ZeroTier egy LAN felé: UFW útvonalszabályok, nem portengedély

Egy nyomtató elérése az irodai LAN-on egy ZeroTier-tagon keresztül egyetlen szabálynak hangzik, valójában azonban három döntés három különböző helyen. Az overlaynek tudnia kell, hol van a LAN, a Linux-hosztnak hajlandónak kell lennie a csomagok továbbítására, és a LAN-nak tudnia kell, hogyan küldje vissza a választ. Egy bejövő szabály, amely portot nyit az átjárón, egyikhez sem nyúl. Ez a rossz eszköz a helyes hoszton.

Három feladat, három felelős

A kezelt útvonal a ZeroTier hálózati konfigurációjához tartozik. Azt mondja meg a tagoknak, hogy egy előtag egy adott tagcímén keresztül elérhető.

A továbbítás a Linux kernelhez és ahhoz tartozik, aki a tűzfal-szabályzatát birtokolja. Ez dönti el, hogy az overlayen érkező csomag újra elhagyja-e a fizikai interfészt. Az a hoszt, amely nem továbbít, a csomagot elfogadása után csendben eldobja. A küldő időtúllépést lát, és a szolgáltatás naplójában semmi sem jelenik meg.

A visszaút a LAN-hoz tartozik. A hosztjainak és az útválasztójának tudnia kell, hogy az overlay előtag az átjáró LAN-címén keresztül elérhető, vagy valaminek le kell fordítania a forgalmat, hogy a kérdés fel se merüljön.

Ezek bármelyike helyes lehet, miközben a többi elbukik, és éppen ezért egy teszt, amely csak az átjárót pingeli, semmit sem bizonyít a mögötte lévő szolgáltatásról.

Irányítsa a kezelt útvonalat a tagra

Adjon hozzá útvonalat a kívánt LAN-előtaghoz az átjáró overlay-címén keresztül, nem a LAN-címén keresztül. Az overlay-cím az, amelyet a többi tag elérhet; a LAN-címnek csak a kábelen van jelentése.

A tagoknak el kell fogadniuk a kezelt útvonalakat, hogy a terv működjön, és a saját helyi hálózataik nem használhatják már a hirdetett előtagot. Egy távoli laptop, amely otthon a 192.168.60.0/24-en van, szintén nem tudja a 192.168.60.0/24-et az overlayen keresztül irányítani.

Tartsa a hirdetett előtagot olyan szűken, amennyire a feladat engedi. Nagyobb összevont tartomány hirdetése a preferencia befolyásolására olyan címteret is igényelhet, amely nem az Öné, és a keletkező ütközés a mindkét hálózathoz kapcsolódó eszközökön jelenik meg. Az is előfordulhat, hogy egy tag egy sehová nem vezető utat részesít előnyben. Tartsa az útvonalat őszintén, a többit pedig bízza a szabályzatra.

Írja az előtagot és a tagcímét ugyanabba a jegyzetbe, mint a tűzfalszabályokat, mert a leggyakoribb hiba egy rossz tagra mutató útvonal.

Kapcsolja be az átjárást a kernelben

Olvassa ki a futó továbbítási értéket, mielőtt bármit módosítana, majd tegye tartóssá a beállítást azon a mechanizmuson keresztül, amelyet a rendszere már használ, és ne egy egyszeri paranccsal, amely újraindításkor eltűnik.

Ha a szabályzat az UFW birtokában van, annak útvonalszabályai a forrás, a cél és az interfész párosára fejezik ki a továbbítást. Ezek különválnak a bejövő szabályoktól, amelyek szolgáltatást nyitnak magán az átjárón:

sysctl net.ipv4.ip_forward
sudo ufw route allow in on zt3f2a1c9d out on eth0 proto tcp to 192.168.60.20 port 443
sudo ufw status verbose

Az interfész neve az adott hoszton lévő tényleges overlay-eszköz, amelyet a ip link paranccsal olvashat ki; ez nem rögzített karakterlánc minden telepítésben. Ha a hoszt alapértelmezés szerint továbbít, és az UFW nincs az útvonalon, az útvonalszabály figyelmen kívül marad, és a kernel beállításai számítanak.

Válassza ki, hogyan térnek vissza a válaszok

Forrásmegőrzéssel a LAN szolgáltatása a valódi overlay-címet látja, és arra válaszol. Ehhez útvonal kell a LAN-hoszten vagy annak útválasztóján, amely az overlay-előtagot az átjáróra irányítja, és ez a Linux-dobozon kívüli változás.

Amikor ez az útvonal nem adható hozzá, a korlátozott forrásfordítás úgy tünteti fel a kérést, mintha a LAN-on lévő átjárótól érkezne. Ilyenkor a válaszok helyben visszatérnek, és nincs szükség a LAN útválasztásának módosítására, cserébe az eredeti forrás elveszik a szolgáltatás naplóiból.

Korlátozza a fordítást az overlay forrására és a konkrét LAN-célra. Mindent lefordítani, ami elhagyja a LAN-interfészt, a széles változat, amely később meglepi a szabályokat olvasó bárkit, és elrejti azokat a forgalmakat is, amelyeket blokkolni kellett volna.

Egyik választás sem ad kéretlen hozzáférést a LAN felől tetszőleges overlay-tagokhoz. Ha ez kívánatos, az külön szabály a saját felülvizsgálatával.

Valódi tagról teszteljen

Csatlakozzon egy másik tagról, ne az átjáróról, és kérjen egy engedélyezett szolgáltatást. Utána próbáljon egy szolgáltatást, amelynek zárva kell maradnia, és ismételje meg mindkét tesztet újracsatlakozás után és az átjáró újraindítása után.

Egy tag, amely ONLINE állapotot jelent, vagy egy sikeres ping az átjáró overlay-címére, nem igazolja az útvonalat, a továbbítási szabályt vagy a visszautat:

zerotier-cli listnetworks
ip -4 route get 192.168.60.20
sudo ufw status numbered

A második parancs megmutatja, melyik interfészt használná a csomag a LAN-hoszt felé, a harmadik pedig azt, hogy létezik-e az útvonalszabály a szándékolt formában. Ha mindkettő helyesnek tűnik, és a szolgáltatás mégis időtúllépéssel zárul, a visszaút a fennmaradó gyanúsított.