¿Está cifrado HTTP sobre ZeroTier? Comprueba dónde termina la superposición

Recorre estas comprobaciones en orden y detente en la primera que falle, porque cada respuesta cambia lo que significa el paso siguiente. La pregunta real es estrecha: ¿viaja el HTTP simple en una red ZeroTier en claro por internet? Entre dos pares de ZeroTier normalmente no, porque la superposición cifra ese salto. Pero eso es una afirmación sobre dos extremos, no sobre cada segmento que atraviesa una petición. Un enrutador, un puente o un proxy inverso mueven el extremo, y el texto plano se reanuda al otro lado.

Comprobación 1: encuentra la dirección que marca el navegador

Compara la URL con lo que la máquina tiene realmente. ip -brief addr show lista la interfaz zt y la dirección de superposición que asignó el controlador de red; si la URL usa esa dirección, el socket del navegador entra en la superposición.

Cuando el nombre se resuelve en cambio a una dirección de LAN, puede que la superposición no intervenga en absoluto, diga lo que diga el indicador de estado del cliente. ip route get 10.147.20.5 imprime la interfaz y la dirección de origen que elegiría el núcleo, así que una interfaz zt allí significa que el paquete entra en la superposición y el nombre de tu tarjeta de red física significa que no. Los nombres añaden otra capa: un registro que apunta a una dirección de superposición se comporta distinto de uno que apunta a una dirección de LAN, y un sufijo de búsqueda o una entrada del archivo hosts pueden decidir en silencio cuál obtienes.

Comprobación 2: confirma que ambos extremos son pares, no un repetidor que descifra

ZeroTier cifra entre pares, y donde no existe una ruta directa los paquetes se retransmiten por una raíz que los reenvía todavía cifrados. zerotier-cli peers marca la ruta de cada par como DIRECT o RELAY con una cifra de latencia. Una ruta retransmitida cuesta idas y vueltas, no confidencialidad.

Lo que sí cambia la respuesta es un miembro que no es realmente un extremo. Cuando el otro lado es un miembro de ZeroTier que enruta o puentea hacia una LAN física, la superposición termina en ese miembro y el siguiente salto es Ethernet corriente.

Comprobación 3: observa dónde se vuelve legible la petición

En el host que crees que sirve la página, captura la interfaz de superposición mientras recargas: sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'. Una línea de petición legible en esa salida demuestra que el tráfico llegó descifrado a ese host, que es la frontera que buscas.

Luego captura en la interfaz que mira al resto de la LAN. Si la misma petición aparece allí en claro, salió de la superposición antes de llegar a la aplicación y cualquier dispositivo de ese segmento puede leerla. Si no aparece nada en el lado de la LAN y la página sigue cargando, la aplicación termina en el propio host de ZeroTier.

Capturar el loopback también importa cuando hay un proxy inverso delante, porque un proxy que acepta HTTPS y reenvía HTTP mueve la frontera a su propio backend.

Comprobación 4: cuenta cada salto detrás de un enrutador o un puente

Un miembro configurado para enrutar entre la superposición y una LAN es un diseño corriente y el lugar donde la mayoría de estas suposiciones se rompen. La superposición protege el tramo del navegador al enrutador y nada después. Un puente cuenta la misma historia con otro mecanismo: la superposición y el segmento físico pasan a ser un solo dominio de difusión, así que una petición de un portátil puenteado cruza Ethernet corriente aunque ese portátil esté en la red ZeroTier.

Rastréalo en lugar de suponerlo. traceroute del cliente a la dirección del servicio más la tabla de enrutamiento del miembro de puerta de enlace muestran si el último salto es zt o eth.

ZeroTier también ofrece un modo de ruta de confianza que puede renunciar a la seguridad del transporte en rutas locales designadas por rendimiento. Una red que lo usa no hereda la suposición normal de ruta cifrada, así que lee la configuración de la red antes de citar una. La documentación del protocolo describe tanto el cifrado entre pares como esa excepción.

Comprobación 5: decide qué debe hacer todavía la aplicación

La pertenencia a la superposición autentica un dispositivo ante una red y no dice nada sobre si el servicio del otro extremo es el que querías alcanzar. HTTPS responde a otra pregunta vinculando un nombre de host a una clave, así que las dos protecciones se solapan sin sustituirse. Un par autorizado puede seguir siendo el servicio equivocado, y un extremo comprometido lee la petición tanto antes del cifrado como después del descifrado. Ninguno de los mecanismos audita lo que registra la aplicación.

Para cualquier cosa con una sesión reutilizable o una contraseña, termina TLS en la aplicación o en un proxy que controles y deja activada la validación de certificados. Donde un servicio heredado deba quedarse en HTTP simple, anota la ruta exacta de host a host que puede usar, quién puede alcanzarlo y qué segmento queda sin proteger; esa nota es lo que necesitará un revisor futuro.

"La VPN está conectada" no es una evaluación de nada de esto. La versión honesta nombra ambos extremos, la ruta entre ellos y el primer salto que no queda cubierto.

Guarda la salida de captura y la lista de pares junto a la documentación del servicio, para que quien cambie una ruta o añada un puente vea qué suposición está a punto de romper.