Nebula шамшырақ сүзгілері және брандмауэр: қайсысы нені бөгейді

Шамшырақтың рұқсат тізімдері серіктестің қай төменгі желі шеткі нүктелерін жариялайтынын немесе сынайтынын анықтайды. Брандмауэр ережелері қол алысудан кейін overlay ішіндегі трафикті реттейді.

Nebula қол алысуына дұрыс емес жақтан қарасаңыз, екі механизм бірін-бірі алмастыратындай көрінеді. Біреуі түйіннің шамшыраққа қандай мекенжайларды хабарлайтынын және қандай қашықтағы мекенжайларды сынайтынын анықтайды; екіншісі туннель пайда болғаннан кейін не өте алатынын анықтайды. Сүзгі кез келген брандмауэр ережесі бағаланбай тұрып байланысты тоқтата алады, ал брандмауэр ережесі анықтау жойған шеткі нүктені қайта тірілте алмайды. Екі қабат әртүрлі сұрақтарға жауап береді, ал олардың әрекет ету реті — кілт.

Бір байланысты төрт кезеңмен бақылаңыз: жарияланған жергілікті мекенжай, қарастырылатын қашықтағы шеткі нүкте, қол алысу және overlay трафигі. Әр кезеңнің өз конфигурациясы және өз істен шығу белгісі бар.

Түйін жариялайтын жергілікті мекенжайдан бастаңыз

local_allow_list осы хосттың жергілікті мекенжайларын шамшырақтарға хабарламас бұрын сүзеді. Жазбалар мекенжай ауқымдары болуы мүмкін, ал конфигурация интерфейс атауы үлгілерін де қолдайды. Бұл хостта контейнер көпірлері немесе серіктес шеткі нүктелеріне айналмауы тиіс қосымша туннель интерфейстері болғанда пайдалы.

Хосттың интерфейстерін аралап, қашықтағы серіктес қайсысына шынымен жете алатынын сұраңыз. Docker көпірінің мекенжайы сол хост үшін жергілікті және басқа желідегі серіктеске пайдасыз. Оны жариялау анықтауды ысырап етеді және серіктесті ешқашан жауап бермейтін мекенжайға жіберуі мүмкін. Серіктес маршруттай алмайтынның бәрі шамшырақ жауабындағы шу.

Мұнда тар рұқсат тізімі кең тыйым тізімінен қауіпсіздеу. Егер тек рұқсат жазбалары болса, көрсетілмеген қалғаны алынып тасталады; кейін тыйым жазбасын қосу әдепкі логиканы өзгертеді және жеке қарауды қажет етеді. Бұл өзгеріс әдепкі мәнге екінші көзқарасты қажет етеді.

Содан кейін қашықтағы шеткі нүктені таңдауды бақылаңыз

remote_allow_list осы хосттың қол алысу кезінде қашықтағы серіктес үшін қарастыратын мекенжайларын сүзеді. Бұл төменгі желі мекенжайына қатысты, туннель көтерілгеннен кейін серіктес қолданатын overlay мекенжайына емес.

Жеке ауқым ортақ кеңсе желісінде толық пайдалы болуы мүмкін, ал екі хост та 10.0.0.0/8 қолданатын байланысы жоқ желілерде тұрса, мағынасыз болады. Сүзгі маршрутталатын жолды таңдауға және кездейсоқтықты елемеуге мүмкіндік береді.

Серіктес қосыла алмаса, сыналып жатқан мекенжайды оған сәйкес келетін ережемен салыстырыңыз. Қол алысу журналдарын қосып, таңдалған қашықтағы мекенжайды оқыңыз; журнал жолы сүзуден өткен шеткі нүктені атайды, бұл серіктестің мекенжайлар тізімінен пайдалырақ.

Жариялау жағындағы интерфейс атауы сүзгісі шеткі нүктені қабылдаушы жақ оны көрмей тұрып жоя алады. Тек бір бағыт қателессе, екі түйінді де тексеріңіз.

Қол алысудан кейін overlay қатынау ережелері қолданылады

Nebula брандмауэр ережелері overlay ішінде, туннель орнатылғаннан кейін жұмыс істейді. Олар хосттарды, топтарды, порттарды және хаттамаларды сәйкестендіреді және пакеттің жергілікті хостқа кіруін немесе одан шығуын шешеді. Олар төменгі желіде шеткі нүктені таңдамайды.

Бұл бөліну жиі кездесетін қате диагностиканы түсіндіреді. Оператор портқа брандмауэр ережесін қосады және әлі де қосыла алмайды, өйткені шамшырақ сүзгісі жалғыз қолжетімді шеткі нүктені жойған. Басқа оператор мекенжай сүзгісін ашады және әлі де қызметке жете алмайды, өйткені overlay брандмауэры портты қабылдамайды.

Ақауды дұрыс қабатта оқыңыз. Ешқашан аяқталмайтын қол алысу анықтауға, шеткі нүктелерді сүзуге немесе желі жолына меңзейді. Аяқталған қол алысудан кейін қызмет байланысы қабылданбаса немесе тасталса, бұл overlay брандмауэрына немесе қолданбаға меңзейді.

Рұқсат пен тыйымды араластырғанда әдепкі мәнді оқыңыз

Шамшырақ конфигурациясы тек-рұқсат, тек-тыйым және аралас тізімдерді қолдайды, ал көрсетілмеген қалған бөлік үшін әдепкі мән осы пішіндер арасында ерекшеленеді. Аралас тізімге мекенжай тобы үшін айқын әдепкі мән қажет; қалғаны бұрынғы конфигурация сияқты әрекет етеді деп болжау — жұмыс істеп тұрған шеткі нүктенің тыныш жоғалу жолы.

lighthouse:
  local_allow_list:
    interfaces:
      docker0: false
  remote_allow_list:
    192.168.0.0/16: true
    default: false

Әдепкі мәнді ереженің бөлігі ретінде қарастырыңыз, үлгі мәтін ретінде емес. Егер топтың әдепкі мәні тыйым болса, тізімде жоқ әрбір мекенжай алынып тасталады, соның ішінде конфигурация жазылғаннан кейін қосылған жаңа кеңсе ауқымы да.

Қай мекенжайлар қолжетімді болуы тиіс екенін жазып алыңыз және екі жақтан тексеріңіз. Бір серіктес жұбы үшін жұмыс істейтін сүзгі, жалғыз ортақ жолы тізімнен шығарылған мекенжайды қолданатын басқа жұп үшін сәтсіз болуы мүмкін.

Тікелей шеткі нүкте қолжетімсіз болса, relay қолданыңыз

Егер әрбір үміткер шеткі нүкте сүзіліп қалса немесе қолжетімсіз болса, жауап — сіз сенбейтін мекенжайларды қайта қабылдайтын кеңірек рұқсат тізімі емес. Тікелей байланыс мүмкін болмағанда Nebula relay конфигурациясы баламалы серіктес жолын ұсынады.

Relay тасымалдау мен анықтауды шешеді, авторизацияны емес, және ол брандмауэрді кеңейтпейді. overlay брандмауэры қандай қызметтерді қолдануға болатынын әлі де шешеді, ал relay шамшырақ сүзуін қатынауды бақылау механизміне айналдырмайды.

Тікелей шеткі нүктелерді өшіріп, relay жолын тексеріңіз және көзделген қызмет әлі жұмыс істейтінін, ал көзделмегені жұмыс істемейтінін растаңыз. Сол бір тест тасымалдау түзетуін саясат өзгерісінен ажыратады және екі қабатты адал ұстайды.

Қатысты мақалалар