ZeroTier LAN baterantz: UFWren bide-arauak, ez ataka-baimena

Bulegoko LANean inprimagailu batera ZeroTier kide baten bidez iristea arau bakarra dirudi, baina egiatan hiru erabaki dira hiru leku ezberdinetan. Gainjarritako sareak jakin behar du non dagoen LANa, Linux ostalariak paketeak birbidaltzeko prest egon behar du, eta LANak jakin behar du erantzuna nola bidali atzera. Pasabidean ataka bat irekitzen duen sarrerako arauak ez dio horietako ezeini ukitzen. Tresna okerra da ostalari zuzenarentzat.

Hiru lan, hiru jabe

Kudeatutako bidea ZeroTier sarearen konfigurazioarena da. Kideei adierazten die aurrizki bat kide helbide jakin baten bidez irisgarria dela.

Birbidaltzea Linux nukleoarena eta haren suebaki-politikaren jabearena da. Gainjarritako sarean iristen den paketea interfaze fisikoan berriro aterako den erabakitzen du. Birbidaltzen ez duen ostalari batek isilka baztertuko du paketea onartu ondoren. Igorleak denbora-muga bat ikusten du eta zerbitzuaren erregistroan ez da ezer agertzen.

Itzulera-bidea LANarena da. Haren ostalariek eta haren bideratzaileak jakin behar dute gainjarritako aurrizkia zure pasabidearen LAN helbidearen bidez irisgarria dela, edo zerbait egon behar da trafikoa itzultzen duena galdera hori inoiz sor ez dadin.

Horietako bakoitza zuzena izan daiteke besteak huts egiten duten bitartean, eta horregatik pasabidea soilik pingatzen duen proba batek ez du ezer frogatzen haren atzeko zerbitzuaz.

Zuzendu kudeatutako bidea kidera

Gehitu bide bat aurreikusitako LAN aurrizkiarentzat pasabidearen gainjarritako helbidearen bidez, ez haren LAN helbidearen bidez. Gainjarritako helbidea da beste kideek irits dezaketena; LAN helbidea kablean bakarrik du zentzua.

Kideek kudeatutako bideak onartu behar dituzte diseinuak funtziona dezan, eta haien tokiko sareek ez dute jada iragartzen duzun aurrizkia erabili behar. Etxean 192.168.60.0/24-n dagoen urrutiko eramangarri batek ere ezin du 192.168.60.0/24 gainjarritako sarearen bidez bideratu.

Eduki ezazu iragarritako aurrizkia zereginak baimendutako bezain estu. Agregatu handiagoa iragartzeak lehentasunean eragiteko zure jabetzakoa ez den helbide-espazioa ere aldarrika dezake, eta sortzen den gatazka bi sareetara konektatutako gailuetan agertzen da. Kide bat inora ez doan bidea hobets dezake. Eduki bidea zintzo eta utzi politikari gainerakoa egiten.

Idatzi aurrizkia eta kide helbidea suebakiaren arauekin batera ohar berean, hutsegite ohikoena kide okerrera zuzendutako bidea baita.

Gaitu transitua nukleoan

Irakurri uneko birbidaltze-balioa ezer aldatu aurretik, eta gero egin ezarpena iraunkor zure sistemak jada erabiltzen duen mekanismoaren bidez, berrabiaraztean desagertzen den behin-behineko komando baten bidez beharrean.

UFW politikaren jabea bada, haren bide-arauek iturburu, helmuga eta interfaze bikote baterako birbidaltzea adierazten dute. Arau horiek bereiziak dira pasabidean bertan zerbitzu bat irekitzen duten sarrerako arauetatik:

sysctl net.ipv4.ip_forward
sudo ufw route allow in on zt3f2a1c9d out on eth0 proto tcp to 192.168.60.20 port 443
sudo ufw status verbose

Interfazearen izena ostalari horretako gainjarritako gailu erreala da, eta ip link bidez irakur dezakezu; ez da kate finkoa instalazio guztietan. Ostalariak lehenespenez birbidaltzen badu eta UFW bidean ez badago, bide-araua ezikusi egingo da eta nukleoaren ezarpenak dira garrantzitsuak.

Aukeratu nola itzultzen diren erantzunak

Iturburua gordez gero, LANeko zerbitzuak gainjarritako helbide erreala ikusten du eta hari erantzuten dio. Horrek bide bat behar du LANeko ostalarian edo bere bideratzailean gainjarritako aurrizkia zure pasabidera seinalatuz, eta hori Linux kaxatik kanpoko aldaketa bat da.

Bide hori ezin denean gehitu, iturburuaren itzulpen mugatuak eskaerak LANeko pasabidetik datorrela dirudi. Orduan erantzunak tokian bertan itzultzen dira eta ez da LANaren bideratzea aldatu behar, zerbitzuaren erregistroetan jatorrizko iturburua galtzearen truke.

Mugatu itzulpena gainjarritako iturburuaren eta LANeko helmuga zehatzaren esparrura. LANeko interfazea uzten duen guztia itzultzea bertsio zabala da, gero arauak irakurtzen dituen edonor harritzen duena, eta blokeatu beharko zen trafikoa ere ezkutatzen du.

Bi aukeretako batek ere ez dio LANari gainjarritako kide arbitrarioetara baimenik gabeko sarbiderik ematen. Hori nahi bada, beste arau bat da, bere berrikuspenarekin.

Probatu benetako kide batetik

Konektatu beste kide batetik, ez pasabidetik, eta eskatu baimendutako zerbitzu bat. Ondoren probatu itxita egon behar duen zerbitzu bat, eta errepikatu bi probak berriz konektatu ondoren eta pasabidea berrabiarazi ondoren.

ONLINE jakinarazten duen kide batek, edo pasabidearen gainjarritako helbidera ping egiteak arrakasta izateak, ez du bidea, birbidaltze-araua edo itzulera-bidea balioztatzen:

zerotier-cli listnetworks
ip -4 route get 192.168.60.20
sudo ufw status numbered

Bigarren komandoak paketeak LANeko ostalariarentzat zein interfaze erabiliko lukeen erakusten du, eta hirugarrenak bide-araua zuk nahi zenuen forman badagoen. Biak zuzenak badirudi eta zerbitzuak oraindik denbora-muga ematen badu, itzulera-bidea da geratzen den susmagarria.