Ljósavarðarsíur Nebula gegn eldvegg: hvað hver heldur aftur af

Skoðaðu Nebula-handaband frá röngum enda og mótvægisaðgerðirnar tvær virðast skiptanlegar. Önnur ákveður hvaða vistföng hnútur tilkynnir ljósavörðunni og hvaða fjarvistföng hann mun prófa; hin ákveður hvað má fara um leið og göngin eru til. Sía getur stöðvað tengingu áður en einhver eldveggjarregla er metin, og eldveggjarregla getur ekki endurvakið endapunkt sem uppgötvunin fjarlægði. Lögin tvö svara ólíkum spurningum, og röðin sem þau starfa í er lykillinn.

Fylgdu einni tengingu í gegnum fjögur stig: tilkynnta staðbundna vistfangið, fjarvistfangið sem er haft í huga, handabandið og umferðin í yfirlaginu. Hvert stig hefur sína stillingu og sitt eigið bilunarmynstur.

Byrjaðu á staðbundna vistfanginu sem hnúturinn tilkynnir

local_allow_list síar staðbundin vistföng þessa hýsis áður en þau eru tilkynnt ljósavörðum. Færslurnar geta verið vistfangasvið, og stillingin styður líka mynstur fyrir nöfn viðmóta. Það er gagnlegt þegar hýsill hefur gámabrýr eða viðbótar gönguviðmót sem eiga ekki að verða endapunktar jafningja.

Farðu í gegnum viðmót hýsisins og spurðu hverra fjartengdur jafningi getur raunverulega náð. Docker-brúarvistfang er staðbundið fyrir þann hýsil og gagnslaust fyrir jafningja í öðru neti. Að tilkynna það eyðir uppgötvun og getur sent jafningja að vistfangi sem svarar aldrei. Allt sem jafningi getur ekki beint að er hávaði í svari ljósavarðarins.

Þröngur leyfislisti er öruggari hér en breiður bannlisti. Ef aðeins leyfisfærslur eru til staðar er ótilgreinda restin undanskilin; að bæta bannfærslu við síðar breytir sjálfgefinni rökfræði og krefst eigin yfirferðar. Sú breyting á skilið að líta á sjálfgildið með öðru auga.

Fylgstu síðan með valinu á fjarendapunktinum

remote_allow_list síar vistföngin sem þessi hýsill mun hafa í huga fyrir fjartengdan jafningja meðan á handabandi stendur. Það á við undirlagsvistfangið, ekki yfirlagsvistfangið sem jafninginn mun nota eftir að göngin eru komin upp.

Einkasvið getur verið fullkomlega nothæft á sameiginlegu skrifstofuneti og merkingarlaust þegar hýslarnir tveir sitja í óskyldum netum sem bæði nota 10.0.0.0/8. Sían leyfir þér að velja leiðina sem hægt er að beina og hunsa tilviljunina.

Þegar jafningi tekst ekki að tengjast skaltu bera saman vistfangið sem verið er að prófa við regluna sem því passar. Kveiktu á handabandsskrám og lestu valda fjarvistfangið; skrárlínan nefnir endapunktinn sem komst í gegnum síunina, sem er gagnlegra en listinn yfir vistföngin sem jafninginn á.

Viðmótsnafnasía á tilkynninguhlið getur fjarlægt endapunktinn áður en móttökuhliðin sér hann. Athugaðu báða hnúta þegar aðeins önnur áttin bregst.

Eftir handabandið gilda aðgangsreglur yfirlagsins

Eldveggjarreglur Nebula starfa innan yfirlagsins, eftir að göngin eru komin á. Þær passa hýsla, hópa, port og samskiptareglur, og ákveða hvort pakki megi komast inn í staðbundna hýsilinn eða fara út úr honum. Þær velja ekki endapunkt í undirlaginu.

Þessi aðskilnaður útskýrir algengt rangt greiningaratriði. Stjórnandi bætir eldveggjarreglu fyrir porti við og kemst samt ekki í samband, vegna þess að ljósavarðarsían fjarlægði eina endapunktinn sem hægt var að ná. Annar stjórnandi opnar vistfangasíuna og nær samt ekki þjónustunni, vegna þess að eldveggur yfirlagsins hafnar portinu.

Lestu bilunina á réttu lagi. Handaband sem klárast aldrei bendir á uppgötvun, síun endapunkta eða netleiðina. Klárað handaband sem fylgt er eftir með hafnaðri eða slepptri þjónustutengingu bendir á eldvegg yfirlagsins eða forritið.

Lestu sjálfgildið þegar leyfi og bann eru blönduð

Stilling ljósavarðarins styður lista með aðeins leyfi, aðeins bann og blandaða, og sjálfgildið fyrir ótilgreinda rest er mismunandi milli þessara forma. Blandaður listi þarf skýrt sjálfgildi fyrir vistfangafjölskylduna; að gera ráð fyrir að restin hagi sér eins og fyrri stilling er leiðin sem starfandi endapunktur hverfur hljóðlaust.

lighthouse:
  local_allow_list:
    interfaces:
      docker0: false
  remote_allow_list:
    192.168.0.0/16: true
    default: false

Meðhöndlaðu sjálfgildið sem hluta reglunnar, ekki sem sniðmálstexta. Ef sjálfgildi fjölskyldunnar er bann er hverju óskráðu vistfangi sleppt, þar á meðal nýju skrifstofusviði sem var bætt við eftir að stillingin var skrifuð.

Skráðu hvaða vistföng áttu að vera aðgengileg og prófaðu frá báðum hliðum. Sía sem virkar fyrir eitt jafningjapar getur brugðist fyrir annað par þar sem eina sameiginlega leiðin notar vistfang sem listinn undanskilur.

Notaðu relay þegar enginn beinn endapunktur er aðgengilegur

Ef hver hugsanlegur endapunktur er sigtaður út eða óaðgengilegur er svarið ekki breiðari leyfislisti sem tekur aftur inn vistföng sem þú treystir ekki. Relay-stilling Nebula býður upp á aðra jafningjaleið þegar bein tenging er ekki framkvæmanleg.

Relay leysir flutning og uppgötvun, ekki heimild, og það víkkar ekki eldvegginn. Eldveggur yfirlagsins ákveður enn hvaða þjónustur má nota, og relay gerir síun ljósavarðarins ekki að aðgangsstýringarkerfi.

Prófaðu relay-leiðina með beinu endapunktana óvirka og staðfestu að tilætluð þjónusta virki enn á meðan ótilætluð gerir það ekki. Það eina próf aðskilur flutningsviðgerð frá stefnubreytingu og heldur lögunum tveimur heiðarlegum.