Onko HTTP ZeroTierin yli salattu? Katso, mihin overlay-verkko päättyy

Käy nämä tarkistukset järjestyksessä läpi ja pysähdy ensimmäiseen, joka epäonnistuu, sillä jokainen vastaus muuttaa sitä, mitä seuraava vaihe tarkoittaa. Varsinainen kysymys on kapea: kulkeeko tavallinen HTTP ZeroTier-verkossa avoimena internetin yli? Kahden ZeroTier-vertaisen välillä yleensä ei, koska overlay-verkko salaa kyseisen hypyn. Mutta se on väite kahdesta päätepisteestä, ei jokaisesta segmentistä, jonka pyyntö ylittää. Reititin, silta tai käänteinen välityspalvelin siirtää päätepistettä, ja selkokielinen teksti jatkuu sen toisella puolella.

Tarkistus 1: etsi osoite, johon selain soittaa

Vertaa URL:ää siihen, mitä koneessa todella on. ip -brief addr show luettelee zt-liitännän ja overlay-osoitteen, jonka verkon ohjain antoi; jos URL käyttää tuota osoitetta, selaimen socket menee overlay-verkkoon.

Kun nimi sen sijaan ratkeaa LAN-osoitteeksi, overlay-verkko ei ehkä ole lainkaan mukana, mitä ikinä asiakkaan tilamerkki vihjaakaan. ip route get 10.147.20.5 tulostaa liitännän ja lähdeosoitteen, jonka ydin valitsisi, joten zt-liitäntä siinä tarkoittaa, että paketti menee overlay-verkkoon, ja fyysisen verkkokorttisi nimi tarkoittaa, ettei mene. Nimet lisäävät vielä yhden kerroksen: overlay-osoitteeseen osoittava tietue käyttäytyy eri tavalla kuin LAN-osoitteeseen osoittava, ja hakuliite tai hosts-tiedoston merkintä voi hiljaa päättää, kumman saat.

Tarkistus 2: varmista, että molemmat päät ovat vertaisia, eivät salauksen purkava välitys

ZeroTier salaa vertaisten välillä, ja missä suoraa polkua ei ole, paketit välitetään juuren kautta, joka lähettää ne edelleen salattuina. zerotier-cli peers merkitsee kunkin vertaisen polun joko DIRECT tai RELAY ja latenssiluvun. Välitetty polku maksaa edestakaisia matkoja, ei luottamuksellisuutta.

Sen sijaan vastausta muuttaa jäsen, joka ei ole oikea päätepiste. Kun vastapuoli on ZeroTier-jäsen, joka reitittää tai siltaa fyysiseen LANiin, overlay-verkko päättyy tuohon jäseneen ja seuraava hyppy on tavallinen Ethernet.

Tarkistus 3: seuraa, missä pyynnöstä tulee luettava

Tallenna overlay-liitäntä isännällä, jonka uskot tarjoavan sivun, kun lataat sivun uudelleen: sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'. Luettava pyyntörivi tuossa tulosteessa todistaa, että liikenne saapui salattuna purettuna tuolle isännälle, ja se on etsimäsi raja.

Tallenna sitten liitännällä, joka osoittaa LANin muuhun osaan. Jos sama pyyntö näkyy siellä avoimena, se jätti overlay-verkon ennen sovellukseen saapumista ja jokainen tuon segmentin laite voi lukea sen. Jos LANin puolella ei näy mitään ja sivu silti latautuu, sovellus päättyy ZeroTier-isäntään itseensä.

Loopbackin tallentaminen on tärkeää myös silloin, kun edessä on käänteinen välityspalvelin, koska HTTPS:n vastaanottava ja HTTP:tä edelleen lähettävä välityspalvelin siirtää rajan omaan taustaansa.

Tarkistus 4: laske jokainen hyppy reitittimen tai sillan takana

Overlay-verkon ja LANin välillä reitittämään määritetty jäsen on tavallinen ratkaisu ja paikka, jossa useimmat näistä oletuksista rikkoutuvat. Overlay-verkko suojaa osuuden selaimesta reitittimeen eikä mitään sen jälkeen. Silta kertoo saman tarinan toisella mekanismilla: overlay-verkosta ja fyysisestä segmentistä tulee yksi lähetysalue, joten sillatusta kannettavasta tuleva pyyntö kulkee tavallisen Ethernetin yli, vaikka kannettava istuu ZeroTier-verkossa.

Jäljitä se sen sijaan, että olettaisit. traceroute asiakkaasta palvelun osoitteeseen sekä yhdyskäytäväjäsenen reititystaulukko näyttävät, onko viimeinen hyppy zt vai eth.

ZeroTier tarjoaa myös luotetun polun tilan, joka voi suorituskyvyn vuoksi luopua kuljetusturvallisuudesta määritetyillä paikallisilla poluilla. Sitä käyttävä verkko ei peri tavanomaista salatun polun oletusta, joten lue verkon kokoonpano ennen kuin siteeraat yhtä. Protokollan dokumentaatio kuvaa sekä vertaisten välisen salauksen että tuon poikkeuksen.

Tarkistus 5: päätä, mitä sovelluksen on vielä tehtävä

Overlay-jäsenyys todentaa laitteen verkkoon eikä kerro mitään siitä, onko toisessa päässä oleva palvelu se, jonka halusit tavoittaa. HTTPS vastaa toiseen kysymykseen sitomalla isäntänimen avaimeen, joten kaksi suojausta limittyvät korvaamatta toisiaan. Valtuutettu vertainen voi silti olla väärä palvelu, ja vaarantunut päätepiste lukee pyynnön sekä ennen salausta että salauksen purkamisen jälkeen. Kumpikaan mekanismi ei auditoi sitä, mitä sovellus kirjaa.

Kaikessa, jossa on uudelleenkäytettävä istunto tai salasana, lopeta TLS sovelluksessa tai hallitsemassasi välityspalvelimessa ja jätä varmenteen vahvistus päälle. Jos perintöpalvelun on pysyttävä tavallisessa HTTP:ssä, kirjoita ylös tarkka isännästä isäntään -polku, jota se saa käyttää, kuka siihen pääsee ja mikä segmentti jää suojaamatta; se muistiinpano on se, mitä tuleva arvioija tarvitsee.

"VPN on yhteydessä" ei ole minkään tämän arvio. Rehellinen versio nimeää molemmat päätepisteet, niiden välisen polun ja ensimmäisen katetun hypyn, joka ei kuulu suojauksen piiriin.

Säilytä tallennuksen tuloste ja vertaisluettelo palvelun dokumentaation vieressä, jotta kuka tahansa reitin muuttaja tai sillan lisääjä näkee, mitä oletusta hän on rikkomassa.