ZeroTier irteera-nodoak ez du funtzionatzen? Egiaztatu ibilbidea, NAT eta bezeroa

Ibilbide-taulak ZeroTier interfazearen bidezko defektuzko ibilbidea erakusten du, sareak linean dagoela dio eta nabigatzaileak oraindik ISP helbide lokaletik irteten du. Konbinazio hori ohikoa da eta ez da bezeroaren akatsa. Defektuzko ibilbideak paketeak nora joan behar duten besterik ez du esaten; beste muturrean zerbait egon behar da haiek aurrera eraman eta itzultzen dituena. Hiru zati bereizik egiazkoak izan behar dute irteera-nodoak funtziona dezan.

Ibilbidea badago, baina ezer ez da irteten

Egiaztatu lehenik bezeroaren ibilbide-taula. default via 10.147.20.5 dev zt0 bezalako lerro batek ibilbidea instalatu zela frogatzen du, ez helmugak trafikoa onartuko duenik. Hurrengo jauzia hura aurrera eramateko prest eta gai den kide bat izan behar da.

Eskaera bera interfaze fisikoaren bidez irteten bada oraindik, bezeroak ez zuen ibilbidea instalatu, edo defektuzko ibilbide lokalaren aurka galdu zuen metrika batekin instalatu zuen. Ibilbidea instalatu ondoren eskaera desagertzen bada, irteera-kidea paketeak jasotzen ari da eta huts egiten du haiek aurrera eramatean edo itzultzean. Defektuzko ibilbide fisikoa mantentzen duen bezeroak ez du paketerik bat ere bidaltzen irteerara.

Bereizketa horrek erabakitzen du non lan egin. Aldaketaren aurretik eta ondoren helbide publiko bat alderatzeak inoiz erabili gabeko ibilbidea erabili eta baztertu zenetik bereizten du, eta komando bakarra behar da konfigurazio osoa berrikusi ordez. Egin alderaketa beste ezer aldatu aurretik, bi emaitzak abiapuntu beretik lor daitezen.

Hiru zati, guztiek egiazkoak izan behar dutenak

Irteera kate bat da, eta estekarik ahulenak finkatzen du sintoma. Beheko taulak estekak zerrendatzen ditu normalean huts egiten duten ordenan.

Lehen errenkada aukeraren izenak ezkutatzen duena da. Kidea irteera bihurtzen da bere kernelak paketeak ZeroTier interfazearen eta internet alderantz begira dagoen interfazearen artean aurrera eramaten dituenean, eta erantzun-bidea tunelera itzultzen denean. Aurreratze hori gabe, kidea parekoa da, ez atebidea.

Kontroladorearen errenkada baimena da, ez konfigurazioa. Kide baten bidez 0.0.0.0/0 iragartzeak bezero guztiei esaten die non dagoen irteera; ez du kide hori trafikoa eramateko gai egiten. Ez du egiaztatzen ere kideak interneteko bide funtzionala duenik. ZeroTierren irteera-nodoaren dokumentazioak nodoaren, ibilbidearen eta bezeroaren arteko banaketa bera lantzen du.

Konfiguratu irteera-nodoa aurrera eramateko eta itzultzeko

Gaitu IPv4 aurreratzea modu iraunkorrean, gero gehitu jatorrizko NAT WAN interfazetik irteten duen trafikorako. Iragazki-arauak aurreratutako fluxua bi noranzkoetan onartu behar dute, aurreratzea eta itzultzea baimenaren bereizita daudelako:

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -A FORWARD -i zt0 -o eth0 -j ACCEPT
iptables -A FORWARD -i eth0 -o zt0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

Ordezkatu zt0 eta eth0 hosteko izenekin; adibide-interfaze baterako gordetako arau batek ez ditu paketeak benetako batean jarraitzen. Egin aldaketak iraunkor arauak dituen suebaki-kudeatzailearen bidez, shell interaktibo bateko komandoa hurrengo berrabiaraztean desagertzen delako.

Ostalariak UFW edo firewalld bezalako suebaki-kudeatzaile bat exekutatzen badu, gehitu arauak kudeatzaile horren bidez iptables lerroak alboan pilatu ordez. Kate berak editatzen dituzten bi jabeek abio-ordenaren mende dagoen politika sortzen dute. Ordenak garrantzia du kudeatzaileak bere kateak sortzen dituenean. Probatu bezero batetik kudeatzailea berriz kargatu ondoren, ez aurretik.

Iragarri ibilbidea eta onartu bezeroan

Sare-kontroladorean gehitu 0.0.0.0/0-(r)ako kudeatutako ibilbide bat, hurrengo jauzia irteera-kidearen ZeroTier helbidea izanik. Ondoren, erabili behar duen kidean, baimendu sare horretarako gainidazketa. Baimena lokala da: ez ditu beste kideak berrikonfiguratzen eta ez du kontroladorea aldatzen.

zerotier-cli listnetworks
zerotier-cli set <network-id> allowDefault=1
ip route get 1.1.1.1

Azken komandoak ZeroTier interfazea eta irteera-kidearen helbidea jakinarazi beharko lituzke. Oraindik interfaze fisikoa jakinarazten badu, ibilbidea falta da edo defektuzko ibilbide lehiakide batek metrika hobea du.

Mantendu ezarpena behar duen sarera mugatua. Defektuzko ibilbidea onartzea globalki edo azpisare pribatu bat soilik eman behar duen sare batean gaitzeak sekula horretarako dimentsiorik hartu ez zuen irteera batetik bidaltzen du trafikoa.

Egiaztatu irteera eta begiratu beste helbide-familiei

Eskatu helbide publiko bat jatorria jakinarazten duen zerbitzu bati, eta alderatu irteera-nodoaren WAN helbidearekin. Gero kargatu izendatutako gune bat DNS oraindik ebazten duela baieztatzeko, eta probatu garrantzitsua den aplikazio bat, nabigatzailea soilik ez.

Pila biko bezero batek bere IPv6 bide natiboa erabiltzen jarrai dezake, IPv4 ZeroTier bidez irteten den bitartean. Helburua trafiko guztia ezkutatzea edo kontrolatzea bada, ::/0 ibilbide bereizi bat eta IPv6 aurreratzea behar dira irteeran, eta IPv4 probak ez du haiei buruz ezer esaten.

Linuxen alderantzizko bide-iragazpenak bezeroan baliozko irteera-trafikoa ere bota dezake. ZeroTierek rp_filter-ari buruzko gogoeta dokumentatzen du parte hartzen duten kideentzat; aldatu ezarpen hori nahita eta ibilbidea eta NAT baieztatu ondoren soilik, ez lehen esperimentu gisa.

Baldintza NAS batera edo bulegoko azpisare batera iristea bada, aurrizki horretarako kudeatutako ibilbidea aldaketa txikiagoa eta seguruagoa da irteera osoa baino. Nabigazio osoa beste gailu batetik bidaltzea baliabide pribatu batera iristea baino erabaki desberdina da, eta berrikuspen bereizia merezi du.