Fjoerljochtfilers fan Nebula tsjin firewall: wat elk blokket

Besjoch in Nebula-handshake fan de ferkearde kant en de beide meganismen lykje útwikselber. De iene bepaalt hokker adressen in knooppunt oan it fjoerljocht meldt en hokker fiere adressen it besykje sil; de oare bepaalt wat troch mei as de tunnel bestiet. In filter kin in ferbining stopje foardat ien firewallregel beoardiele is, en in firewallregel kin in einpunt net wer oplibje dat de ûntdekking fuorthelle hat. De beide lagen beantwurdzje ferskillende fragen, en de folchoarder wêryn’t se wurkje is de kaai.

Folgje ien ferbining troch fjouwer fazen: it oankundige lokale adres, it beskôge fiere einpunt, de handshake en it ferkear yn ’e boppelizzende laach. Eltse faze hat syn eigen konfiguraasje en syn eigen flatertekst.

Begjin by it lokale adres dat it knooppunt oankundiget

local_allow_list filteret de lokale adressen fan dizze host foardat se oan fjoerljochten rapporteare wurde. De yngongen kinne adresberik wêze, en de konfiguraasje stipet ek patroanen foar ynterfacenammen. Dat is nuttich as in host kontenerbrêgen of ekstra tunnelinterfaces hat dy’t gjin peer-einpunten wurde moatte.

Rin de interfaces fan ’e host ôf en freegje hokker’t in fier peer echt berikke kin. In Docker-brêgeadres is lokaal foar dy host en weardeleas foar in peer yn in oar netwurk. It oankundigjen derfan smyt ûntdekking fuort en kin in peer nei in adres stjoere dat nea antwurdet. Alles dêr’t in peer net nei routsje kin is rûs yn it antwurd fan it fjoerljocht.

In smelle tastienlist is hjir feiliger as in brede blokkearlist. As der allinnich tastiene yngongen binne, wurdt de net oantsjutte rest útsletten; it letter tafoegjen fan in blokkearring feroaret de standertlogika en freget in eigen resinsje. Dy feroaring fertsjinnet in twadde each op ’e standert.

Besjoch dan de seleksje fan it fiere einpunt

remote_allow_list filteret de adressen dy’t dizze host by in handshake foar in fier peer beskôgje sil. It jildt foar it ûnderlizzende adres, net foar it adres yn ’e boppelizzende laach dat it peer brûke sil nei’t de tunnel oerein is.

In privee berik kin folslein brûkber wêze op in dield kantoarnetwurk en sinleas as de beide hosts yn net besibbe netwurken sitte dy’t beide 10.0.0.0/8 brûke. De filter lit jo it routbere paad foarkar jaan en de tafal negearje.

As in peer gjin ferbining krije kin, fergelykje dan it besochte adres mei de regel dy’t derby past. Skeakelje de handshake-logs yn en lês it keazen fiere adres; de logregel neamt it einpunt dat it filteren oerlibbe, wat nuttiger is as de list fan adressen dy’t it peer hat.

In interface-namfilter oan ’e oankundigjende kant kin it einpunt fuorthelje foardat de ûntfangende kant it ea sjocht. Kontrolearje beide knooppunten as mar ien rjochting mislearret.

Nei de handshake jilde de tagongsregels fan ’e boppelizzende laach

Nebula-firewallregels wurkje binnen de boppelizzende laach, nei’t de tunnel oanlein is. Se passe hosts, groepen, poarten en protokollen, en se beslute oft in pakket de lokale host yn of út mei. Se selektearje gjin einpunt yn ’e ûnderlizzende laach.

Dizze skieding ferklearret in faak foarkommende ferkearde diagnoaze. In operator foeget in firewallregel foar in poarte ta en kin dochs gjin ferbining meitsje, om’t de fjoerljochtfilter it iennichste berikbere einpunt fuorthelle hat. In oare operator iepenet de adresfilter en berikt de tsjinst dochs net, om’t de firewall fan ’e boppelizzende laach de poarte wegere.

Lês de flater op ’e juste laach. In handshake dy’t nea foltôge wurdt wiist op ûntdekking, einpuntfiltering of it netwurkpaad. In foltôge handshake folge troch in wegere of falle litten tsjinstferbining wiist op ’e firewall fan ’e boppelizzende laach of op ’e applikaasje.

Lês de standert as tastiene en blokkearre mingd wurde

De fjoerljochtkonfiguraasje stipet listen mei allinnich tastiene, allinnich blokkearre en mingde, en de standert foar de net oantsjutte rest ferskilt tusken dy foarmen. In mingde list hat in eksplisite standert foar de adresfamylje nedich; oannimme dat de rest him hâldt as de eardere konfiguraasje is de manier wêrop in wurkjend einpunt stil ferdwynt.

lighthouse:
  local_allow_list:
    interfaces:
      docker0: false
  remote_allow_list:
    192.168.0.0/16: true
    default: false

Behannelje de standert as part fan ’e regel, net as boilerplate. As de famyljestandert blokkearje is, wurdt elk net neamd adres útsletten, ynklusyf in nij kantoarberik dat tafoege is nei’t de konfiguraasje skreaun wie.

Skriuw op hokker adressen berikber wêze moatten hiene en test fan beide kanten. In filter dy’t foar ien peerpear wurket, kin mislearje foar in oar pear wêrfan it iennichste mienskiplike paad in adres brûkt dat de list útslút.

Brûk relay as gjin direkt einpunt berikber is

As elk kandidaat-einpunt útfiltere of ûnberikber is, is it antwurd gjin bredere tastienlist dy’t adressen wer talit dêr’t jo gjin fertrouwen yn ha. De relaykonfiguraasje fan Nebula biedt in alternatyf peerpaad as direkte ferbining net helber is.

Relay lost ferfier en ûntdekking op, net autorisaasje, en it ferbreedt de firewall net. De firewall fan ’e boppelizzende laach beslút noch hieltyd hokker tsjinsten brûkt wurde meie, en relay makket fan fjoerljochtfiltering gjin tagongskontrôlemechanisme.

Test it relaypaad mei de direkte einpunten útskeakele en befêstigje dat de bedoelde tsjinst noch wurket wylst in net-bedoelde dat net docht. Dy iene test skiedt in ferfierreparearring fan in beliedswiziging en hâldt de beide lagen earlik.