Արդյո՞ք HTTP-ն ZeroTier-ի վրայով գաղտնագրված է. Ստուգեք՝ որտեղ է ավարտվում վերածածկույթը

Անցեք այս ստուգումները հերթականությամբ և կանգ առեք առաջինում, որը ձախողվում է, քանի որ յուրաքանչյուր պատասխան փոխում է, թե ինչ է նշանակում հաջորդ քայլը։ Իրական հարցը նեղ է՝ արդյոք պարզ HTTP-ն ZeroTier ցանցում բացահայտ անցնում է ինտերնետով։ Երկու ZeroTier հանգույցների միջև սովորաբար ոչ, քանի որ վերածածկույթը գաղտնագրում է այդ թռիչքը։ Բայց դա հայտարարություն է երկու վերջնակետերի մասին, ոչ թե յուրաքանչյուր հատվածի, որը հարցումը հատում է։ Երթուղիչը, կամուրջը կամ հակադարձ պրոքսին տեղափոխում են վերջնակետը, և բաց տեքստը նորից սկսվում է դրա մյուս կողմում։

Ստուգում 1: գտեք այն հասցեն, որը դիմում է բրաուզերը

Համեմատեք URL-ը այն բանի հետ, ինչ իրականում ունի մեքենան։ ip -brief addr show-ը թվարկում է zt ինտերֆեյսը և վերածածկույթի հասցեն, որը տվել է ցանցի վերահսկիչը՝ եթե URL-ը օգտագործում է այդ հասցեն, բրաուզերի սոկետը մտնում է վերածածկույթ։

Երբ անունը փոխարենը լուծվում է LAN հասցեի, վերածածկույթը կարող է ընդհանրապես ներգրավված չլինել, ինչ էլ առաջարկի հաճախորդի կարգավիճակի ցուցիչը։ ip route get 10.147.20.5-ը տպում է ինտերֆեյսը և աղբյուրի հասցեն, որը կընտրեր միջուկը, այնպես որ այնտեղ zt ինտերֆեյսը նշանակում է, որ փաթեթը մտնում է վերածածկույթ, իսկ ձեր ֆիզիկական ցանցային քարտի անունը նշանակում է, որ չի մտնում։ Անուններն ավելացնում են ևս մեկ շերտ՝ վերածածկույթի հասցեին ուղղված գրառումն իրեն այլ կերպ է պահում, քան LAN հասցեին ուղղվածը, և որոնման վերջածանցը կամ hosts ֆայլի մուտքը կարող են լուռ որոշել, թե որն եք ստանալու։

Ստուգում 2: համոզվեք, որ երկու ծայրերը հանգույցներ են, ոչ թե գաղտնազերծող ռելե

ZeroTier-ը գաղտնագրում է հանգույցների միջև, և որտեղ ուղիղ ուղի չկա, փաթեթները փոխանցվում են արմատի միջով, որը դրանք ուղարկում է դեռ գաղտնագրված։ zerotier-cli peers-ը նշում է յուրաքանչյուր հանգույցի ուղին որպես DIRECT կամ RELAY՝ ուշացման թվով։ Փոխանցված ուղին արժե երկկողմ ճամփորդություններ, ոչ գաղտնիություն։

Ինչ փոխում է պատասխանը, դա անդամ է, որը իրական վերջնակետ չէ։ Երբ մյուս կողմը ZeroTier անդամ է, որը երթուղավորում կամ կամրջում է դեպի ֆիզիկական LAN, վերածածկույթը ավարտվում է այդ անդամի մոտ, և հաջորդ թռիչքը սովորական Ethernet է։

Ստուգում 3: հետևեք, թե որտեղ է հարցումը դառնում ընթեռնելի

Այն հոսթում, որը կարծում եք՝ սպասարկում է էջը, վերբեռնման ընթացքում որսացեք վերածածկույթի ինտերֆեյսը՝ sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'։ Այդ ելքի ընթեռնելի հարցման տողը ապացուցում է, որ երթևեկությունը հասել է այդ հոսթին գաղտնազերծված, և դա այն սահմանն է, որը փնտրում եք։

Այնուհետև որսացեք LAN-ի մնացած մասին նայող ինտերֆեյսում։ Եթե նույն հարցումը այնտեղ հայտնվում է բաց, այն լքել է վերածածկույթը մինչև հավելվածին հասնելը, և այդ հատվածի յուրաքանչյուր սարք կարող է կարդալ այն։ Եթե LAN-ի կողմում ոչինչ չի հայտնվում, և էջը դեռ բեռնվում է, հավելվածը ավարտվում է հենց ZeroTier հոսթում։

Loopback-ի որսումը նույնպես կարևոր է, երբ առջևում հակադարձ պրոքսի է կանգնած, քանի որ HTTPS ընդունող և HTTP փոխանցող պրոքսին սահմանը տեղափոխում է իր իսկ բեքենդ։

Ստուգում 4: հաշվեք յուրաքանչյուր թռիչք երթուղիչի կամ կամրջի հետևում

Վերածածկույթի և LAN-ի միջև երթուղավորելու համար կարգավորված անդամը սովորական նախագիծ է և այն տեղը, որտեղ կոտրվում են այս ենթադրությունների մեծ մասը։ Վերածածկույթը պաշտպանում է բրաուզերից մինչև երթուղիչ հատվածը և ոչինչ դրանից հետո։ Կամուրջը նույն պատմությունը պատմում է այլ մեխանիզմով՝ վերածածկույթը և ֆիզիկական հատվածը դառնում են մեկ հեռարձակման տիրույթ, ուստի կամրջված նոթբուքից եկած հարցումը անցնում է սովորական Ethernet-ով, թեև այդ նոթբուքը նստած է ZeroTier ցանցում։

Հետևեք դրան՝ փոխարենը ենթադրելու։ traceroute-ը հաճախորդից ծառայության հասցե և երթուղային աղյուսակը դարպասային անդամի վրա ցույց են տալիս՝ վերջին թռիչքը zt է, թե eth։

ZeroTier-ը առաջարկում է նաև վստահելի ուղու ռեժիմ, որը կարող է հրաժարվել տրանսպորտի անվտանգությունից նշանակված տեղական ուղիներում՝ արտադրողականության համար։ Այն օգտագործող ցանցը չի ժառանգում գաղտնագրված ուղու սովորական ենթադրությունը, ուստի կարդացեք ցանցի կարգավորումը նախքան որևէ մեկը մեջբերելը։ Փրոթոքոլի փաստաթղթերը նկարագրում են և՛ հանգույցների միջև գաղտնագրումը, և՛ այդ բացառությունը։

Ստուգում 5: որոշեք, թե ինչ պետք է դեռ անի հավելվածը

Վերածածկույթի անդամակցությունը սարքին նույնականություն է տալիս ցանցի առաջ և ոչինչ չի ասում այն մասին՝ արդյոք մյուս կողմի ծառայությունը այն է, որին ուզում էիք հասնել։ HTTPS-ը պատասխանում է այլ հարցի՝ հոսթի անունը բանալու հետ կապելով, ուստի երկու պաշտպանությունները համընկնում են՝ չփոխարինելով միմյանց։ Լիազորված հանգույցը դեռ կարող է սխալ ծառայություն լինել, և վնասված վերջնակետը կարդում է հարցումը և՛ գաղտնագրումից առաջ, և՛ գաղտնազերծումից հետո։ Մեխանիզմներից ոչ մեկը չի աուդիտ անում, թե ինչ է գրանցում հավելվածը։

Վերօգտագործվող սեսիա կամ գաղտնաբառ ունեցող ամեն ինչի համար ավարտեք TLS-ը հավելվածում կամ ձեր կողմից վերահսկվող պրոքսիում և թողեք վկայագրի ստուգումը միացված։ Երբ հին ծառայությունը պետք է մնա պարզ HTTP-ի վրա, գրեք ճշգրիտ հոսթ-ից-հոսթ ուղին, որը նա կարող է օգտագործել, ով կարող է հասնել դրան և որ հատվածը մնում է անպաշտպան՝ այդ նշումն է, ինչ պետք կգա ապագա գրախոսին։

"VPN-ը միացված է" այս ամենի գնահատական չէ։ Ազնիվ տարբերակը նշում է երկու վերջնակետերը, նրանց միջև ուղին և առաջին չծածկված թռիչքը։

Պահեք որսման ելքը և հանգույցների ցանկը ծառայության փաստաթղթերի կողքին, որպեսզի ով փոխի երթուղի կամ ավելացնի կամուրջ, տեսնի, թե որ ենթադրությունն է պատրաստվում կոտրել։