Nebula લાઇટહાઉસ ફિલ્ટર્સ વિરુદ્ધ ફાયરવોલ: દરેક શું અટકાવે છે

ખોટા છેડેથી Nebula હેન્ડશેક જુઓ અને બંને મિકેનિઝમ એકબીજાના બદલે વપરાય તેવા લાગે છે. એક નક્કી કરે છે કે નોડ લાઇટહાઉસને કયા સરનામાં જણાવે છે અને કયા દૂરસ્થ સરનામાં પ્રયત્ન કરશે; બીજું નક્કી કરે છે કે ટનલ અસ્તિત્વમાં આવ્યા પછી શું પસાર થઈ શકે. ફિલ્ટર કોઈપણ ફાયરવોલ નિયમનું મૂલ્યાંકન થાય તે પહેલાં જોડાણ રોકી શકે છે, અને ફાયરવોલ નિયમ શોધ દ્વારા દૂર કરાયેલા એન્ડપોઇન્ટને પુનર્જીવિત કરી શકતો નથી. બંને સ્તરો અલગ પ્રશ્નોના જવાબ આપે છે, અને તેઓ જે ક્રમમાં કાર્ય કરે છે તે જ કી છે.

એક જોડાણને ચાર તબક્કામાં અનુસરો: જાહેર કરાયેલું સ્થાનિક સરનામું, ધ્યાનમાં લેવાયેલો દૂરસ્થ એન્ડપોઇન્ટ, હેન્ડશેક અને ઓવરલે ટ્રાફિક. દરેક તબક્કાની પોતાની ગોઠવણી અને પોતાની નિષ્ફળતાની છાપ છે.

નોડ જે સ્થાનિક સરનામું જાહેર કરે છે ત્યાંથી શરૂ કરો

local_allow_list આ હોસ્ટના સ્થાનિક સરનામાં લાઇટહાઉસને જણાવવામાં આવે તે પહેલાં ફિલ્ટર કરે છે. એન્ટ્રીઓ સરનામા શ્રેણીઓ હોઈ શકે છે, અને ગોઠવણી ઇન્ટરફેસ-નામ પેટર્ન પણ સમર્થન આપે છે. જ્યારે હોસ્ટમાં કન્ટેનર બ્રિજ અથવા વધારાના ટનલ ઇન્ટરફેસ હોય જે પીઅર એન્ડપોઇન્ટ ન બનવા જોઈએ ત્યારે આ ઉપયોગી છે.

હોસ્ટના ઇન્ટરફેસ થઈ જુઓ અને પૂછો કે દૂરસ્થ પીઅર ખરેખર કયા સુધી પહોંચી શકે છે. Docker બ્રિજ સરનામું તે હોસ્ટ માટે સ્થાનિક છે અને બીજા નેટવર્કના પીઅર માટે નકામું છે. તેને જાહેર કરવાથી શોધ વ્યર્થ જાય છે અને પીઅરને એવા સરનામે મોકલી શકે છે જે ક્યારેય જવાબ આપતું નથી. પીઅર જેના સુધી રૂટ કરી શકતું નથી તે લાઇટહાઉસના જવાબમાં માત્ર ઘોંઘાટ છે.

અહીં સાંકડી પરવાનગી યાદી પહોળી પ્રતિબંધ યાદી કરતાં વધુ સુરક્ષિત છે. જો ફક્ત પરવાનગી એન્ટ્રીઓ હાજર હોય, તો અનિર્દિષ્ટ બાકીનું બાકાત રહે છે; પછી પ્રતિબંધ એન્ટ્રી ઉમેરવાથી ડિફોલ્ટ લોજિક બદલાય છે અને તેની અલગ સમીક્ષા જરૂરી છે. તે ફેરફાર ડિફોલ્ટ પર બીજી નજરને લાયક છે.

પછી દૂરસ્થ એન્ડપોઇન્ટની પસંદગી જુઓ

remote_allow_list હેન્ડશેક દરમિયાન આ હોસ્ટ દૂરસ્થ પીઅર માટે જે સરનામાં ધ્યાનમાં લેશે તે ફિલ્ટર કરે છે. તે અંડરલે સરનામે લાગુ પડે છે, ટનલ ઊભી થયા પછી પીઅર જે ઓવરલે સરનામું વાપરશે તેના પર નહીં.

ખાનગી શ્રેણી શેર કરેલા ઓફિસ નેટવર્કમાં સંપૂર્ણ ઉપયોગી હોઈ શકે છે અને જ્યારે બંને હોસ્ટ અસંબંધિત નેટવર્કમાં હોય જે બંને 10.0.0.0/8 વાપરે ત્યારે અર્થહીન બને છે. ફિલ્ટર તમને રૂટ કરી શકાય તેવો માર્ગ પસંદ કરવા અને સંયોગને અવગણવા દે છે.

જ્યારે પીઅર જોડાઈ શકતું ન હોય, ત્યારે પ્રયત્ન કરાયેલા સરનામાની તેને મળતા નિયમ સાથે સરખામણી કરો. હેન્ડશેક લોગ ચાલુ કરો અને પસંદ કરાયેલું દૂરસ્થ સરનામું વાંચો; લોગ લાઇન ફિલ્ટરિંગમાંથી પસાર થયેલા એન્ડપોઇન્ટનું નામ આપે છે, જે પીઅર પાસેના સરનામાંની યાદી કરતાં વધુ ઉપયોગી છે.

જાહેરાત બાજુનું ઇન્ટરફેસ-નામ ફિલ્ટર સ્વીકારનાર બાજુ તેને જોયા પહેલાં જ એન્ડપોઇન્ટ દૂર કરી શકે છે. જ્યારે ફક્ત એક દિશા નિષ્ફળ જાય ત્યારે બંને નોડ તપાસો.

હેન્ડશેક પછી ઓવરલે એક્સેસ નિયમો લાગુ પડે છે

Nebula ફાયરવોલ નિયમો ઓવરલેની અંદર, ટનલ સ્થપાયા પછી કાર્ય કરે છે. તે હોસ્ટ, જૂથ, પોર્ટ અને પ્રોટોકોલ મેળવે છે, અને નક્કી કરે છે કે પેકેટ સ્થાનિક હોસ્ટમાં પ્રવેશી શકે કે તેમાંથી નીકળી શકે. તે અંડરલે એન્ડપોઇન્ટ પસંદ કરતા નથી.

આ વિભાજન એક સામાન્ય ખોટા નિદાનને સમજાવે છે. ઓપરેટર પોર્ટ માટે ફાયરવોલ નિયમ ઉમેરે છે અને તોપણ જોડાઈ શકતો નથી, કારણ કે લાઇટહાઉસ ફિલ્ટરે એકમાત્ર પહોંચી શકાય તેવો એન્ડપોઇન્ટ દૂર કર્યો છે. બીજો ઓપરેટર સરનામા ફિલ્ટર ખોલે છે અને તોપણ સેવા સુધી પહોંચતો નથી, કારણ કે ઓવરલે ફાયરવોલ પોર્ટ નકારે છે.

નિષ્ફળતા યોગ્ય સ્તરે વાંચો. જે હેન્ડશેક ક્યારેય પૂરો થતો નથી તે શોધ, એન્ડપોઇન્ટ ફિલ્ટરિંગ કે નેટવર્ક માર્ગ તરફ સંકેત કરે છે. પૂરો થયેલો હેન્ડશેક અને પછી નકારાયેલું કે ડ્રોપ થયેલું સેવા જોડાણ ઓવરલે ફાયરવોલ કે એપ્લિકેશન તરફ સંકેત કરે છે.

પરવાનગી અને પ્રતિબંધ મિશ્ર કરતી વખતે ડિફોલ્ટ વાંચો

લાઇટહાઉસ ગોઠવણી ફક્ત-પરવાનગી, ફક્ત-પ્રતિબંધ અને મિશ્ર યાદીઓ સમર્થન આપે છે, અને અનિર્દિષ્ટ બાકીના માટેનો ડિફોલ્ટ આ આકારો વચ્ચે અલગ પડે છે. મિશ્ર યાદીને સરનામા કુટુંબ માટે સ્પષ્ટ ડિફોલ્ટની જરૂર છે; બાકીનું અગાઉની ગોઠવણી જેવું વર્તશે એવું ધારવું એ જ રીત છે જેમાં કામ કરતો એન્ડપોઇન્ટ શાંતિથી અદૃશ્ય થાય છે.

lighthouse:
  local_allow_list:
    interfaces:
      docker0: false
  remote_allow_list:
    192.168.0.0/16: true
    default: false

ડિફોલ્ટને નિયમનો ભાગ ગણો, બોઇલરપ્લેટ નહીં. જો કુટુંબનો ડિફોલ્ટ પ્રતિબંધ હોય, તો યાદીમાં ન હોય તેવું દરેક સરનામું બાકાત થાય છે, જેમાં ગોઠવણી લખાયા પછી ઉમેરાયેલી નવી ઓફિસ શ્રેણીનો પણ સમાવેશ થાય છે.

કયા સરનામાં પહોંચી શકાય તેવા હોવા જોઈએ તે નોંધો અને બંને બાજુથી પરીક્ષણ કરો. એક પીઅર જોડી માટે કામ કરતું ફિલ્ટર બીજી જોડી માટે નિષ્ફળ જઈ શકે છે જેનો એકમાત્ર સામાન્ય માર્ગ યાદી બાકાત કરે તેવા સરનામાનો ઉપયોગ કરે છે.

કોઈ સીધો એન્ડપોઇન્ટ પહોંચી શકાય તેવો ન હોય ત્યારે રિલે વાપરો

જો દરેક ઉમેદવાર એન્ડપોઇન્ટ ફિલ્ટર થઈ જાય અથવા પહોંચાડી શકાય તેવો ન હોય, તો જવાબ એ વિશાળ પરવાનગી યાદી નથી જે તમે વિશ્વાસ ન કરતા હો તેવા સરનામાં ફરી સ્વીકારે. સીધું જોડાણ શક્ય ન હોય ત્યારે Nebula ની રિલે ગોઠવણી વૈકલ્પિક પીઅર માર્ગ આપે છે.

રિલે પરિવહન અને શોધ ઉકેલે છે, અધિકૃતિ નહીં, અને તે ફાયરવોલને પહોળાવતું નથી. ઓવરલે ફાયરવોલ હજી પણ નક્કી કરે છે કે કઈ સેવાઓ વાપરી શકાય, અને રિલે લાઇટહાઉસ ફિલ્ટરિંગને એક્સેસ-કંટ્રોલ મિકેનિઝમ નથી બનાવતું.

સીધા એન્ડપોઇન્ટ બંધ રાખીને રિલે માર્ગનું પરીક્ષણ કરો અને ખાતરી કરો કે ઇચ્છિત સેવા હજી કામ કરે છે જ્યારે અનિચ્છિત સેવા કરતી નથી. એ એક જ પરીક્ષણ પરિવહન સુધારાને નીતિ પરિવર્તનથી અલગ પાડે છે અને બંને સ્તરોને પ્રામાણિક રાખે છે.