ZeroTier gaineko HTTP enkriptatuta dago? Ikus non amaitzen den gainjartze-sarea

Egin egiaztapen hauek ordenan eta gelditu lehenengo huts egiten duenean, erantzun bakoitzak hurrengo urratsaren esanahia aldatzen baitu. Benetako galdera estua da: ZeroTier sare bateko HTTP soila irekian bidaiatzen al du interneten bidez? ZeroTier pare bi artean normalean ez, gainjartze-sareak jauzi hori enkriptatzen baitu. Baina hori bi muturren inguruko baieztapena da, ez eskaera batek zeharkatzen duen segmentu bakoitzarena. Bideratzaile batek, zubi batek edo alderantzizko proxy batek muturra mugitzen du, eta testu soila haren beste aldean hasten da berriro.

Egiaztapena 1: aurkitu nabigatzaileak deitzen duen helbidea

Konparatu URLa makinak benetan duenarekin. ip -brief addr show aginduak zt interfazea eta sare-kontrolatzaileak esleitutako gainjartze-helbidea zerrendatzen ditu; URLak helbide hori erabiltzen badu, nabigatzailearen socket-a gainjartze-sarean sartzen da.

Izena LAN helbide batera ebazten bada ordea, baliteke gainjartze-sareak zerikusirik ez izatea, bezeroaren egoera-adierazleak zer esan nahi duen ere. ip route get 10.147.20.5 aginduak kernelak aukeratuko lukeen interfazea eta iturburu-helbidea inprimatzen ditu, beraz hango zt interfazeak paketea gainjartze-sarean sartzen dela esan nahi du, eta zure txartel fisikoaren izenak ez dela sartzen. Izanek beste geruza bat gehitzen dute: gainjartze-helbide batera seinalatzen duen erregistro batek LAN helbide batera seinalatzen duenak baino modu desberdinean jokatzen du, eta bilaketa-atxizki batek edo hosts fitxategiko sarrera batek isilpean erabaki dezake zein lortuko duzun.

Egiaztapena 2: baieztatu bi muturrak pareak direla, ez deszifratzen duen errele bat

ZeroTierrek pareen artean enkriptatzen du, eta bide zuzenik ez dagoenean paketeak sustrairen bidez birbidaltzen dira, hauek oraindik enkriptatuta aurrera eginez. zerotier-cli peers aginduak pare bakoitzaren bidea DIRECT edo RELAY gisa markatzen du latentzia-zifra batekin. Birbidalitako bideak joan-etorriak kostatzen ditu, ez konfidentzialtasuna.

Erantzuna aldatzen duena benetako muturra ez den kide bat da. Beste aldea LAN fisiko batera bideratzen edo zubiatzen duen ZeroTier kide bat denean, gainjartze-sarea kide horretan amaitzen da eta hurrengo jauzia Ethernet arrunta da.

Egiaztapena 3: begiratu non bihurtzen den eskaera irakurgarri

Orria zerbitzatzen duela uste duzun ostalarian, harrapatu gainjartze-interfazea berriz kargatzen duzun bitartean: sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'. Irteera horretako eskaera-lerro irakurgarri batek frogatzen du trafikoak deszifratuta iritsi zela ostalari horretara, eta hori da bilatzen duzun muga.

Gero harrapatu LANaren gainerakorantz begira dagoen interfazean. Eskaera bera han irekian agertzen bada, gainjartze-sarea utzi zuen aplikaziora iritsi aurretik eta segmentu horretako edozein gailuk irakur dezake. LAN aldean ezer agertzen ez bada eta orria oraindik kargatzen bada, aplikazioa ZeroTier ostalarian bertan amaitzen da.

Loopback-a harrapatzea ere garrantzitsua da alderantzizko proxy bat aurretik dagoenean, HTTPS onartu eta HTTP aurrera bidaltzen duen proxy batek muga bere backend-era eramaten baitu.

Egiaztapena 4: kontatu bideratzaile edo zubi baten atzeko jauzi guztiak

Gainjartze-sarearen eta LAN baten artean bideratzeko konfiguratutako kidea diseinu arrunta da eta suposizio horietako gehienak hausten diren tokia. Gainjartze-sareak nabigatzailetik bideratzailearen arteko zatia babesten du eta ez ezer geroago. Zubi batek istorio bera beste mekanismo batekin kontatzen du: gainjartze-sarea eta segmentu fisikoa difusio-domeinu bakarra bihurtzen dira, beraz zubiatutako ordenagailu eramangarri batetik datorren eskaerak Ethernet arrunta zeharkatzen du, ordenagailu hori ZeroTier sarean egon arren.

Jarraitu ezazu suposatu beharrean. traceroute bezeroarengandik zerbitzuaren helbidera gehi atebideko kidearen bideratze-taula erakusten du azken jauzia zt edo eth den.

ZeroTierrek bide fidagarrien modua ere eskaintzen du, errendimenduagatik izendatutako bide lokaletan garraio-segurtasuna uzteko gai dena. Erabiltzen duen sareak ez du bide enkriptatuaren ohiko suposizioa heredatzen, beraz irakurri sarearen konfigurazioa bat aipatu aurretik. Protokoloaren dokumentazioak pareen arteko enkriptatzea eta salbuespen hori biak deskribatzen ditu.

Egiaztapena 5: erabaki zer egin behar duen oraindik aplikazioak

Gainjartze-kidetasunak gailu bat sare baten aurrean autentifikatzen du eta ez du ezer esaten beste muturreko zerbitzua iritsi nahi zenuena den ala ez. HTTPSek beste galdera bati erantzuten dio ostalari-izena gako bati lotuz, beraz bi babesek elkar gainjartzen dute, elkar ordezkatu gabe. Baimendutako pare bat oraindik zerbitzu okerra izan daiteke, eta mutur konprometitu batek eskaera enkriptatu aurretik eta deszifratu ondoren irakurtzen du. Mekanismo batek ere ez du audititzen aplikazioak zer erregistratzen duen.

Saio berrerabilgarria edo pasahitza duen edozertarako, amaitu TLS aplikazioan edo kontrolatzen duzun proxy batean eta utzi ziurtagiriaren balidazioa piztuta. Zerbitzu zaharra HTTP soilean egon behar duenean, idatzi erabil dezakeen ostalari-arteko bide zehatza, nor irits daitekeen eta zein segmentu geratzen den babesik gabe; ohar hori da etorkizuneko berrikusle batek behar duena.

"VPNa konektatuta dago" ez da horren guztiaren ebaluazioa. Bertsio zintzoak bi muturrak, haien arteko bidea eta estali gabeko lehen jauzia aipatzen ditu.

Gorde harrapaketaren irteera eta pareen zerrenda zerbitzuaren dokumentazioaren ondoan, bide bat aldatzen edo zubi bat gehitzen duenak ikus dezan zein suposizio haustear dagoen.