Nod ɗin fita na ZeroTier ba ya aiki? Duba hanya, NAT da abokin ciniki

Teburin hanya yana nuna tsohuwar hanya ta hanyar mu'amalar ZeroTier, cibiyar sadarwa tana bayar da rahoton tana kan layi, kuma mashigar yanar gizo har yanzu tana fita daga adireshin ISP na gida. Wannan haɗin ya zama ruwan dare kuma ba kuskure ba ne a cikin abokin ciniki. Tsohuwar hanya tana faɗin inda fakiti ya kamata su je kawai; wani abu dole ya tura su ya kuma fassara su a wancan gefen. Sassan uku daban-daban dole su kasance gaskiya kafin nod ɗin fita ya yi aiki.

Akwai hanyar amma babu abin da ke fita

Da farko duba teburin hanya na abokin ciniki. Layi kamar default via 10.147.20.5 dev zt0 yana tabbatar an shigar da hanyar, ba cewa wurin da aka nufa zai karɓi zirga-zirgar ba. Tsallakewar gaba dole ta kasance memba wanda yake shirye kuma zai iya tura ta.

Idan wannan buƙatar har yanzu tana fita ta hanyar mu'amalar jiki, abokin ciniki bai shigar da hanyar ba, ko ya shigar da ita da ma'auni wanda ya sha kaye a gaban tsohuwar hanyar gida. Idan buƙatar ta ɓace bayan an shigar da hanyar, memban fita yana karɓar fakiti kuma ya kasa tura su ko fassara su. Abokin ciniki wanda ke riƙe da tsohuwar hanyar jiki ba ya aika ko ɗaya fakiti zuwa fitar.

Wannan bambanci yana ƙayyade inda za a yi aiki. Kwatanta adireshin jama'a kafin da bayan canjin yana raba hanyar da ba a taɓa amfani da ita ba daga wadda aka yi amfani da ita sannan aka watsar, kuma yana buƙatar umarni ɗaya maimakon duba duk saitin. Yi kwatancen kafin ka canza wani abu, domin duka sakamakon biyu su fito daga yanayin farawa ɗaya.

Sassa uku waɗanda duk dole su kasance gaskiya

Fita sarka ce, kuma mafi raunin haɗi ne ke ƙayyade alamar. Teburin da ke ƙasa ya lissafa haɗin a cikin tsarin da suka fi gazawa.

Layi na farko shi ne abin da sunan zaɓi ke ɓoyewa. Memba yana zama fita ne kawai lokacin da ƙwayarsa ke tura fakiti tsakanin mu'amalar ZeroTier da mu'amar da ke fuskantar intanet, kuma lokacin da hanyar amsa aka fassara zuwa cikin ramin. Ba tare da wannan turawa ba, memban abokin tarayya ne, ba ƙofar shiga ba.

Layin mai sarrafawa izini ne, ba saiti ba. Sanar da 0.0.0.0/0 ta hanyar memba yana gaya wa kowane abokin ciniki inda fitar take; ba ya sa wannan memban ya iya ɗaukar zirga-zirgar. Hakanan ba ya tabbatar da cewa memban yana da hanyar aiki zuwa intanet. Takardun ZeroTier game da nod ɗin fita sun rufe wannan rarrabuwa tsakanin nod, hanya da abokin ciniki.

Saita nod ɗin fita don turawa da fassara

Kunna turawar IPv4 na dindindin, sannan ƙara NAT na tushe don zirga-zirgar da ke barin mu'amar WAN. Dokokin tacewa dole su ba da izinin kwararar da aka tura a duka bangarorin biyu, domin turawa da fassara sun bambanta da izini:

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -A FORWARD -i zt0 -o eth0 -j ACCEPT
iptables -A FORWARD -i eth0 -o zt0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

Maye gurbin zt0 da eth0 da sunayen da ke kan mai masaukin; dokar da aka ajiye don mu'amar misali ba ta bin fakiti a kan ta gaske. Sanya canje-canjen dindindin ta hanyar manajan katangar wuta wanda ya mallaki dokokin, domin umarni a cikin harsashi mai mu'amala yana ɓacewa a sake kunnawa na gaba.

Idan mai masaukin yana gudanar da manajan katangar wuta kamar UFW ko firewalld, ƙara dokokin ta hanyar wannan manaja maimakon tara layukan iptables a gefensa. Masu biyu da ke gyara sarƙoƙi ɗaya suna samar da manufar da ta dogara da tsarin kunnawa. Tsari yana da muhimmanci lokacin da manajan ke ƙirƙirar nasa sarƙoƙin. Gwada daga abokin ciniki bayan an sake loda manajan, ba kafin haka ba.

Sanar da hanyar kuma karɓa ta a kan abokin ciniki

A kan mai sarrafa cibiyar sadarwa, ƙara hanyar da aka sarrafa don 0.0.0.0/0 wadda tsallakewarta ta gaba ita ce adireshin ZeroTier na memban fita. Sannan, a kan memban da ya kamata ya yi amfani da ita, ba da izinin sokewa don wannan cibiyar sadarwa. Izinin na gida ne: ba ya sake saita wasu membobin kuma ba ya canza mai sarrafawa.

zerotier-cli listnetworks
zerotier-cli set <network-id> allowDefault=1
ip route get 1.1.1.1

Umarni na ƙarshe ya kamata ya bayar da rahoton mu'amar ZeroTier da adireshin memban fita. Idan har yanzu yana bayar da rahoton mu'amar jiki, hanyar ta ɓace ko tsohuwar hanya mai fafatawa tana da ma'auni mafi kyau.

Ka iyakance saitin ga cibiyar sadarwar da ke buƙatarta. Kunna karɓar tsohuwar hanya a duniya, ko a cibiyar sadarwa da ya kamata ta ba da ƙaramin cibiyar sadarwa mai zaman kansa kawai, yana aika zirga-zirgar ta hanyar fita da ba a taɓa auna mata ba.

Tabbatar da fitar kuma duba sauran iyalan adireshi

Nemi adireshin jama'a daga sabis da ke bayar da rahoton tushen, kuma kwatanta shi da adireshin WAN na nod ɗin fita. Sannan loda rukunin yanar gizo mai suna don tabbatar da DNS har yanzu yana warwarewa, kuma gwada aikace-aikace ɗaya mai muhimmanci maimakon mashigar yanar gizo kawai.

Abokin ciniki mai matakai biyu na iya ci gaba da amfani da hanyarsa ta asali ta IPv6 yayin da IPv4 ke fita ta ZeroTier. Idan manufar ita ce a ɓoye ko a sarrafa duk zirga-zirgar, ana buƙatar daban ::/0 hanya da turawar IPv6 a kan fitar, kuma gwajin IPv4 ba ya faɗin komai game da su.

Tacewar hanyar baya ta Linux kuma tana iya watsar da ingantaccen zirga-zirgar fita a kan abokin ciniki. ZeroTier yana rubuta la'akari da rp_filter ga membobin da ke shiga; canza wannan saitin da gangan kuma bayan an tabbatar da hanya da NAT, ba a matsayin gwaji na farko ba.

Idan buƙatar ita ce samun NAS ko yanki ɗaya na ofis, hanyar da aka sarrafa don wannan prefix shine ƙarami kuma mafi aminci canji fiye da cikakken fita. Aika duk bincike ta wata na'ura shawara ce ta daban da isa wata hanya mai zaman kanta, kuma ta cancanci bita daban.