ZeroTier inn á staðarnet: UFW-leiðarreglur, ekki portsheimild

Að ná í prentara á skrifstofuneti í gegnum ZeroTier-aðila hljómar eins og ein regla, en eru í raun þrjár ákvarðanir á þremur mismunandi stöðum. Yfirlagið verður að vita hvar staðarnetið er, Linux-hýsillinn verður að vera reiðubúinn að framsenda pakka, og staðarnetið verður að vita hvernig á að senda svarið til baka. Inngönguregla sem opnar port á gáttinni snertir ekkert af þessu. Það er rangt verkfæri á rétta hýsilnum.

Þrjú verk, þrír eigendur

Stýrða leiðin tilheyrir stillingum ZeroTier-netsins. Hún segir aðilum að forskeyti sé aðgengilegt í gegnum tiltekið aðilafang.

Framsending tilheyrir Linux-kjarnanum og þeim sem á stefnu eldveggjarins. Hún ákveður hvort pakki sem berst á yfirlaginu fari aftur út um eðlisfræðilega tengið. Hýsill sem framsendir ekki mun hljóðlega henda pakkanum eftir að hafa samþykkt hann. Sendandinn sér tímannaút og ekkert birtist í þjónustuskránni.

Afturleiðin tilheyrir staðarnetinu. Hýslum þess og beini verður að vera kunnugt um að forskeyti yfirlagsins sé aðgengilegt í gegnum staðarnetsfang gáttarinnar, eða eitthvað verður að þýða umferðina svo spurningin komi aldrei upp.

Hvert þessara getur verið rétt á meðan hin mistakast, og þess vegna sannar próf sem aðeins pingar gáttina ekkert um þjónustuna fyrir aftan hana.

Beindu stýrðu leiðinni að aðilanum

Bættu við leið fyrir fyrirhugað staðarnetsforskeyti í gegnum yfirlagsfang gáttarinnar, ekki í gegnum staðarnetsfang hennar. Yfirlagsfangið er það sem aðrir aðilar komast á; staðarnetsfangið hefur aðeins merkingu á snúrunni.

Aðilar verða að samþykkja stýrðar leiðir til að hönnunin virki, og eigin staðarnet þeirra mega ekki þegar nota forskeytið sem þú auglýsir. Fartölva í fjarska sem er heima á 192.168.60.0/24 getur heldur ekki beint 192.168.60.0/24 í gegnum yfirlagið.

Haltu auglýsta forskeytinu eins þröngu og verkefnið leyfir. Að auglýsa stærra safn til að hafa áhrif á forgang getur líka gert tilkall til fangrýmis sem þú átt ekki, og áreksturinn sem af því leiðir birtist á tækjunum sem tengjast báðum netum. Það getur líka gert aðila fúsan að velja slóð sem liggur hvergi. Haltu leiðinni heiðarlegri og láttu stefnuna gera restina.

Skrifaðu forskeytið og aðilafangið í sama minnisblað og eldveggsreglurnar, því algengasta bilunin er leið sem bendir á rangann aðila.

Virkjaðu gegnumflæði í kjarnanum

Lestu gildi framsendingarinnar sem er í gangi áður en þú breytir nokkru, og gerðu stillinguna varanlega í gegnum þá aðferð sem kerfið þitt notar þegar, ekki með eins-skiptis skipun sem hverfur við endurræsingu.

Ef UFW á stefnuna tjá leiðarreglur þess framsendingu fyrir par uppruna, áfangastaðar og tengis. Þær eru aðskildar frá inngöngureglum sem opna þjónustu á gáttinni sjálfri:

sysctl net.ipv4.ip_forward
sudo ufw route allow in on zt3f2a1c9d out on eth0 proto tcp to 192.168.60.20 port 443
sudo ufw status verbose

Tengisheitið er raunverulega yfirlagstækið á þeim hýsli, sem þú getur lesið með ip link; það er ekki fastur strengur á milli uppsetninga. Ef hýsillinn framsendir sjálfgefið og UFW er ekki á leiðinni verður leiðarreglan hunsuð og kjarnastillingarnar eru það sem skiptir máli.

Veldu hvernig svör koma til baka

Með varðveislu uppruna sér þjónusta staðarnetsins raunverulega yfirlagsfangið og svarar því. Það krefst leiðar á staðarnetshýslinum eða beini hans sem bendir yfirlagsforskeytinu á gáttina þína, og það er breyting utan Linux-boxins.

Þegar ekki er hægt að bæta þeirri leið við lætur afmörkuð upprunapýðing beiðnina líta út eins og hún komi frá gáttinni á staðarnetinu. Þá koma svörin til baka á staðnum og engrar breytingar á leiðsögn staðarnetsins er þörf, gegn því að uppruninn glatast í þjónustuskrám.

Afmarkaðu þýðinguna við yfirlagsupprunann og tiltekinn áfangastað á staðarnetinu. Að þýða allt sem fer út um staðarnetstengið er hin breiða útgáfa sem kemur síðar á óvart hverjum þeim sem les reglurnar, og hún felur einnig umferð sem hefði átt að loka á.

Hvorugur kosturinn veitir óumbeðinn aðgang frá staðarnetinu til baka til handahófskenndra yfirlagsaðila. Ef þess er óskað er það sérstök regla með eigin yfirferð.

Prófaðu frá raunverulegum aðila

Tengstu frá öðrum aðila, ekki frá gáttinni, og biddu um eina leyfða þjónustu. Prófaðu svo þjónustu sem á að vera lokuð, og endurtaktu bæði prófin eftir endurtengingu og eftir endurræsingu gáttarinnar.

Aðili sem tilkynnir ONLINE, eða árangursríkt ping á yfirlagsfang gáttarinnar, staðfestir ekki leiðina, framsendingarregluna né afturleiðina:

zerotier-cli listnetworks
ip -4 route get 192.168.60.20
sudo ufw status numbered

Önnur skipunin sýnir hvaða tengi pakkinn myndi nota til staðarnetshýsilsins, og sú þriðja sýnir hvort leiðarreglan er til í þeirri mynd sem þú ætlaðir. Ef báðar líta rétt út og þjónustan rennur samt út á tíma er afturleiðin eftir sem grunaður aðili.