Filtras de la lumturo Nebula kontraŭ fajroŝirmilo: kion ĉiu blokas

Rigardu la manpremon de Nebula de la malĝusta flanko kaj la du mekanismoj aspektas interŝanĝeblaj. Unu decidas kiujn adresojn nodo raportas al la lumturo kaj kiujn malproksimajn adresojn ĝi provos; la alia decidas kion eblas pasigi post kiam la tunelo ekzistas. Filtrilo povas haltigi konekton antaŭ ol iu ajn fajroŝirmila regulo estas taksata, kaj fajroŝirmila regulo ne povas revivigi finpunkton, kiun la malkovrado forigis. La du tavoloj respondas malsamajn demandojn, kaj la ordo, en kiu ili agas, estas la ŝlosilo.

Sekvu unu konekton tra kvar etapoj: la anoncita loka adreso, la konsiderata malproksima finpunkto, la manpremo kaj la trafiko en la supratavolo. Ĉiu etapo havas sian propran agordon kaj sian propran spuron de malsukceso.

Komencu ĉe la loka adreso, kiun la nodo anoncas

local_allow_list filtras la lokajn adresojn de ĉi tiu gastiganto antaŭ ol ili estas raportitaj al lumturoj. La eroj povas esti adresaj gamoj, kaj la agordo ankaŭ subtenas ŝablonojn de interfacaj nomoj. Tio utilas kiam gastiganto havas ujajn pontojn aŭ pliajn tunelajn interfacojn, kiuj ne devus fariĝi finpunktoj por partneroj.

Trairu la interfacojn de la gastiganto kaj demandu, kiujn malproksima partnero povas efektive atingi. Ponta adreso de Docker estas loka por tiu gastiganto kaj senutila por partnero en alia reto. Anonci ĝin malŝparas la malkovradon kaj povas sendi partneron al adreso, kiu neniam respondas. Ĉio, al kio partnero ne povas enkursigi, estas bruo en la respondo de la lumturo.

Mallarĝa permeslisto estas ĉi tie pli sekura ol larĝa malpermeslisto. Se ekzistas nur permesaj eroj, la ne precizigita resto estas ekskludita; aldoni malpermesan eron poste ŝanĝas la aprioran logikon kaj bezonas propran revizion. Tiu ŝanĝo meritas duan rigardon al la apriora valoro.

Poste observu la elekton de la malproksima finpunkto

remote_allow_list filtras la adresojn, kiujn ĉi tiu gastiganto konsideros por malproksima partnero dum manpremo. Ĝi validas por la adreso de la suba reto, ne por la supratavola adreso, kiun la partnero uzos post kiam la tunelo estos levita.

Privata gamo povas esti tute uzebla en komuna oficeja reto kaj sensignifa, kiam la du gastigantoj sidas en nerilataj retoj, kiuj ambaŭ uzas 10.0.0.0/8. La filtrilo lasas al vi preferi la enkursigeblan vojon kaj ignori la koincidon.

Kiam partnero malsukcesas konekti, komparu la provatan adreson kun la regulo, kiu kongruas kun ĝi. Ŝaltu la protokolojn de la manpremo kaj legu la elektitan malproksiman adreson; la protokola linio nomas la finpunkton, kiu postvivis la filtradon, kio estas pli utila ol la listo de adresoj, kiujn la partnero posedas.

Filtrilo de interfacaj nomoj sur la anonca flanko povas forigi la finpunkton antaŭ ol la ricevanta flanko eĉ vidos ĝin. Kontrolu ambaŭ nodojn, kiam nur unu direkto malsukcesas.

Post la manpremo validas la alirreguloj de la supratavolo

La fajroŝirmilaj reguloj de Nebula funkcias ene de la supratavolo, post kiam la tunelo estas starigita. Ili kongruigas gastigantojn, grupojn, pordojn kaj protokolojn, kaj decidas, ĉu pako rajtas eniri aŭ eliri la lokan gastiganton. Ili ne elektas finpunkton en la suba reto.

Ĉi tiu apartigo klarigas oftan eraran diagnozon. Operatoro aldonas fajroŝirmilan regulon por pordo kaj ankoraŭ ne povas konekti, ĉar la lumtura filtrilo forigis la solan atingeblan finpunkton. Alia operatoro malfermas la adresan filtrilon kaj ankoraŭ ne atingas la servon, ĉar la supratavola fajroŝirmilo rifuzas la pordon.

Legu la malsukceson ĉe la ĝusta tavolo. Manpremo, kiu neniam finiĝas, indikas malkovradon, filtradon de finpunktoj aŭ la retan vojon. Finita manpremo sekvata de rifuzita aŭ forĵetita serva konekto indikas la supratavolan fajroŝirmilon aŭ la aplikaĵon.

Legu la aprioran valoron kiam vi miksas permeson kaj malpermeson

La lumtura agordo subtenas listojn nur-permesajn, nur-malpermesajn kaj miksitajn, kaj la apriora valoro por la ne precizigita resto diferencas inter tiuj formoj. Miksita listo bezonas eksplicitan aprioran valoron por la adresa familio; supozi, ke la resto kondutas kiel la antaŭa agordo, estas la maniero, per kiu funkcianta finpunkto kviete malaperas.

lighthouse:
  local_allow_list:
    interfaces:
      docker0: false
  remote_allow_list:
    192.168.0.0/16: true
    default: false

Traktu la aprioran valoron kiel parton de la regulo, ne kiel ŝablonan tekston. Se la familia apriora valoro estas malpermeso, ĉiu nelistigita adreso estas ekskludita, inkluzive de nova oficeja gamo aldonita post kiam la agordo estis skribita.

Notu, kiujn adresojn oni intencis atingeblaj, kaj testu de ambaŭ flankoj. Filtrilo, kiu funkcias por unu partnera paro, povas malsukcesi por alia paro, kies sola komuna vojo uzas adreson, kiun la listo ekskludas.

Uzu relajson kiam neniu rekta finpunkto estas atingebla

Se ĉiu kandidata finpunkto estas filtrita aŭ neatingebla, la respondo ne estas pli larĝa permeslisto, kiu reakceptas adresojn, kiujn vi ne fidas. La relajsa agordo de Nebula provizas alternativan partneran vojon, kiam rekta konektebleco ne estas farebla.

Relajso solvas transporton kaj malkovradon, ne rajtigon, kaj ĝi ne larĝigas la fajroŝirmilon. La supratavola fajroŝirmilo ankoraŭ decidas, kiujn servojn oni rajtas uzi, kaj la relajso ne igas la lumturan filtradon mekanismo de alirkontrolo.

Testu la relajsan vojon kun la rektaj finpunktoj malŝaltitaj kaj konfirmu, ke la celata servo ankoraŭ funkcias, dum necelata ne. Tiu sola testo apartigas transportan riparon de politika ŝanĝo kaj tenas la du tavolojn honestaj.