Nebula tuletorni filtrid versus tulemüür: mida kumbki blokeerib

Vaadake Nebula käepigistust valest otsast ja kaks mehhanismi tunduvad vahetatavad. Üks otsustab, milliseid aadresse sõlm tuletornile teatab ja milliseid kaugemaid aadresse ta proovib; teine otsustab, mida võib läbi minna, kui tunnel on olemas. Filter võib ühenduse peatada enne, kui ükski tulemüürireegel on hinnatud, ja tulemüürireegel ei saa ellu äratada lõpp-punkti, mille avastus eemaldas. Kaks kihti vastavad eri küsimustele ja nende toimimise järjekord on võti.

Jälgige ühte ühendust neljas etapis: teatatud kohalik aadress, vaadeldav kaugem lõpp-punkt, käepigistus ja overlay-liiklus. Igal etapil on oma konfiguratsioon ja oma rikke allkiri.

Alustage kohalikust aadressist, mille sõlm teatab

local_allow_list filtreerib selle hosti kohalikud aadressid enne, kui need tuletornidele teatatakse. Kirjed võivad olla aadressivahemikud ja konfiguratsioon toetab ka liidese nime mustreid. See on kasulik, kui hostil on konteinerisillad või täiendavad tunneliliidesed, millest ei tohiks saada partneri lõpp-punkte.

Käige läbi hosti liidesed ja küsige, millisteni kaugem partner tegelikult jõuab. Dockeri silla aadress on selle hosti jaoks kohalik ja teise võrgu partneri jaoks kasutu. Selle teatamine raiskab avastust ja võib saata partneri aadressile, mis ei vasta kunagi. Kõik, kuhu partner ei saa marsruutida, on tuletorni vastuses müra.

Kitsas lubade loend on siin turvalisem kui lai keeldude loend. Kui olemas on ainult lubade kirjed, jäetakse määramata jääk välja; hiljem keelu kirje lisamine muudab vaikimisi loogikat ja vajab eraldi ülevaatamist. See muudatus väärib teist pilku vaikeväärtusele.

Seejärel jälgige kaugema lõpp-punkti valikut

remote_allow_list filtreerib aadressid, mida see host käepigistuse ajal kaugema partneri jaoks kaalub. See kehtib underlay-aadressi kohta, mitte overlay-aadressi kohta, mida partner tunnelitõstmise järel kasutab.

Privaatne vahemik võib olla jagatud kontorivõrgus täiesti kasutatav ja mõttetu, kui kaks hosti asuvad mitteseotud võrkudes, mis mõlemad kasutavad 10.0.0.0/8. Filter lubab teil eelistada marsruuditavat teed ja juhuslikkust eirata.

Kui partner ei suuda ühenduda, võrrelge proovitavat aadressi reegliga, mis sellele vastab. Lülitage sisse käepigistuse logid ja lugege valitud kaugemat aadressi; logirida nimetab lõpp-punkti, mis filtreerimise üle elas, mis on kasulikum kui partnerile kuuluvate aadresside loend.

Liidese nime filter teatamise poolel võib lõpp-punkti eemaldada enne, kui vastuvõtja pool seda üldse näeb. Kontrollige mõlemat sõlme, kui ebaõnnestub ainult üks suund.

Pärast käepigistust kehtivad overlay juurdepääsureeglid

Nebula tulemüürireeglid toimivad overlay sees, pärast tunneli loomist. Need sobitavad hoste, gruppe, porte ja protokolle ning otsustavad, kas pakett tohib kohalikku hosti siseneda või sealt lahkuda. Need ei vali underlay lõpp-punkti.

See eraldamine selgitab levinud vale diagnoosi. Operaator lisab pordi jaoks tulemüürireegli ja ei saa ikkagi ühendust, sest tuletorni filter eemaldas ainsa kättesaadava lõpp-punkti. Teine operaator avab aadressifiltri ja ei jõua ikkagi teenuseni, sest overlay tulemüür lükkab pordi tagasi.

Lugege riket õigel kihil. Käepigistus, mis kunagi ei lõpe, osutab avastusele, lõpp-punktide filtreerimisele või võrguteele. Lõpetatud käepigistus, millele järgneb tagasi lükatud või maha visatud teenuseühendus, osutab overlay tulemüürile või rakendusele.

Lugege vaikeväärtust, kui luba ja keeld segunevad

Tuletorni konfiguratsioon toetab ainult-luba, ainult-keeld ja segatud loendeid ning määramata jäägi vaikeväärtus erineb nende vormide vahel. Segatud loend vajab aadressiperekonna jaoks selgesõnalist vaikeväärtust; eeldus, et jääk käitub nagu eelmine konfiguratsioon, on viis, kuidas töötav lõpp-punkt vaikselt kaob.

lighthouse:
  local_allow_list:
    interfaces:
      docker0: false
  remote_allow_list:
    192.168.0.0/16: true
    default: false

Käsitlege vaikeväärtust reegli osana, mitte mallitekstina. Kui perekonna vaikeväärtus on keeld, jäetakse välja iga loendamata aadress, sealhulgas uus kontorivahemik, mis lisati pärast konfiguratsiooni kirjutamist.

Kirjutage üles, millised aadressid pidid olema kättesaadavad, ja testige mõlemalt poolt. Filter, mis töötab ühe partneripaari puhul, võib ebaõnnestuda teise paari puhul, mille ainus ühine tee kasutab aadressi, mille loend välistab.

Kasutage relayd, kui ükski otsene lõpp-punkt pole kättesaadav

Kui iga kandidaat-lõpp-punkt on välja filtreeritud või kättesaamatu, ei ole vastuseks laiem lubade loend, mis võtab uuesti vastu aadresse, mida te ei usalda. Nebula relay konfiguratsioon pakub alternatiivset partneri teed, kui otsene ühendus pole teostatav.

Relay lahendab transporti ja avastust, mitte autoriseerimist, ja see ei laienda tulemüüri. Overlay tulemüür otsustab endiselt, milliseid teenuseid tohib kasutada, ja relay ei muuda tuletorni filtreerimist juurdepääsukontrolli mehhanismiks.

Testige relay teed otseste lõpp-punktide väljalülitatud olekus ja kinnitage, et kavandatud teenus töötab endiselt, samas kui mittekavandatud ei tööta. See üks test eraldab transpordiparanduse poliitikamuudatusest ja hoiab kaks kihti ausana.