ZeroTier nei in LAN: UFW-rûtregels, gjin poarttastimming

In printer op it kantoar-LAN berikke fia in ZeroTier-lid klinkt as ien regel, mar it binne eins trije besluten op trije ferskillende plakken. De overlay moat witte wêr't it LAN is, de Linux-host moat ree wêze om pakketten troch te stjoeren, en it LAN moat witte hoe't it antwurd werom stjoerd wurdt. In ynkommende regel dy't in poarte op de gateway iepenet, rekket net ien fan dy trije. It is it ferkearde ark op de goede host.

Trije taken, trije eigners

De behearde rûte heart by de ZeroTier-netwurkkonfiguraasje. It fertelt leden dat in foarheaksel berikber is fia in bepaald lidaddres.

Trochstjoere heart by de Linux-kearn en by wa't it firewallbelied besit. It beslút oft in pakket dat op de overlay oankomt, wer fan 'e fysike interface fuortgiet. In host dy't net trochstjoert, sil it pakket stil weismite nei't er it oannommen hat. De stjoerder sjocht in tiidferrin en der ferskynt neat yn it tsjinstloch.

De weromwei heart by it LAN. De hosts en de router dêrfan moatte witte dat it overlay-foarheaksel berikber is fia it LAN-addres fan jo gateway, of der moat eat it ferkear oersette sadat de fraach nea opkomt.

Elk fan dy kin kloppe wylst de oaren misse, en dêrom bewiist in test dy't allinne de gateway pinget neat oer de tsjinst dêrefter.

Rjochtsje de behearde rûte op it lid

Foegje in rûte ta foar it bedoelde LAN-foarheaksel fia it overlay-addres fan 'e gateway, net fia syn LAN-addres. It overlay-addres is dat oare leden berikke kinne; it LAN-addres hat allinne betsjutting op 'e tried.

Leden moatte behearde rûtes akseptearje om it ûntwerp wurkje te litten, en har eigen lokale netwurken meie it foarheaksel dat jo oankundigje noch net brûke. In ôfstân-laptop dy't thús op 192.168.60.0/24 sit, kin ek net 192.168.60.0/24 fia de overlay rûte.

Hâld it oankundige foarheaksel sa smel as de taak tastiet. In grutter aggregaat oankundigje om foarkar te beynfloedzjen kin ek adresromte opeaskje dy't net fan jo is, en it ûntstiene konflikt ferskynt op 'e apparaten dy't oan beide netwurken ferbûn binne. It kin ek in lid foarkar jaan oan in paad dat nearne hinne liedt. Hâld de rûte earlik en lit belied de rest dwaan.

Skriuw it foarheaksel en it lidaddres yn deselde notysje as de firewallregels, want de meast foarkommende flater is in rûte dy't nei it ferkearde lid wiist.

Skeakelje trochferfier yn 'e kearn oan

Lês de rinnende trochstjoerwearde foar't jo eat feroarje, en meitsje de ynstelling dan permanint fia it meganisme dat jo systeem al brûkt, net fia in ienmalige opdracht dy't by it opnij opstarten ferdwynt.

As UFW it belied besit, drage syn rûtregels trochstjoering út foar in pear fan boarne, bestimming en interface. Dy binne apart fan ynkommende regels dy't in tsjinst op 'e gateway sels iepenje:

sysctl net.ipv4.ip_forward
sudo ufw route allow in on zt3f2a1c9d out on eth0 proto tcp to 192.168.60.20 port 443
sudo ufw status verbose

De interfacenamme is it werklike overlay-apparaat op dy host, dat jo lêze kinne út ip link; it is gjin fêste tekenrige oer ynstallaasjes hinne. As de host standert trochstjoert en UFW net yn it paad is, wurdt de rûtregel negearre en binne de kearnynstellingen wat telt.

Kies hoe't antwurden weromkomme

Mei boarnebehâld sjocht de LAN-tsjinst it echte overlay-addres en antwurdet dêrop. Dat freget in rûte op 'e LAN-host of op syn router dy't it overlay-foarheaksel nei jo gateway wiist, en dat is in feroaring bûten it Linux-fak.

As dy rûte net tafoege wurde kin, lit beheinde boarne-oersetting it fersyk lykje as kaam it fan 'e gateway op it LAN. Antwurden komme dan lokaal werom en der is gjin feroaring yn LAN-rûtering nedich, tsjin de priis dat de oarspronklike boarne yn 'e tsjinstlochs ferlern giet.

Behein de oersetting ta de overlay-boarne en de spesifike LAN-bestimming. Alles oersette wat de LAN-interface ferlit, is de brede ferzje dy't letter elkenien ferrast dy't de regels lêst, en hy ferberget ek ferkear dat blokkearre wurde moatten hie.

Gjin fan beide karren jout ûnfrege tagong fan it LAN werom nei willekeurige overlay-leden. As dat wolle is, is it in aparte regel mei syn eigen resinsje.

Test fan in echt lid

Ferbyn fan in oar lid, net fan 'e gateway, en freegje ien tastiene tsjinst oan. Besykje dan in tsjinst dy't ticht bliuwe moat, en werhelje beide tests nei in werferbining en nei it opnij opstarten fan 'e gateway.

In lid dat ONLINE rapportearret, of in slagge ping nei it overlay-addres fan 'e gateway, befêstiget de rûte, de trochstjoerregel of de weromwei net:

zerotier-cli listnetworks
ip -4 route get 192.168.60.20
sudo ufw status numbered

It twadde kommando lit sjen hokker interface it pakket foar de LAN-host brûke soe, en it tredde oft de rûtregel bestiet yn 'e foarm dy't jo bedoelden. As beide goed lykje en de tsjinst noch altyd tiidferrint, is de weromwei de oerbleaune fertochte.