Apakah HTTP di atas ZeroTier terenkripsi? Periksa di mana overlay berakhir

Jalankan pemeriksaan ini secara berurutan dan berhenti pada yang pertama gagal, karena setiap jawaban mengubah arti langkah berikutnya. Pertanyaan sebenarnya sempit: apakah HTTP biasa di jaringan ZeroTier berjalan terbuka melalui internet? Antara dua peer ZeroTier biasanya tidak, karena overlay mengenkripsi lompatan itu. Tetapi itu pernyataan tentang dua titik akhir, bukan tentang setiap segmen yang dilewati permintaan. Router, bridge, atau reverse proxy memindahkan titik akhir, dan teks biasa berlanjut di sisi lainnya.

Pemeriksaan 1: temukan alamat yang dihubungi browser

Bandingkan URL dengan apa yang benar-benar dimiliki mesin. ip -brief addr show mencantumkan antarmuka zt dan alamat overlay yang diberikan pengontrol jaringan; jika URL memakai alamat itu, soket browser masuk ke overlay.

Ketika nama justru diselesaikan ke alamat LAN, overlay mungkin tidak terlibat sama sekali, apa pun yang disiratkan indikator status klien. ip route get 10.147.20.5 mencetak antarmuka dan alamat sumber yang akan dipilih kernel, jadi antarmuka zt di sana berarti paket masuk ke overlay dan nama NIC fisik Anda berarti tidak. Nama menambah lapisan lain: catatan yang menunjuk alamat overlay berperilaku berbeda dari yang menunjuk alamat LAN, dan sufiks pencarian atau entri berkas hosts dapat diam-diam menentukan mana yang Anda dapatkan.

Pemeriksaan 2: pastikan kedua ujung adalah peer, bukan relai yang mendekripsi

ZeroTier mengenkripsi antar peer, dan di mana tidak ada jalur langsung, paket diteruskan melalui root yang meneruskannya tetap terenkripsi. zerotier-cli peers menandai jalur tiap peer sebagai DIRECT atau RELAY dengan angka latensi. Jalur yang diteruskan memakan perjalanan pulang-pergi, bukan kerahasiaan.

Yang benar-benar mengubah jawaban adalah anggota yang bukan titik akhir sungguhan. Ketika sisi jauh adalah anggota ZeroTier yang merutekan atau menjembatani ke LAN fisik, overlay berakhir di anggota itu dan lompatan berikutnya adalah Ethernet biasa.

Pemeriksaan 3: perhatikan di mana permintaan menjadi terbaca

Di host yang Anda yakini melayani halaman, tangkap antarmuka overlay saat memuat ulang: sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'. Baris permintaan yang terbaca di keluaran itu membuktikan lalu lintas tiba dalam keadaan didekripsi di host tersebut, dan itulah batas yang Anda cari.

Lalu tangkap pada antarmuka yang menghadap sisa LAN. Jika permintaan yang sama muncul di sana secara terbuka, ia meninggalkan overlay sebelum mencapai aplikasi dan setiap perangkat di segmen itu dapat membacanya. Jika tidak ada yang muncul di sisi LAN dan halaman tetap dimuat, aplikasi berakhir di host ZeroTier itu sendiri.

Menangkap loopback juga penting saat ada reverse proxy di depan, karena proxy yang menerima HTTPS dan meneruskan HTTP memindahkan batas ke backend-nya sendiri.

Pemeriksaan 4: hitung setiap lompatan di belakang router atau bridge

Anggota yang dikonfigurasi untuk merutekan antara overlay dan LAN adalah desain biasa dan tempat sebagian besar asumsi ini patah. Overlay melindungi bagian dari browser ke router dan tidak ada setelahnya. Bridge menceritakan kisah yang sama dengan mekanisme berbeda: overlay dan segmen fisik menjadi satu domain siaran, sehingga permintaan dari laptop yang dijembatani melewati Ethernet biasa meskipun laptop itu berada di jaringan ZeroTier.

Lacak, jangan berasumsi. traceroute dari klien ke alamat layanan ditambah tabel perutean pada anggota gerbang menunjukkan apakah lompatan terakhir zt atau eth.

ZeroTier juga menawarkan mode jalur tepercaya yang dapat melepaskan keamanan transportasi pada jalur lokal tertentu demi kinerja. Jaringan yang memakainya tidak mewarisi asumsi jalur terenkripsi biasa, jadi baca konfigurasi jaringan sebelum mengutipnya. Dokumentasi protokol menjelaskan enkripsi antar peer dan pengecualian itu.

Pemeriksaan 5: putuskan apa yang masih harus dilakukan aplikasi

Keanggotaan overlay mengautentikasi perangkat ke jaringan dan tidak mengatakan apa pun tentang apakah layanan di ujung lain adalah yang ingin Anda capai. HTTPS menjawab pertanyaan lain dengan mengikat nama host ke kunci, jadi kedua perlindungan saling tumpang tindih tanpa saling menggantikan. Peer yang sah tetap bisa menjadi layanan yang salah, dan titik akhir yang disusupi membaca permintaan sebelum enkripsi maupun setelah dekripsi. Tak satu pun mekanisme mengaudit apa yang dicatat aplikasi.

Untuk apa pun dengan sesi yang dapat digunakan ulang atau kata sandi, akhiri TLS di aplikasi atau di proxy yang Anda kendalikan dan biarkan validasi sertifikat menyala. Di mana layanan lama harus tetap memakai HTTP biasa, tuliskan jalur host-ke-host persis yang boleh dipakainya, siapa yang dapat mencapainya, dan segmen mana yang tetap tidak terlindungi; catatan itulah yang dibutuhkan peninjau di masa depan.

"VPN terhubung" bukan penilaian atas semua ini. Versi jujurnya menyebut kedua titik akhir, jalur di antara keduanya, dan lompatan pertama yang tidak tercakup.

Simpan keluaran penangkapan dan daftar peer di samping dokumentasi layanan, agar siapa pun yang mengubah rute atau menambah bridge melihat asumsi mana yang akan ia patahkan.