ZeroTier થી LAN સુધી: UFW રૂટ નિયમો, પોર્ટ પરવાનગી નહીં

ZeroTier સભ્ય દ્વારા ઓફિસના LAN પરના પ્રિન્ટર સુધી પહોંચવું એક જ નિયમ જેવું લાગે છે, પણ વાસ્તવમાં તે ત્રણ અલગ-અલગ જગ્યાએ ત્રણ નિર્ણયો છે. ઓવરલેએ જાણવું જોઈએ કે LAN ક્યાં છે, Linux હોસ્ટે પેકેટ ફોરવર્ડ કરવા તૈયાર હોવું જોઈએ, અને LAN એ જાણવું જોઈએ કે જવાબ કેવી રીતે પાછો મોકલવો. ગેટવે પર પોર્ટ ખોલતો ઇનબાઉન્ડ નિયમ આમાંના એકને પણ સ્પર્શતો નથી. તે સાચા હોસ્ટ પરનું ખોટું સાધન છે.

ત્રણ કામ, ત્રણ માલિક

મેનેજ્ડ રૂટ ZeroTier નેટવર્ક રૂપરેખાંકનનો છે. તે સભ્યોને જણાવે છે કે કોઈ પ્રીફિક્સ ચોક્કસ સભ્ય સરનામા દ્વારા પહોંચી શકાય તેવું છે.

ફોરવર્ડિંગ Linux કર્નલનું છે અને જેની પાસે તેની ફાયરવોલ નીતિ છે તેનું છે. તે નક્કી કરે છે કે ઓવરલે પર આવતું પેકેટ ફરીથી ભૌતિક ઇન્ટરફેસ પરથી નીકળશે કે નહીં. જે હોસ્ટ ફોરવર્ડ કરતું નથી તે પેકેટ સ્વીકાર્યા પછી શાંતિથી તેને કાઢી નાખશે. મોકલનારને સમયસમાપ્તિ દેખાય છે અને સેવા લોગમાં કંઈ દેખાતું નથી.

પરતનો માર્ગ LANનો છે. તેના હોસ્ટ્સ અને તેના રાઉટરને જાણવું જોઈએ કે ઓવરલે પ્રીફિક્સ તમારા ગેટવેના LAN સરનામા દ્વારા પહોંચી શકાય તેવું છે, અથવા કંઈકે ટ્રાફિકનું ભાષાંતર કરવું પડશે જેથી આ પ્રશ્ન ક્યારેય ન ઊઠે.

આમાંનું દરેક સાચું હોઈ શકે જ્યારે બાકીનાં નિષ્ફળ જાય, અને તેથી જ ફક્ત ગેટવેને પિંગ કરતી કસોટી તેની પાછળની સેવા વિશે કંઈ સાબિત કરતી નથી.

મેનેજ્ડ રૂટને સભ્ય તરફ દિશા આપો

ઇચ્છિત LAN પ્રીફિક્સ માટે ગેટવેના ઓવરલે સરનામા દ્વારા રૂટ ઉમેરો, તેના LAN સરનામા દ્વારા નહીં. ઓવરલે સરનામું તે છે જ્યાં અન્ય સભ્યો પહોંચી શકે; LAN સરનામાનો અર્થ ફક્ત વાયર પર છે.

ડિઝાઇન કામ કરે તે માટે સભ્યોએ મેનેજ્ડ રૂટ સ્વીકારવા જોઈએ, અને તેમના પોતાના સ્થાનિક નેટવર્ક પહેલેથી જ તમે જાહેર કરેલા પ્રીફિક્સનો ઉપયોગ કરતા ન હોવા જોઈએ. ઘરે 192.168.60.0/24 પર રહેલું દૂરસ્થ લેપટોપ પણ ઓવરલે દ્વારા 192.168.60.0/24 રૂટ કરી શકતું નથી.

કાર્ય જેટલું પરવાનગી આપે તેટલું સાંકડું રાખો જાહેર કરેલું પ્રીફિક્સ. પસંદગી પર પ્રભાવ પાડવા માટે મોટું સમૂહ જાહેર કરવાથી તમારા કબજામાં ન હોય એવી સરનામા જગ્યાનો દાવો પણ થઈ શકે છે, અને પરિણામી સંઘર્ષ બંને નેટવર્ક સાથે જોડાયેલા ઉપકરણો પર દેખાય છે. તે કોઈ સભ્યને એવા માર્ગને પ્રાધાન્ય આપવા પણ પ્રેરી શકે છે જે ક્યાંય જતો નથી. રૂટ પ્રામાણિક રાખો અને બાકીનું નીતિને કરવા દો.

પ્રીફિક્સ અને સભ્ય સરનામું ફાયરવોલ નિયમોની સાથે જ એક જ નોંધમાં લખો, કારણ કે સૌથી સામાન્ય નિષ્ફળતા એ ખોટા સભ્ય તરફ નિર્દેશ કરતો રૂટ છે.

કર્નલમાં ટ્રાન્ઝિટ સક્ષમ કરો

કંઈપણ બદલતા પહેલાં ચાલુ ફોરવર્ડિંગ મૂલ્ય વાંચો, પછી સેટિંગને તમારી સિસ્ટમ પહેલેથી જ વાપરતી પદ્ધતિ દ્વારા કાયમી બનાવો, રીબૂટ પર અદૃશ્ય થતા એકવારના આદેશ દ્વારા નહીં.

જો નીતિ UFWની હોય, તો તેના રૂટ નિયમો સ્રોત, ગંતવ્ય અને ઇન્ટરફેસની જોડી માટે ફોરવર્ડિંગ વ્યક્ત કરે છે. તે ગેટવે પર જ સેવા ખોલતા ઇનબાઉન્ડ નિયમોથી અલગ છે:

sysctl net.ipv4.ip_forward
sudo ufw route allow in on zt3f2a1c9d out on eth0 proto tcp to 192.168.60.20 port 443
sudo ufw status verbose

ઇન્ટરફેસનું નામ તે હોસ્ટ પરનું વાસ્તવિક ઓવરલે ઉપકરણ છે, જે તમે ip link થી વાંચી શકો છો; તે બધા ઇન્સ્ટોલેશનમાં નિશ્ચિત શબ્દમાળા નથી. જો હોસ્ટ ડિફોલ્ટ રૂપે ફોરવર્ડ કરે અને UFW માર્ગમાં ન હોય, તો રૂટ નિયમ અવગણવામાં આવશે અને કર્નલ સેટિંગ્સ જ મહત્વપૂર્ણ છે.

જવાબો કેવી રીતે પાછા આવે તે પસંદ કરો

સ્રોત જાળવણી સાથે LAN સેવા વાસ્તવિક ઓવરલે સરનામું જુએ છે અને તેને જવાબ આપે છે. તે માટે LAN હોસ્ટ અથવા તેના રાઉટર પર એવો રૂટ જોઈએ જે ઓવરલે પ્રીફિક્સને તમારા ગેટવે તરફ નિર્દેશ કરે, અને તે Linux બોક્સની બહારનો ફેરફાર છે.

જ્યારે તે રૂટ ઉમેરી શકાતો નથી, ત્યારે મર્યાદિત સ્રોત ભાષાંતર વિનંતીને LAN પરના ગેટવે પરથી આવેલી જેવી દેખાડે છે. પછી જવાબો સ્થાનિક રીતે પાછા આવે છે અને LAN રૂટિંગ બદલવાની જરૂર પડતી નથી, પણ સેવા લોગમાં મૂળ સ્રોત ગુમાવવાની કિંમતે.

ભાષાંતરને ઓવરલે સ્રોત અને ચોક્કસ LAN ગંતવ્ય સુધી મર્યાદિત કરો. LAN ઇન્ટરફેસ છોડતી દરેક વસ્તુનું ભાષાંતર કરવું એ વિશાળ આવૃત્તિ છે જે પછીથી નિયમો વાંચનાર દરેકને આશ્ચર્યમાં મૂકે છે, અને તે એ ટ્રાફિકને પણ છુપાવે છે જે અવરોધાયેલો હોવો જોઈતો હતો.

બંનેમાંથી કોઈ પણ વિકલ્પ LAN થી મનસ્વી ઓવરલે સભ્યો તરફ અણમંગેલી પહોંચ આપતો નથી. જો એ જોઈએ તો તે તેની પોતાની સમીક્ષા સાથેનો અલગ નિયમ છે.

વાસ્તવિક સભ્યથી પરીક્ષણ કરો

ગેટવેથી નહીં, બીજા સભ્યથી જોડાઓ અને એક મંજૂર સેવાની વિનંતી કરો. પછી એવી સેવા અજમાવો જે બંધ રહેવી જોઈએ, અને ફરીથી જોડાવા પછી તથા ગેટવે રીબૂટ કર્યા પછી બંને પરીક્ષણો ફરીથી કરો.

જે સભ્ય ONLINE જણાવે છે, અથવા ગેટવેના ઓવરલે સરનામા પર સફળ પિંગ, તે રૂટ, ફોરવર્ડ નિયમ કે પરતના માર્ગને માન્ય ઠેરવતું નથી:

zerotier-cli listnetworks
ip -4 route get 192.168.60.20
sudo ufw status numbered

બીજો આદેશ દર્શાવે છે કે પેકેટ LAN હોસ્ટ માટે કયો ઇન્ટરફેસ વાપરશે, અને ત્રીજો દર્શાવે છે કે રૂટ નિયમ તમે ધારેલા સ્વરૂપમાં છે કે નહીં. જો બંને સાચા લાગે અને સેવા હજી પણ સમયસમાપ્ત થાય, તો બાકીનો શંકાસ્પદ પરતનો માર્ગ છે.