ZeroTier арқылы HTTP шифрланған ба? Қабаттың қай жерде бітетінін тексеріңіз

Бұл тексерулерді ретімен орындап, бірінші сәтсіз болған жерде тоқтаңыз, өйткені әрбір жауап келесі қадамның мағынасын өзгертеді. Нақты сұрақ тар: ZeroTier желісіндегі қарапайым HTTP интернет арқылы ашық түрде жүре ме? Екі ZeroTier түйінінің арасында әдетте жоқ, өйткені қабат сол секірісті шифрлайды. Бірақ бұл екі соңғы нүкте туралы мәлімдеме, сұрау өтетін әрбір сегмент туралы емес. Маршрутизатор, көпір немесе кері прокси соңғы нүктені жылжытады, ал ашық мәтін оның арғы жағында қайта басталады.

Тексеру 1: браузер қосылатын мекенжайды табыңыз

URL-ді машинаның шын мәнінде бар нәрсемен салыстырыңыз. ip -brief addr show zt интерфейсін және желі контроллері берген қабат мекенжайын тізімдейді; егер URL сол мекенжайды қолданса, браузер сокеті қабатқа кіреді.

Егер атау оның орнына LAN мекенжайына шешілсе, қабат мүлде қатыспауы мүмкін, клиенттің күй индикаторы не десе де. ip route get 10.147.20.5 ядро таңдайтын интерфейс пен бастау мекенжайын басып шығарады, сондықтан ондағы zt интерфейсі пакеттің қабатқа кіретінін, ал физикалық желілік картаның атауы кірмейтінін білдіреді. Атаулар тағы бір қабат қосады: қабат мекенжайына сілтейтін жазба LAN мекенжайына сілтейтіннен өзгеше әрекет етеді, ал іздеу суффиксі немесе hosts файлындағы жазба қайсысын алатыныңызды тыныш шеше алады.

Тексеру 2: екі ұштың да тең дәрежелі екенін, шифрды шешетін реле емес екенін растаңыз

ZeroTier түйіндер арасында шифрлайды, ал тікелей жол болмаған жерде пакеттер оларды әлі де шифрланған күйде жіберетін тамыр арқылы өткізіледі. zerotier-cli peers әр түйіннің жолын кідіріс санымен DIRECT немесе RELAY деп белгілейді. Өткізілген жол барып-қайтуды талап етеді, құпиялылықты емес.

Жауапты шын мәнінде өзгертетін нәрсе — нағыз соңғы нүкте болып табылмайтын мүше. Қарсы жақ физикалық LAN-ға маршруттайтын немесе көпір жасайтын ZeroTier мүшесі болса, қабат сол мүшеде аяқталады, ал келесі секіріс — қарапайым Ethernet.

Тексеру 3: сұрау қай жерде оқылатын болатынын бақылаңыз

Бетті қызмет етеді деп ойлайтын хостта қайта жүктеу кезінде қабат интерфейсін түсіріңіз: sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'. Сол шығыстағы оқылатын сұрау жолы трафиктің сол хостқа шифры шешілген күйде жеткенін дәлелдейді, және бұл сіз іздеген шекара.

Содан кейін LAN-ның қалған бөлігіне қарайтын интерфейсте түсіріңіз. Егер сол сұрау онда ашық түрде көрінсе, ол қосымшаға жетпей тұрып қабаттан шыққан және сол сегменттегі әрбір құрылғы оны оқи алады. Егер LAN жағында ештеңе көрінбесе де бет әлі жүктелсе, қосымша ZeroTier хосттың өзінде аяқталады.

Алдында кері прокси тұрғанда loopback-ті түсіру де маңызды, өйткені HTTPS қабылдап, HTTP-ны әрі қарай жіберетін прокси шекараны өз бэкендіне жылжытады.

Тексеру 4: маршрутизатор немесе көпір артындағы әрбір секірісті есепке алыңыз

Қабат пен LAN арасында маршруттауға конфигурацияланған мүше — кәдімгі дизайн және осы болжамдардың көбі бұзылатын жер. Қабат браузерден маршрутизаторға дейінгі бөлікті қорғайды, одан кейін ештеңені қорғамайды. Көпір сол әңгімені басқа механизммен айтады: қабат пен физикалық сегмент бір хабар тарату доменіне айналады, сондықтан көпірленген ноутбуктан келген сұрау қарапайым Ethernet арқылы өтеді, тіпті сол ноутбук ZeroTier желісінде отырса да.

Болжам жасамай, оны бақылаңыз. Клиенттен қызмет мекенжайына дейінгі traceroute және шлюз мүшесіндегі маршруттау кестесі соңғы секірістің zt немесе eth екенін көрсетеді.

ZeroTier сонымен қатар өнімділік үшін тағайындалған жергілікті жолдарда тасымал қауіпсіздігінен бас тарта алатын сенімді жол режимін ұсынады. Оны қолданатын желі шифрланған жолдың әдеттегі болжамын мұра етпейді, сондықтан біреуін келтірмес бұрын желі конфигурациясын оқыңыз. Хаттама құжаттамасы түйіндер арасындағы шифрлауды да, сол ерекшелікті де сипаттайды.

Тексеру 5: қосымша әлі не істеуі керегін шешіңіз

Қабатқа мүшелік құрылғыны желі алдында аутентификациялайды және арғы жақтағы қызмет сіз жеткіңіз келген қызмет пе дегенге ештеңе айтпайды. HTTPS басқа сұраққа хост атауын кілтке байлау арқылы жауап береді, сондықтан екі қорғаныс бірін-бірі алмастырмай қабаттасады. Уәкілетті түйін дұрыс емес қызмет болып қалуы мүмкін, ал бұзылған соңғы нүкте сұрауды шифрлауға дейін де, шифрын шешкеннен кейін де оқиды. Екі механизмнің ешқайсысы қосымшаның нені жазатынын аудиттемейді.

Қайта пайдаланылатын сессиясы немесе құпиясөзі бар кез келген нәрсе үшін TLS-ті қосымшада немесе өзіңіз басқаратын проксиде аяқтаңыз және сертификатты тексеруді қосулы қалдырыңыз. Ескі қызмет қарапайым HTTP-де қалуы керек болса, оның пайдалануға рұқсат етілген нақты хосттан хостқа жолын, оған кім жете алатынын және қай сегмент қорғаусыз қалатынын жазып қойыңыз; болашақ шолушыға керек дәл сол жазба.

"VPN қосылған" — бұның ешқайсысына баға емес. Шынайы нұсқа екі соңғы нүктені, олардың арасындағы жолды және қамтылмаған бірінші секірісті атайды.

Түсірілім шығысын және түйіндер тізімін қызмет құжаттамасының жанында ұстаңыз, сонда маршрутты өзгерткен немесе көпір қосқан кез келген адам қай болжамды бұзғалы жатқанын көреді.