Útgönguhnútur ZeroTier virkar ekki? Athugaðu leið, NAT og biðlara

Leiðatöflunni sýnir sjálfgefna leið um ZeroTier-viðmótið, netið segist vera á netinu og vafrinn fer samt út um staðbundið ISP-vistfang. Þessi samsetning er algeng og ekki villa í biðlaranum. Sjálfgefin leið segir aðeins hvert pakkarnir eiga að fara; eitthvað verður að senda þá áfram og þýða á hinum endanum. Þrír aðskildir hlutar verða að standast áður en útgönguhnútur virkar.

Leiðin er til en ekkert fer út

Athugaðu fyrst leiðatöflu biðlarans. Lína eins og default via 10.147.20.5 dev zt0 sannar að leiðin var sett upp, ekki að áfanginn muni taka við umferðinni. Næsta stökk verður að vera meðlimur sem er fús og fær um að senda hana áfram.

Ef sama beiðnin fer enn út um líkamlega viðmótið setti biðlarinn ekki upp leiðina, eða setti hana upp með mælikvarða sem tapaði fyrir staðbundnu sjálfgefnu leiðinni. Ef beiðnin hverfur eftir að leiðin er sett upp er útgöngumeðlimurinn að taka við pakkum og tekst ekki að senda þá áfram eða þýða. Biðlari sem heldur líkamlegu sjálfgefnu leiðinni sendir alls engan pakka til útgöngunnar.

Þessi greinarmunur ræður því hvar á að vinna. Samanburður á opinberu vistfangi fyrir og eftir breytinguna aðgreinir leið sem aldrei var notuð frá leið sem var notuð og hent, og hann krefst einnar skipunar í stað yfirferðar á allri uppsetningunni. Gerðu samanburðinn áður en þú breytir einhverju öðru, svo bæði niðurstöðurnar komi úr sama upphafsástandi.

Þrír hlutar sem allir verða að standast

Útgangur er keðja og veikasti hlekkurinn ræður einkenninu. Taflan hér að neðan telur upp hlekkina í þeirri röð sem þeir bregðast venjulega.

Fyrsta röðin er sú sem heiti valkostsins felur. Meðlimur verður aðeins útgangur þegar kjarninn hans sendir pakka áfram milli ZeroTier-viðmótsins og viðmótsins sem snýr að internetinu, og þegar svarleiðin er þýdd til baka í göngin. Án þeirrar framsendingar er meðlimurinn jafningi, ekki hlið.

Röð stjórnandans er heimild, ekki uppsetning. Að tilkynna 0.0.0.0/0 í gegnum meðlim segir hverjum biðlara hvar útgangurinn er; það gerir meðliminn ekki færan um að bera umferðina. Það staðfestir heldur ekki að meðlimurinn hafi virka leið á internetið. Skjöl ZeroTier um útgönguhnút fjalla um sömu skiptingu milli hnúts, leiðar og biðlara.

Stilltu útgönguhnútinn til að senda áfram og þýða

Virkjaðu IPv4-framsendingu varanlega og bættu síðan við upprunaneti (NAT) fyrir umferð sem fer af WAN-viðmótinu. Síureglurnar verða að leyfa framsenda flæðið í báðar áttir, því framsending og þýðing eru aðskilin frá leyfi:

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -A FORWARD -i zt0 -o eth0 -j ACCEPT
iptables -A FORWARD -i eth0 -o zt0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

Skiptu zt0 og eth0 út fyrir nöfnin á hýsilnum; regla sem vistuð er fyrir dæmiviðmót fylgir ekki pökkum á raunverulegu. Gerðu breytingarnar varanlegar í gegnum eldveggsstjórann sem á reglurnar, því skipun í gagnvirku skelinni hverfur við næstu endurræsingu.

Ef hýsillinn keyrir eldveggsstjóra eins og UFW eða firewalld, bættu reglunum við í gegnum þann stjóra í stað þess að stafla iptables-línum við hliðina. Tveir eigendur sem breyta sömu keðjunum búa til stefnu sem fer eftir röð ræsingar. Röðin skiptir máli þegar stjórinn býr til sínar eigin keðjur. Prófaðu frá biðlara eftir að stjórinn er endurhlaðinn, ekki fyrr.

Tilkynntu leiðina og samþykktu hana í biðlaranum

Á netstjórnandanum skaltu bæta við stýrðri leið fyrir 0.0.0.0/0 þar sem næsta stökk er ZeroTier-vistfang útgöngumeðlimsins. Leyfðu síðan á meðlimnum sem á að nota hana yfirskriftina fyrir það net. Leyfið er staðbundið: það stillir ekki aðra meðlimi upp á nýtt og breytir ekki stjórnandanum.

zerotier-cli listnetworks
zerotier-cli set <network-id> allowDefault=1
ip route get 1.1.1.1

Síðasta skipunin ætti að tilkynna ZeroTier-viðmótið og vistfang útgöngumeðlimsins. Ef hún tilkynnir enn líkamlega viðmótið vantar leiðina eða samkeppnisleg sjálfgefin leið hefur betri mælikvarða.

Haltu stillingunni takmarkaðri við netið sem þarf á henni að halda. Að virkja samþykki sjálfgefinnar leiðar á heimsvísu, eða á neti sem á aðeins að veita einkaneti, sendir umferð um útgang sem varð aldrei mældur fyrir það.

Staðfestu útganginn og skoðaðu aðrar vistfangafjölskyldur

Biðjaðu um opinbert vistfang frá þjónustu sem tilkynnir upprunann og berðu það saman við WAN-vistfang útgönguhnútsins. Hladdu síðan síðu eftir nafni til að staðfesta að DNS leysi enn, og prófaðu eitt mikilvægt forrit en ekki bara vafra.

Biðlari með tvíþættan stafla getur haldið áfram að nota innfædda IPv6-leið sína á meðan IPv4 fer út um ZeroTier. Ef markmiðið er að fela eða stjórna allri umferð þarf aðskilda ::/0 leið og IPv6-framsendingu á útganginum, og IPv4-próf segir ekkert um þær.

Öfug síun leiðar í Linux getur líka hent gilt útgönguumferð á biðlaranum. ZeroTier skjalfestir rp_filter íhugun fyrir þátttakandi meðlimi; breyttu þeirri stillingu af ásettu ráði og aðeins eftir að leiðin og NAT hafa verið staðfest, ekki sem fyrsta tilraun.

Ef krafan er aðgangur að NAS eða einu skrifstofuneti er stýrð leið fyrir það forskeyti minni og öruggari breyting en fullur útgangur. Að senda alla vafrun í gegnum annað tæki er önnur ákvörðun en að ná í eina einkaaðlind, og hún á skilið sérstaka yfirferð.