Er HTTP yfir ZeroTier dulkóðað? Athugaðu hvar yfirlagið endar

Farðu í gegnum þessar athuganir í röð og stoppaðu við þá fyrstu sem bregst, því hvert svar breytir því hvað næsta skref þýðir. Raunverulega spurningin er þröng: fer venjulegt HTTP á ZeroTier-netinu opið yfir internetið? Milli tveggja ZeroTier-jafningja gerir það venjulega ekki, því yfirlagið dulkóðar það hopp. En það er fullyrðing um tvo endapunkta, ekki hvert það hlut sem beiðni fer yfir. Beini, brú eða öfugt milliþjónn færir endapunktinn, og venjulegur texti hefst aftur hinum megin.

Athugun 1: finndu netfangið sem vafrinn hringir í

Berðu saman slóðina og það sem vélin hefur í raun. ip -brief addr show telur upp zt tengið og yfirlagsfangið sem netstýringin úthlutaði; ef slóðin notar það netfang fer samband vafrans inn í yfirlagið.

Þegar nafnið leysist þess í stað í LAN-netfang, gæti yfirlagið alls ekki átt hlut að máli, hvað sem stöðuvísir biðlarans gefur í skyn. ip route get 10.147.20.5 prentar tengið og upprunafangið sem kjarninn myndi velja, svo zt tengi þar þýðir að pakkinn fer inn í yfirlagið og nafn líkamlegu netkortsins þíns þýðir að hann gerir það ekki. Nöfn bæta við enn einu lagi: færsla sem vísar á yfirlagsfang hegðar sér öðruvísi en sú sem vísar á LAN-netfang, og leitarviðskeyti eða færsla í hosts-skrá getur hljóðlega ákveðið hvora þú fær.

Athugun 2: staðfestu að báðir endar séu jafningar, ekki afkóðandi endurvarp

ZeroTier dulkóðar milli jafningja, og þar sem engin bein leið er eru pakkarnir sendir um rót sem sendir þá áfram enn dulkóðaða. zerotier-cli peers merkir leið hvers jafnings sem DIRECT eða RELAY með töfutölu. Send leið kostar fram og til baka, ekki trúnað.

Það sem breytir svarinu er meðlimur sem er í raun ekki endapunktur. Þegar hin hliðin er ZeroTier-meðlimur sem beinir eða brúar inn í líkamlegt LAN, endar yfirlagið við þann meðlim og næsta hopp er venjulegt Ethernet.

Athugun 3: fylgstu með hvar beiðnin verður læsileg

Á hýsilnum sem þú telur þjóna síðunni skaltu grípa yfirlagstengið meðan þú endurhleður: sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'. Læsileg beiðnilína í þeirri úttaksskrá sannar að umferðin hafi komið afkóðuð á þann hýsil, og það er mörkin sem þú ert að leita að.

Gríptu síðan á tenginu sem snýr að restinni af LAN-inu. Ef sama beiðnin birtist þar opið hefur hún yfirgefið yfirlagið áður en hún náði forritinu og hvert tæki á því hlut getur lesið hana. Ef ekkert birtist á LAN-hliðinni og síðan hleðst samt, endar forritið á ZeroTier-hýslinum sjálfum.

Að grípa lykkjubakveg skiptir líka máli þegar öfugt milliþjónn stendur fyrir framan, því milliþjónn sem tekur við HTTPS og sendir HTTP áfram færir mörkin yfir á sitt eigið bakendi.

Athugun 4: gerðu grein fyrir hverju hoppi bak við beini eða brú

Meðlimur sem stilltur er til að beina milli yfirlagsins og LANs er venjuleg hönnun og staðurinn þar sem flestar þessara forsendna brotna. Yfirlagið verndar hlutann frá vafranum að beininum og ekkert eftir hann. Brú segir sömu sögu með öðru fyrirkomulagi: yfirlagið og líkamlegi hlutinn verða eitt útvarpssvið, svo beiðni frá brúaðri fartölvu fer yfir venjulegt Ethernet þótt sú fartölva sitji á ZeroTier-netinu.

Rekjaðu það í stað þess að gera ráð fyrir því. traceroute frá biðlaranum að þjónustufanginu auk beinitöflunnar á gáttarmeðlimnum sýna hvort síðasta hoppið er zt eða eth.

ZeroTier býður einnig traustsleiðarham sem getur sleppt flutningsöryggi á tilteknum staðbundnum leiðum vegna afkasta. Net sem notar hann erfir ekki venjulegu forsenduna um dulkóðaða leið, svo lestu netstillinguna áður en þú vitnar í eina. Samskiptaregluskjölin lýsa bæði dulkóðuninni milli jafningja og þeirri undantekningu.

Athugun 5: ákveddu hvað forritið þarf enn að gera

Aðild að yfirlaginu auðkennir tæki gagnvart neti og segir ekkert um hvort þjónustan hinum megin sé sú sem þú ætlaðir að ná. HTTPS svarar annarri spurningu með því að binda hýsilsnafn við lykil, svo vörnin tvö skarast án þess að koma í staðinn fyrir hvort annað. Heimilaður jafningi getur samt verið röng þjónusta, og málamiðlaður endapunktur les beiðnina bæði fyrir dulkóðun og eftir afkóðun. Hvorugt fyrirkomulagið endurskoðar það sem forritið skráir.

Fyrir allt með endurnýtanlegri lotu eða lykilorði skaltu ljúka TLS í forritinu eða í milliþjóni sem þú stjórnar og láta vottorðasannprófun vera áfram. Þar sem arfleifðarþjónusta verður að vera á venjulegu HTTP skaltu skrifa niður nákvæmu hýsil-til-hýsils leiðina sem hún má nota, hver getur náð henni og hvaða hlutur verður óvarinn; sú athugasemd er það sem framtíðarrýni þarf.

"VPN-ið er tengt" er ekki mat á neinu af þessu. Heiðarleg útgáfan nefnir báða endapunkta, leiðina milli þeirra og fyrsta hoppið sem er ekki þakið.

Haltu grip-úttakinu og jafningjalistanum við hlið þjónustuskjalanna, svo hver sem breytir leið eða bætir við brú sjái hvaða forsendu hann er að fara að brjóta.