Kas HTTP ZeroTieris on krüpteeritud? Vaadake, kus overlayerkk lõpeb

Käige need kontrollid järjest läbi ja peatuge esimese juures, mis ebaõnnestub, sest iga vastus muudab seda, mida tähendab järgmine samm. Tegelik küsimus on kitsas: kas lihtne HTTP ZeroTieri võrgus liigub interneti kaudu avatult? Kahe ZeroTieri võrdse vahel tavaliselt mitte, sest overlayerkk krüpteerib selle hüppe. See on aga väide kahe lõpp-punkti kohta, mitte iga segmendi kohta, mida päring läbib. Ruuter, sild või pöördproks mõjutab lõpp-punkti ja avatekst jätkub selle teisel küljel.

Kontroll 1: leidke aadress, millele brauser helistab

Võrrelge URL-i sellega, mis masinal tegelikult on. ip -brief addr show loetleb zt liidese ja võrgu kontrolleri määratud overlayaadressi; kui URL kasutab seda aadressi, läheb brauseri socket overlayerki.

Kui nimi hoopis LAN-aadressiks laheneb, ei pruugi overlayerk üldse osaleda, mida iganes kliendi olekunäidik vihjab. ip route get 10.147.20.5 prindib liidese ja lähteaadressi, mille kerneli valiks, seega zt liides tähendab seal, et pakett läheb overlayerki, ja teie füüsilise võrgukaardi nimi tähendab, et ei lähe. Nimed lisavad veel ühe kihi: overlayaadressile osutav kirje käitub teisiti kui LAN-aadressile osutav, ja otsingusufiks või hosts-faili kirje võib vaikselt otsustada, millise te saate.

Kontroll 2: veenduge, et mõlemad otsad on võrdsed, mitte dekrüpteeriv relee

ZeroTier krüpteerib võrdsete vahel ja kus otsest teed ei ole, edastatakse paketid juure kaudu, mis saadab need edasi endiselt krüpteeritult. zerotier-cli peers märgib iga võrdse tee kas DIRECT või RELAY koos latentsusnumbri. Edastatud tee maksab edasi-tagasi reise, mitte konfidentsiaalsust.

Vastust muudab see, kui liige ei ole päris lõpp-punkt. Kui teine pool on ZeroTieri liige, mis suunab või sillutab füüsilisse LAN-i, lõpeb overlayerk selle liikme juures ja järgmine hüpe on tavaline Ethernet.

Kontroll 3: jälgige, kus päring muutub loetavaks

Hostis, mis teie arvates lehte teenindab, jäädvustage lehe uuestilaadimise ajal overlayeri liides: sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'. Loetav päringurida selles väljundis tõestab, et liiklus jõudis sellesse hosti dekrüpteeritult, ja see on piir, mida otsite.

Seejärel jäädvustage liidesel, mis vaatab ülejäänud LAN-i poole. Kui sama päring ilmub seal avatult, lahkus see overlayerist enne rakenduseni jõudmist ja iga seade selles segmendis saab seda lugeda. Kui LAN-i poolel ei ilmu midagi ja leht laeb siiski, lõpeb rakendus ZeroTieri hostis endas.

Loopbacki jäädvustamine on oluline ka siis, kui ees on pöördproks, sest proks, mis võtab vastu HTTPS-i ja edastab HTTP-d, viib piiri omaenda taustarakendusse.

Kontroll 4: arvestage iga hüppega ruuteri või silla taga

Overlayeri ja LAN-i vahel suunamiseks konfigureeritud liige on tavaline lahendus ja koht, kus enamik neist eeldustest murdub. Overlayerk kaitseb lõiku brauserist ruuterini ja mitte midagi pärast seda. Sild räägib sama loo teise mehhanismiga: overlayerk ja füüsiline segment saavad üheks leviedastusdomeeniks, seega sillutatud sülearvutist tulev päring läbib tavalise Etherneti, kuigi see sülearvuti asub ZeroTieri võrgus.

Jälgige seda, selle asemel et eeldada. traceroute kliendist teenuse aadressini pluss marsruutimistabel lüüsiliikmel näitavad, kas viimane hüpe on zt või eth.

ZeroTier pakub ka usaldusväärse tee režiimi, mis võib jõudluse huvides loobuda transporditurvalisusest määratud kohalikel teedel. Seda kasutav võrk ei päri tavalist krüpteeritud tee eeldust, seega lugege võrgu konfiguratsiooni enne, kui seda tsiteerite. Protokolli dokumentatsioon kirjeldab nii võrdsete vahelist krüpteerimist kui ka seda erandit.

Kontroll 5: otsustage, mida rakendus veel tegema peab

Overlayeri liikmelisus autentib seadme võrguga ega ütle midagi selle kohta, kas teenus teises otsas on see, milleni te jõuda tahtsite. HTTPS vastab teisele küsimusele, sidudes hostinime võtmega, seega kaks kaitset kattuvad, asendamata teineteist. Volitatud võrdne võib ikkagi olla vale teenus ja kompromiteeritud lõpp-punkt loeb päringut nii enne krüpteerimist kui ka pärast dekrüpteerimist. Kumbki mehhanism ei auditeeri, mida rakendus salvestab.

Kõige puhul, millel on korduvkasutatav sessioon või parool, lõpetage TLS rakenduses või proksis, mida kontrollite, ja jätke sertifikaadi valideerimine sisse. Kui pärandteenus peab jääma lihtsa HTTP peale, kirjutage üles täpne hostist-hostini tee, mida see tohib kasutada, kes sellele pääseb ja milline segment jääb kaitsmata; see märge on see, mida tulevane ülevaataja vajab.

"VPN on ühendatud" ei ole mitte ühegi nende asjade hinnang. Aus versioon nimetab mõlemad lõpp-punktid, nendevahelise tee ja esimese katmata hüppe.

Hoidke jäädvustuse väljund ja võrdsete nimekiri teenuse dokumentatsiooni kõrval, et igaüks, kes marsruuti muudab või silla lisab, näeks, millist eeldust ta parasjagu murrab.