Nebula itsasargi iragazkiak eta suebakia: zer blokeatzen duen bakoitzak

Ikusi Nebula eskuko ukipen bat alde okerretik eta bi mekanismoak trukagarriak dirudite. Batek erabakitzen du nodoak itsasargiari zein helbide jakinarazten dizkion eta zein urruneko helbide saiatuko dituen; besteak erabakitzen du zer igaro daitekeen tunela existitzen denean. Iragazki batek konexioa geldi dezake suebakiren edozein arau ebaluatu aurretik, eta suebakiren arau batek ezin du ezagutzeak kendutako amaiera-puntu bat berpiztu. Bi geruzek galdera desberdinak erantzuten dituzte, eta jarduteko ordena da gakoa.

Jarraitu konexio bat lau etapatan: iragarritako helbide lokala, aztertutako urruneko amaiera-puntua, eskuko ukipena eta overlay trafikoa. Etapa bakoitzak bere konfigurazioa eta bere hutsegite-arrastoa ditu.

Hasi nodoak iragartzen duen helbide lokaletik

local_allow_list host honen helbide lokalak iragazten ditu itsasargiei jakinarazi aurretik. Sarrerak helbide-barrutiak izan daitezke, eta konfigurazioak interfaze-izenen ereduak ere onartzen ditu. Hori erabilgarria da hostak edukiontzi-zubiak edo peer amaiera-puntu bihurtu behar ez diren tunel-interfaze gehigarriak dituenean.

Egin hostaren interfazeen bidea eta galdetu zeinetara irits daitekeen urruneko peer bat benetan. Docker zubi-helbidea host horrentzat lokala da eta beste sare bateko peer batentzat alferrikakoa. Hori iragartzeak ezagutzea alferrik galtzen du eta peer bat inoiz erantzuten ez duen helbide batera bidal dezake. Peer batek bideratu ezin duen guztia itsasargiaren erantzuneko zarata da.

Baimen-zerrenda estu bat seguruagoa da hemen debeku-zerrenda zabal bat baino. Baimen-sarrerak bakarrik badaude, zehaztu gabeko gainerakoa baztertzen da; geroago debeku-sarrera bat gehitzeak lehenetsitako logika aldatzen du eta bere berrikuspena behar du. Aldaketa horrek merezi du lehenespenari bigarren begirada bat.

Ondoren begiratu urruneko amaiera-puntuaren hautaketa

remote_allow_list host honek eskuko ukipen batean urruneko peer baterako aztertuko dituen helbideak iragazten ditu. Underlay helbideari aplikatzen zaio, ez peer-ak tunela altxatu ondoren erabiliko duen overlay helbideari.

Barruti pribatu bat erabat erabilgarria izan daiteke partekatutako bulego-sare batean eta zentzurik gabea bi hostak 10.0.0.0/8 erabiltzen duten erlaziorik gabeko sareetan daudenean. Iragazkiak bideragarria den bidea lehenestea eta kasualitatea ez ikustea ahalbidetzen du.

Peer batek konektatzen huts egiten duenean, konparatu saiatzen ari den helbidea hari dagokion arauarekin. Gaitu eskuko ukipenaren erregistroak eta irakurri hautatutako urruneko helbidea; erregistro-lerroak iragazketatik bizirik atera den amaiera-puntuaren izena ematen du, eta hori peer-ak dituen helbide-zerrenda baino erabilgarriagoa da.

Iragartze aldeko interfaze-izen iragazki batek amaiera-puntua ken dezake harrera-aldeak inoiz ikusi aurretik. Egiaztatu bi nodoak norabide bakarra huts egiten duenean.

Eskuko ukipenaren ondoren overlayko sarbide-arauak aplikatzen dira

Nebula suebakiko arauak overlay barruan jarduten dute, tunela ezarri ondoren. Hostak, taldeak, portuak eta protokoloak parekatzen dituzte, eta pakete bat host lokalera sar daitekeen edo hortik irten daitekeen erabakitzen dute. Ez dute underlay amaiera-puntu bat hautatzen.

Bereizte honek ohiko diagnostiko oker bat azaltzen du. Operadore batek portu baterako suebaki-araua gehitzen du eta oraindik ezin du konektatu, itsasargiko iragazkiak iristeko moduko amaiera-puntu bakarra kendu duelako. Beste operadore batek helbide-iragazkia irekitzen du eta oraindik ez da zerbitzura iristen, overlayko suebakiak portua baztertzen duelako.

Irakurri hutsegitea geruza egokian. Inoiz osatzen ez den eskuko ukipen batek ezagutzera, amaiera-puntuen iragazketa edo sare-bidera seinalatzen du. Osatutako eskuko ukipen baten ondoren ukatutako edo baztertutako zerbitzu-konexio batek overlayko suebakira edo aplikaziora seinalatzen du.

Irakurri lehenespena baimena eta debekua nahastean

Itsasargiaren konfigurazioak baimen-bakarreko, debeku-bakarreko eta zerrenda mistoak onartzen ditu, eta zehaztu gabeko gainerakoaren lehenespena desberdina da forma horien artean. Zerrenda misto batek helbide-familiaren lehenespen esplizitua behar du; gainerakoak aurreko konfigurazioak bezala jokatuko duela suposatzea funtzionatzen zuen amaiera-puntu bat isilean desagertzeko modua da.

lighthouse:
  local_allow_list:
    interfaces:
      docker0: false
  remote_allow_list:
    192.168.0.0/16: true
    default: false

Erabili lehenespena arauaren parte gisa, ez txantiloi-testu gisa. Familiaren lehenespena debekua bada, zerrendan ez dagoen helbide guztia baztertzen da, konfigurazioa idatzi ondoren gehitutako bulego-barruti berria barne.

Idatzi zein helbide izan behar ziren irisgarri eta probatu bi aldetatik. Peer-pare batentzat funtzionatzen duen iragazki batek huts egin dezake beste pare batentzat, zeinaren bide komun bakarra zerrendak baztertzen duen helbide bat erabiltzen duenean.

Erabili relay-a zuzeneko amaiera-puntu irisgarririk ez dagoenean

Hautagai den amaiera-puntu bakoitza iragazita edo irisgaitza bada, erantzuna ez da fidatzen ez dituzun helbideak berriz onartzen dituen baimen-zerrenda zabalago bat. Nebularen relay konfigurazioak peer bide alternatiboa eskaintzen du zuzeneko konektagarritasuna bideragarria ez denean.

Relay-ak garraioa eta ezagutzea konpontzen ditu, ez baimena, eta ez du suebakia zabaltzen. Overlayko suebakiak oraindik erabakitzen du zein zerbitzu erabil daitekeen, eta relay-ak ez du itsasargiko iragazketa sarbide-kontrol mekanismo bihurtzen.

Probatu relay bidea zuzeneko amaiera-puntuak desgaituta eta egiaztatu nahi den zerbitzuak oraindik funtzionatzen duela eta nahi ez denak ez duela. Proba bakar horrek garraio-konponketa politika-aldaketatik bereizten du eta bi geruzak zintzo mantentzen ditu.