ZeroTier zuwa LAN: ƙa'idojin hanyar UFW, ba izinin port ba

Samun printer a LAN na ofis ta hanyar memba na ZeroTier yana kama da ƙa'ida ɗaya, amma a haƙiƙa shawara uku ne a wurare uku daban-daban. Overlay ɗin dole ya san inda LAN ɗin yake, host ɗin Linux dole ya yarda ya tura fakiti, kuma LAN ɗin dole ya san yadda zai mayar da amsa. Ƙa'idar shigowa da ke buɗe port a gateway ba ta taɓa ɗaya daga cikin waɗannan ba. Ita ce kayan aiki mara kyau a kan host ɗin da ya dace.

Ayyuka uku, masu shi uku

Hanyar da ake sarrafawa ta kasance cikin tsarin cibiyar sadarwar ZeroTier. Tana gaya wa membobi cewa wani prefix yana isa ta wani adireshin memba.

Turawa ta kasance ta kernel ɗin Linux da duk wanda ya mallaki manufofin firewall ɗinsa. Ita ce ke yanke shawara ko fakiti da ya iso kan overlay zai sake fita ta hanyar jiki. Host ɗin da ba ya turawa zai jefar da fakitin a shiru bayan ya karɓe shi. Mai aikawa yana ganin ƙarewar lokaci kuma babu abin da ke bayyana a tarihin sabis ɗin.

Hanyar dawowa ta kasance ta LAN ɗin. Host ɗinsa da router ɗinsa dole su san cewa ana iya isa ga prefix ɗin overlay ta adireshin LAN na gateway ɗinka, ko kuma wani abu dole ya fassara zirga-zirgar domin tambayar ba ta taɓa tasowa ba.

Kowanne daga cikinsu na iya zama daidai yayin da sauran suka kasa, kuma shi ya sa gwajin da kawai ya yi ping ga gateway ba ya tabbatar da komai game da sabis ɗin da ke bayansa.

Juya hanyar da ake sarrafawa zuwa ga memba

Ƙara hanya don prefix ɗin LAN da ake nufi ta adireshin overlay na gateway, ba ta adireshin LAN ɗinsa ba. Adireshin overlay shi ne wanda sauran membobi za su iya isa; adireshin LAN yana da ma'ana ne kawai a kan waya.

Membobi dole su karɓi hanyoyin da ake sarrafawa domin tsarin ya yi aiki, kuma cibiyoyin sadarwarsu na gida ba dole ba su riga sun yi amfani da prefix ɗin da kake sanarwa. Laptop ɗin nesa da ke gida a kan 192.168.60.0/24 shi ma ba zai iya tura 192.168.60.0/24 ta overlay ba.

Riƙe prefix ɗin da aka sanar da shi a matsayin ɗan ƙunci gwargwadon yadda aikin ya yarda. Sanar da babban tarin don yin tasiri kan fifiko na iya kuma neman sararin adireshi da ba naka ba, kuma rikicin da ya biyo baya yana bayyana a kan na'urorin da ke haɗa da cibiyoyin sadarwa biyu. Yana iya kuma sa memba ya fifita hanyar da ba ta kai ko'ina. Riƙe hanyar da gaskiya ka bar manufofin su yi sauran.

Rubuta prefix ɗin da adireshin memba a cikin bayanin kula ɗaya da ƙa'idojin firewall, domin mafi yawan gazawa ita ce hanyar da ke nuna memba mara kyau.

Kunna wucewa a cikin kernel

Karanta ƙimar turawa da ke gudana kafin ka canza wani abu, sannan ka tabbatar da saitin ta hanyar da tsarinka ke amfani da ita tuni, ba ta umarni na lokaci ɗaya da ke ɓacewa a sake kunnawa ba.

Idan UFW ne ya mallaki manufofin, ƙa'idojin hanyarsa suna bayyana turawa ga nau'i-nau'i na tushe, manufa da interface. Waɗannan sun bambanta da ƙa'idojin shigowa da ke buɗe sabis a kan gateway ɗin kansa:

sysctl net.ipv4.ip_forward
sudo ufw route allow in on zt3f2a1c9d out on eth0 proto tcp to 192.168.60.20 port 443
sudo ufw status verbose

Sunan interface shi ne ainihin na'urar overlay a kan wannan host, wanda za ka iya karantawa daga ip link; ba tsayayyen zance ba ne a duk shigarwa. Idan host ɗin yana turawa ta tsoho kuma UFW ba ya cikin hanyar, za a yi watsi da ƙa'idar hanyar kuma saitin kernel ne abin da ke da muhimmanci.

Zaɓi yadda amsoshi ke dawowa

Tare da kiyaye tushe, sabis ɗin LAN yana ganin ainihin adireshin overlay kuma yana amsa masa. Wannan yana buƙatar hanya a kan host ɗin LAN ko router ɗinsa da ke nuna prefix ɗin overlay zuwa gateway ɗinka, kuma wannan canji ne a wajen akwatin Linux.

Lokacin da ba za a iya ƙara wannan hanyar ba, fassarar tushe mai iyaka tana sa buƙatar ta yi kama da ta fito daga gateway ɗin da ke kan LAN. Sannan amsoshi suna dawowa a cikin gida kuma ba a buƙatar canza turawa ta LAN, a kan farashin rasa ainihin tushe a cikin tarihin sabis ɗin.

Iyakance fassarar ga tushen overlay da takamaiman manufar LAN. Fassara duk abin da ke barin interface ɗin LAN shi ne sigar faɗi wacce daga baya ke ba kowa mamaki da ya karanta ƙa'idojin, kuma tana ɓoye zirga-zirgar da ya kamata a toshe.

Babu ɗaya daga cikin zaɓuɓɓukan biyu da ke ba da izinin shiga ba tare da nema ba daga LAN zuwa ga membobin overlay da aka zaɓa. Idan ana son hakan, ƙa'ida ce ta dabam da nata bita.

Gwada daga ainihin memba

Haɗa daga wani memba, ba daga gateway ba, ka nemi sabis ɗaya da aka yarda. Sannan gwada sabis ɗin da ya kamata ya kasance a rufe, kuma sake gwada duka biyun bayan sake haɗawa da bayan sake kunnawa gateway.

Memba da ke bayar da rahoton ONLINE, ko ping mai nasara zuwa adireshin overlay na gateway, ba ya tabbatar da hanyar, ƙa'idar turawa ko hanyar dawowa:

zerotier-cli listnetworks
ip -4 route get 192.168.60.20
sudo ufw status numbered

Umarni na biyu yana nuna wace interface fakitin zai yi amfani da ita don host ɗin LAN, kuma na uku yana nuna ko ƙa'idar hanyar tana nan a cikin sifar da ka yi niyya. Idan duka biyu sun yi kama da daidai kuma sabis ɗin har yanzu yana ƙarewa, hanyar dawowa ita ce sauran wanda ake zargi.