Está cifrado HTTP sobre ZeroTier? Comproba onde remata a superposición

Percorre estas comprobacións en orde e detente na primeira que falle, porque cada resposta cambia o que significa o paso seguinte. A pregunta real é estreita: viaxa o HTTP simple nunha rede ZeroTier en claro por internet? Entre dous pares de ZeroTier normalmente non, porque a superposición cifra ese salto. Pero iso é unha afirmación sobre dous extremos, non sobre cada segmento que atravesa unha petición. Un enrutador, unha ponte ou un proxy inverso moven o extremo, e o texto plano retómase no outro lado.

Comprobación 1: atopa o enderezo que marca o navegador

Compara a URL co que a máquina ten realmente. ip -brief addr show lista a interface zt e o enderezo de superposición que asignou o controlador de rede; se a URL usa ese enderezo, o socket do navegador entra na superposición.

Cando o nome se resolve en cambio nun enderezo de LAN, pode que a superposición non interveña en absoluto, diga o que diga o indicador de estado do cliente. ip route get 10.147.20.5 imprime a interface e o enderezo de orixe que elixiría o núcleo, así que unha interface zt alí significa que o paquete entra na superposición e o nome da túa tarxeta de rede física significa que non. Os nomes engaden outra capa: un rexistro que apunta a un enderezo de superposición compórtase distinto dun que apunta a un enderezo de LAN, e un sufixo de busca ou unha entrada do ficheiro hosts poden decidir en silencio cal obtés.

Comprobación 2: confirma que ambos os extremos son pares, non un repetidor que descifra

ZeroTier cifra entre pares, e onde non existe unha ruta directa os paquetes retransmítense por unha raíz que os reenvía aínda cifrados. zerotier-cli peers marca a ruta de cada par como DIRECT ou RELAY cunha cifra de latencia. Unha ruta retransmitida custa idas e voltas, non confidencialidade.

O que si cambia a resposta é un membro que non é realmente un extremo. Cando o outro lado é un membro de ZeroTier que enruta ou ponte cara a unha LAN física, a superposición remata nese membro e o seguinte salto é Ethernet corrente.

Comprobación 3: observa onde se volve lexible a petición

No host que cres que serve a páxina, captura a interface de superposición mentres recargas: sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'. Unha liña de petición lexible nesa saída demostra que o tráfico chegou descifrado a ese host, que é a fronteira que buscas.

Despois captura na interface que mira ao resto da LAN. Se a mesma petición aparece alí en claro, saíu da superposición antes de chegar á aplicación e calquera dispositivo dese segmento pode lela. Se non aparece nada no lado da LAN e a páxina segue cargando, a aplicación remata no propio host de ZeroTier.

Capturar o loopback tamén importa cando hai un proxy inverso diante, porque un proxy que acepta HTTPS e reenvía HTTP move a fronteira ao seu propio backend.

Comprobación 4: conta cada salto detrás dun enrutador ou unha ponte

Un membro configurado para enrutar entre a superposición e unha LAN é un deseño corrente e o lugar onde a maioría destas suposicións se rompen. A superposición protexe o tramo do navegador ao enrutador e nada despois. Unha ponte conta a mesma historia con outro mecanismo: a superposición e o segmento físico pasan a ser un único dominio de difusión, así que unha petición dun portátil pontado cruza Ethernet corrente aínda que ese portátil estea na rede ZeroTier.

Rastréxao en lugar de supoñelo. traceroute do cliente ao enderezo do servizo máis a táboa de enrutamento no membro de pasarela mostran se o último salto é zt ou eth.

ZeroTier tamén ofrece un modo de ruta de confianza que pode renunciar á seguridade do transporte en rutas locais designadas por rendemento. Unha rede que o usa non herda a suposición normal de ruta cifrada, así que le a configuración da rede antes de citar unha. A documentación do protocolo describe tanto o cifrado entre pares como esa excepción.

Comprobación 5: decide que debe facer aínda a aplicación

A pertenza á superposición autentica un dispositivo ante unha rede e non di nada sobre se o servizo do outro extremo é o que querías acadar. HTTPS responde a outra pregunta vinculando un nome de host a unha clave, así que as dúas proteccións solápanse sen substituírse. Un par autorizado pode seguir sendo o servizo equivocado, e un extremo comprometido le a petición tanto antes do cifrado como despois do descifrado. Ningún dos mecanismos audita o que rexistra a aplicación.

Para calquera cousa cunha sesión reutilizable ou un contrasinal, remata TLS na aplicación ou nun proxy que controles e deixa activada a validación de certificados. Onde un servizo heredado deba quedar en HTTP simple, anota a ruta exacta de host a host que pode usar, quen pode acadalo e que segmento queda sen protexer; esa nota é o que necesitará un revisor futuro.

"A VPN está conectada" non é unha avaliación de nada disto. A versión honesta nomea ambos os extremos, a ruta entre eles e o primeiro salto que non queda cuberto.

Garda a saída de captura e a lista de pares xunto á documentación do servizo, para que quen cambie unha ruta ou engada unha ponte vexa que suposición está a piques de romper.