρεσία, επειδή το τείχος προστασίας του overlay απορρίπτει τη θύρα.

Διαβάστε την αποτυχία στο σωστό επίπεδο. Μια χειραψία που δεν ολοκληρώνεται ποτέ δείχνει σε ανακάλυψη, φιλτράρισμα τελικών σημείων ή στη διαδρομή δικτύου. Μια ολοκληρωμένη χειραψία που ακολουθείται από απορριφθείσα ή απορριπτόμενη σύνδεση υπηρεσίας δείχνει στο τείχος προστασίας του overlay ή στην εφαρμογή.

Διαβάστε την προεπιλογή όταν αναμιγνύετε επιτρεπτικό και αποκλεισμό

Η διαμόρφωση του φάρου υποστηρίζει λίστες μόνο επιτρεπτικές, μόνο αποκλειστικές και μικτές, και η προεπιλογή για το απροσδιόριστο υπόλοιπο διαφέρει μεταξύ αυτών των μορφών. Μια μικτή λίστα χρειάζεται ρητή προεπιλογή για την οικογένεια διευθύνσεων· το να υποθέσετε ότι το υπόλοιπο συμπεριφέρεται όπως η προηγούμενη διαμόρφωση είναι ο τρόπος με τον οποίο ένα λειτουργικό τελικό σημείο εξαφανίζεται ήσυχα.

lighthouse:
  local_allow_list:
    interfaces:
      docker0: false
  remote_allow_list:
    192.168.0.0/16: true
    default: false

Αντιμετωπίστε την προεπιλογή ως μέρος του κανόνα, όχι ως τυποποιημένο κείμενο. Αν η προεπιλογή της οικογένειας είναι αποκλεισμός, κάθε διεύθυνση που δεν αναφέρεται εξαιρείται, μαζί με ένα νέο εύρος γραφείου που προστέθηκε αφού γράφτηκε η διαμόρφωση.

Καταγράψτε ποιες διευθύνσεις προορίζονταν να είναι προσβάσιμες και δοκιμάστε από τις δύο πλευρές. Ένα φίλτρο που λειτουργεί για ένα ζεύγος ομότιμων μπορεί να αποτύχει για ένα άλλο ζεύγος του οποίου η μόνη κοινή διαδρομή χρησιμοποιεί διεύθυνση που η λίστα εξαιρεί.

Χρησιμοποιήστε relay όταν δεν είναι προσβάσιμο κανένα άμεσο τελικό σημείο

Αν κάθε υποψήφιο τελικό σημείο φιλτράρεται ή είναι απρόσιτο, η απάντηση δεν είναι μια ευρύτερη λίστα επιτρεπόμενων που επαναδέχεται διευθύνσεις στις οποίες δεν έχετε εμπιστοσύνη. Η διαμόρφωση relay του Nebula παρέχει εναλλακτική διαδρομή ομότιμου όταν η άμεση συνδεσιμότητα δεν είναι εφικτή.

Το relay λύνει θέματα μεταφοράς και ανακάλυψης, όχι εξουσιοδότησης, και δεν διευρύνει το τείχος προστασίας. Το τείχος προστασίας του overlay εξακολουθεί να αποφασίζει ποιες υπηρεσίες επιτρέπονται, και το relay δεν μετατρέπει το φιλτράρισμα του φάρου σε μηχανισμό ελέγχου πρόσβασης.

Δοκιμάστε τη διαδρομή relay με απενεργοποιημένα τα άμεσα τελικά σημεία και επιβεβαιώστε ότι η επιθυμητή υπηρεσία λειτουργεί ακόμη ενώ μια ανεπιθύμητη όχι. Αυτή η μία δοκιμή χωρίζει μια διόρθωση μεταφοράς από μια αλλαγή πολιτικής και κρατά τα δύο επίπεδα έντιμα.

Σχετικά άρθρα