Nebula ಲೈಟ್ಹೌಸ್ ಫಿಲ್ಟರ್ಗಳು ಮತ್ತು ಫೈರ್ವಾಲ್: ಪ್ರತಿಯೊಂದೂ ಏನನ್ನು ತಡೆಯುತ್ತದೆ

ತಪ್ಪು ತುದಿಯಿಂದ Nebula ಹ್ಯಾಂಡ್ಶೇಕ್ ನೋಡಿದರೆ ಎರಡೂ ಕಾರ್ಯವಿಧಾನಗಳು ಪರಸ್ಪರ ಬದಲಾಯಿಸಬಹುದಾದಂತೆ ಕಾಣುತ್ತವೆ. ಒಂದು ನೋಡ್ ಲೈಟ್ಹೌಸ್ಗೆ ಯಾವ ವಿಳಾಸಗಳನ್ನು ತಿಳಿಸುತ್ತದೆ ಮತ್ತು ಯಾವ ದೂರದ ವಿಳಾಸಗಳನ್ನು ಪ್ರಯತ್ನಿಸುತ್ತದೆ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ; ಇನ್ನೊಂದು ಸುರಂಗ ಅಸ್ತಿತ್ವದಲ್ಲಿದ್ದ ನಂತರ ಏನು ಹಾದುಹೋಗಬಹುದು ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ. ಯಾವುದೇ ಫೈರ್ವಾಲ್ ನಿಯಮ ಮೌಲ್ಯಮಾಪನಗೊಳ್ಳುವ ಮೊದಲೇ ಫಿಲ್ಟರ್ ಸಂಪರ್ಕವನ್ನು ನಿಲ್ಲಿಸಬಹುದು, ಮತ್ತು ಫೈರ್ವಾಲ್ ನಿಯಮವು ಅನ್ವೇಷಣೆ ತೆಗೆದುಹಾಕಿದ ಎಂಡ್ಪಾಯಿಂಟ್ ಅನ್ನು ಪುನರುಜ್ಜೀವನಗೊಳಿಸಲು ಸಾಧ್ಯವಿಲ್ಲ. ಎರಡೂ ಪದರಗಳು ಬೇರೆ ಬೇರೆ ಪ್ರಶ್ನೆಗಳಿಗೆ ಉತ್ತರಿಸುತ್ತವೆ, ಮತ್ತು ಅವು ಕಾರ್ಯನಿರ್ವಹಿಸುವ ಕ್ರಮವೇ ಕೀಲಿ.

ಒಂದು ಸಂಪರ್ಕವನ್ನು ನಾಲ್ಕು ಹಂತಗಳಲ್ಲಿ ಅನುಸರಿಸಿ: ಘೋಷಿಸಿದ ಸ್ಥಳೀಯ ವಿಳಾಸ, ಪರಿಗಣಿಸಿದ ದೂರದ ಎಂಡ್ಪಾಯಿಂಟ್, ಹ್ಯಾಂಡ್ಶೇಕ್ ಮತ್ತು ಓವರ್ಲೇ ಸಂಚಾರ. ಪ್ರತಿ ಹಂತಕ್ಕೂ ತನ್ನದೇ ಸಂರಚನೆ ಮತ್ತು ತನ್ನದೇ ವೈಫಲ್ಯದ ಗುರುತು ಇದೆ.

ನೋಡ್ ಘೋಷಿಸುವ ಸ್ಥಳೀಯ ವಿಳಾಸದಿಂದ ಪ್ರಾರಂಭಿಸಿ

local_allow_list ಲೈಟ್ಹೌಸ್ಗಳಿಗೆ ವರದಿ ಮಾಡುವ ಮೊದಲು ಈ ಹೋಸ್ಟ್ನ ಸ್ಥಳೀಯ ವಿಳಾಸಗಳನ್ನು ಫಿಲ್ಟರ್ ಮಾಡುತ್ತದೆ. ನಮೂದುಗಳು ವಿಳಾಸ ಶ್ರೇಣಿಗಳಾಗಿರಬಹುದು, ಮತ್ತು ಸಂರಚನೆ ಇಂಟರ್ಫೇಸ್-ಹೆಸರಿನ ಮಾದರಿಗಳನ್ನೂ ಬೆಂಬಲಿಸುತ್ತದೆ. ಹೋಸ್ಟ್ನಲ್ಲಿ ಕಂಟೇನರ್ ಸೇತುವೆಗಳು ಅಥವಾ ಪೀರ್ ಎಂಡ್ಪಾಯಿಂಟ್ಗಳಾಗಬಾರದ ಹೆಚ್ಚುವರಿ ಸುರಂಗ ಇಂಟರ್ಫೇಸ್ಗಳಿದ್ದಾಗ ಇದು ಉಪಯುಕ್ತ.

ಹೋಸ್ಟ್ನ ಇಂಟರ್ಫೇಸ್ಗಳನ್ನು ಪರಿಶೀಲಿಸಿ ಮತ್ತು ದೂರದ ಪೀರ್ ನಿಜವಾಗಿ ಯಾವುದನ್ನು ತಲುಪಬಹುದು ಎಂದು ಕೇಳಿ. Docker ಸೇತುವೆ ವಿಳಾಸ ಆ ಹೋಸ್ಟ್ಗೆ ಸ್ಥಳೀಯ ಮತ್ತು ಬೇರೆ ನೆಟ್ವರ್ಕ್ನ ಪೀರ್ನಿಗೆ ನಿರುಪಯುಕ್ತ. ಅದನ್ನು ಘೋಷಿಸುವುದು ಅನ್ವೇಷಣೆಯನ್ನು ವ್ಯರ್ಥ ಮಾಡುತ್ತದೆ ಮತ್ತು ಎಂದಿಗೂ ಉತ್ತರಿಸದ ವಿಳಾಸದ ಕಡೆಗೆ ಪೀರ್ ಅನ್ನು ಕಳುಹಿಸಬಹುದು. ಪೀರ್ ರೂಟ್ ಮಾಡಲಾಗದ ಯಾವುದೇ ವಿಷಯ ಲೈಟ್ಹೌಸ್ ಪ್ರತಿಕ್ರಿಯೆಯಲ್ಲಿ ಗದ್ದಲ.

ಇಲ್ಲಿ ಸಂಕುಚಿತ ಅನುಮತಿ ಪಟ್ಟಿ ವಿಶಾಲ ನಿಷೇಧ ಪಟ್ಟಿಗಿಂತ ಸುರಕ್ಷಿತ. ಕೇವಲ ಅನುಮತಿ ನಮೂದುಗಳಿದ್ದರೆ, ನಿರ್ದಿಷ್ಟಪಡಿಸದ ಉಳಿದ ಭಾಗ ಹೊರಗುಳಿಯುತ್ತದೆ; ನಂತರ ನಿಷೇಧ ನಮೂದು ಸೇರಿಸುವುದು ಡೀಫಾಲ್ಟ್ ತರ್ಕವನ್ನು ಬದಲಿಸುತ್ತದೆ ಮತ್ತು ತನ್ನದೇ ಪರಿಶೀಲನೆ ಬೇಕಾಗುತ್ತದೆ. ಆ ಬದಲಾವಣೆ ಡೀಫಾಲ್ಟ್ ಮೇಲೆ ಎರಡನೇ ನೋಟಕ್ಕೆ ಅರ್ಹ.

ನಂತರ ದೂರದ ಎಂಡ್ಪಾಯಿಂಟ್ ಆಯ್ಕೆಯನ್ನು ಗಮನಿಸಿ

remote_allow_list ಹ್ಯಾಂಡ್ಶೇಕ್ ಸಮಯದಲ್ಲಿ ಈ ಹೋಸ್ಟ್ ದೂರದ ಪೀರ್ನಿಗೆ ಪರಿಗಣಿಸುವ ವಿಳಾಸಗಳನ್ನು ಫಿಲ್ಟರ್ ಮಾಡುತ್ತದೆ. ಇದು ಅಂಡರ್ಲೇ ವಿಳಾಸಕ್ಕೆ ಅನ್ವಯಿಸುತ್ತದೆ, ಸುರಂಗ ಏರಿದ ನಂತರ ಪೀರ್ ಬಳಸುವ ಓವರ್ಲೇ ವಿಳಾಸಕ್ಕೆ ಅಲ್ಲ.

ಖಾಸಗಿ ಶ್ರೇಣಿ ಹಂಚಿದ ಕಚೇರಿ ನೆಟ್ವರ್ಕ್ನಲ್ಲಿ ಸಂಪೂರ್ಣ ಉಪಯುಕ್ತವಾಗಿರಬಹುದು ಮತ್ತು ಎರಡೂ ಹೋಸ್ಟ್ಗಳು 10.0.0.0/8 ಬಳಸುವ ಸಂಬಂಧವಿಲ್ಲದ ನೆಟ್ವರ್ಕ್ಗಳಲ್ಲಿದ್ದಾಗ ಅರ್ಥಹೀನವಾಗುತ್ತದೆ. ರೂಟ್ ಮಾಡಬಹುದಾದ ಮಾರ್ಗವನ್ನು ಆದ್ಯತೆ ನೀಡಲು ಮತ್ತು ಆಕಸ್ಮಿಕವನ್ನು ನಿರ್ಲಕ್ಷಿಸಲು ಫಿಲ್ಟರ್ ಅನುಮತಿಸುತ್ತದೆ.

ಪೀರ್ ಸಂಪರ್ಕಿಸಲು ವಿಫಲವಾದಾಗ, ಪ್ರಯತ್ನಿಸುತ್ತಿರುವ ವಿಳಾಸವನ್ನು ಅದಕ್ಕೆ ಹೊಂದುವ ನಿಯಮದೊಂದಿಗೆ ಹೋಲಿಸಿ. ಹ್ಯಾಂಡ್ಶೇಕ್ ಲಾಗ್ಗಳನ್ನು ಸಕ್ರಿಯಗೊಳಿಸಿ ಮತ್ತು ಆಯ್ಕೆಯಾದ ದೂರದ ವಿಳಾಸವನ್ನು ಓದಿ; ಲಾಗ್ ಸಾಲು ಫಿಲ್ಟರಿಂಗ್ ದಾಟಿದ ಎಂಡ್ಪಾಯಿಂಟ್ ಅನ್ನು ಹೆಸರಿಸುತ್ತದೆ, ಇದು ಪೀರ್ ಹೊಂದಿರುವ ವಿಳಾಸಗಳ ಪಟ್ಟಿಗಿಂತ ಹೆಚ್ಚು ಉಪಯುಕ್ತ.

ಘೋಷಣೆ ಮಾಡುವ ಬದಿಯ ಇಂಟರ್ಫೇಸ್-ಹೆಸರಿನ ಫಿಲ್ಟರ್ ಸ್ವೀಕರಿಸುವ ಬದಿ ಅದನ್ನು ನೋಡುವ ಮೊದಲೇ ಎಂಡ್ಪಾಯಿಂಟ್ ತೆಗೆಯಬಹುದು. ಕೇವಲ ಒಂದು ದಿಕ್ಕು ವಿಫಲವಾದಾಗ ಎರಡೂ ನೋಡ್ಗಳನ್ನು ಪರಿಶೀಲಿಸಿ.

ಹ್ಯಾಂಡ್ಶೇಕ್ ನಂತರ ಓವರ್ಲೇ ಪ್ರವೇಶ ನಿಯಮಗಳು ಅನ್ವಯಿಸುತ್ತವೆ

Nebula ಫೈರ್ವಾಲ್ ನಿಯಮಗಳು ಓವರ್ಲೇ ಒಳಗೆ, ಸುರಂಗ ಸ್ಥಾಪನೆಯಾದ ನಂತರ ಕೆಲಸ ಮಾಡುತ್ತವೆ. ಅವು ಹೋಸ್ಟ್ಗಳು, ಗುಂಪುಗಳು, ಪೋರ್ಟ್ಗಳು ಮತ್ತು ಪ್ರೋಟೋಕಾಲ್ಗಳನ್ನು ಹೊಂದಿಸುತ್ತವೆ ಮತ್ತು ಪ್ಯಾಕೆಟ್ ಸ್ಥಳೀಯ ಹೋಸ್ಟ್ ಪ್ರವೇಶಿಸಬಹುದೇ ಅಥವಾ ನಿರ್ಗಮಿಸಬಹುದೇ ಎಂದು ನಿರ್ಧರಿಸುತ್ತವೆ. ಅವು ಅಂಡರ್ಲೇ ಎಂಡ್ಪಾಯಿಂಟ್ ಆಯ್ಕೆ ಮಾಡುವುದಿಲ್ಲ.

ಈ ಪ್ರತ್ಯೇಕತೆ ಸಾಮಾನ್ಯ ತಪ್ಪು ನಿರ್ಣಯವನ್ನು ವಿವರಿಸುತ್ತದೆ. ನಿರ್ವಾಹಕರು ಪೋರ್ಟ್ಗೆ ಫೈರ್ವಾಲ್ ನಿಯಮ ಸೇರಿಸುತ್ತಾರೆ ಮತ್ತು ಇನ್ನೂ ಸಂಪರ್ಕಿಸಲಾಗುವುದಿಲ್ಲ, ಏಕೆಂದರೆ ಲೈಟ್ಹೌಸ್ ಫಿಲ್ಟರ್ ಏಕೈಕ ತಲುಪಬಹುದಾದ ಎಂಡ್ಪಾಯಿಂಟ್ ತೆಗೆದುಹಾಕಿತ್ತು. ಇನ್ನೊಬ್ಬ ನಿರ್ವಾಹಕರು ವಿಳಾಸ ಫಿಲ್ಟರ್ ತೆರೆದರೂ ಸೇವೆಗೆ ತಲುಪುವುದಿಲ್ಲ, ಏಕೆಂದರೆ ಓವರ್ಲೇ ಫೈರ್ವಾಲ್ ಪೋರ್ಟ್ ಅನ್ನು ತಿರಸ್ಕರಿಸುತ್ತದೆ.

ವೈಫಲ್ಯವನ್ನು ಸರಿಯಾದ ಪದರದಲ್ಲಿ ಓದಿ. ಎಂದಿಗೂ ಪೂರ್ಣಗೊಳ್ಳದ ಹ್ಯಾಂಡ್ಶೇಕ್ ಅನ್ವೇಷಣೆ, ಎಂಡ್ಪಾಯಿಂಟ್ ಫಿಲ್ಟರಿಂಗ್ ಅಥವಾ ನೆಟ್ವರ್ಕ್ ಮಾರ್ಗವನ್ನು ಸೂಚಿಸುತ್ತದೆ. ಪೂರ್ಣಗೊಂಡ ಹ್ಯಾಂಡ್ಶೇಕ್ ನಂತರ ಸೇವಾ ಸಂಪರ್ಕ ತಿರಸ್ಕೃತವಾದರೆ ಅಥವಾ ಕೈಬಿಟ್ಟರೆ ಅದು ಓವರ್ಲೇ ಫೈರ್ವಾಲ್ ಅಥವಾ ಅಪ್ಲಿಕೇಶನ್ ಅನ್ನು ಸೂಚಿಸುತ್ತದೆ.

ಅನುಮತಿ ಮತ್ತು ನಿಷೇಧ ಮಿಶ್ರಣ ಮಾಡುವಾಗ ಡೀಫಾಲ್ಟ್ ಓದಿ

ಲೈಟ್ಹೌಸ್ ಸಂರಚನೆ ಕೇವಲ-ಅನುಮತಿ, ಕೇವಲ-ನಿಷೇಧ ಮತ್ತು ಮಿಶ್ರ ಪಟ್ಟಿಗಳನ್ನು ಬೆಂಬಲಿಸುತ್ತದೆ, ಮತ್ತು ನಿರ್ದಿಷ್ಟಪಡಿಸದ ಉಳಿದ ಭಾಗಕ್ಕೆ ಡೀಫಾಲ್ಟ್ ಈ ಆಕಾರಗಳ ನಡುವೆ ಭಿನ್ನವಾಗಿದೆ. ಮಿಶ್ರ ಪಟ್ಟಿಗೆ ವಿಳಾಸ ಕುಟುಂಬಕ್ಕೆ ಸ್ಪಷ್ಟ ಡೀಫಾಲ್ಟ್ ಬೇಕು; ಉಳಿದ ಭಾಗ ಹಿಂದಿನ ಸಂರಚನೆಯಂತೆ ವರ್ತಿಸುತ್ತದೆ ಎಂದು ಭಾವಿಸುವುದೇ ಕೆಲಸ ಮಾಡುತ್ತಿದ್ದ ಎಂಡ್ಪಾಯಿಂಟ್ ಸದ್ದಿಲ್ಲದೆ ಮಾಯವಾಗುವ ದಾರಿ.

lighthouse:
  local_allow_list:
    interfaces:
      docker0: false
  remote_allow_list:
    192.168.0.0/16: true
    default: false

ಡೀಫಾಲ್ಟ್ ಅನ್ನು ನಿಯಮದ ಭಾಗವಾಗಿ ಪರಿಗಣಿಸಿ, ಟೆಂಪ್ಲೇಟ್ ಪಠ್ಯವಾಗಿ ಅಲ್ಲ. ಕುಟುಂಬದ ಡೀಫಾಲ್ಟ್ ನಿಷೇಧವಾಗಿದ್ದರೆ, ಪಟ್ಟಿಯಲ್ಲಿಲ್ಲದ ಪ್ರತಿ ವಿಳಾಸ ಹೊರಗುಳಿಯುತ್ತದೆ, ಸಂರಚನೆ ಬರೆದ ನಂತರ ಸೇರಿಸಿದ ಹೊಸ ಕಚೇರಿ ಶ್ರೇಣಿ ಸಹ.

ಯಾವ ವಿಳಾಸಗಳು ತಲುಪಬಹುದಾಗಿರಬೇಕಿತ್ತು ಎಂದು ದಾಖಲಿಸಿ ಮತ್ತು ಎರಡೂ ಕಡೆಯಿಂದ ಪರೀಕ್ಷಿಸಿ. ಒಂದು ಪೀರ್ ಜೋಡಿಗೆ ಕೆಲಸ ಮಾಡುವ ಫಿಲ್ಟರ್, ಏಕೈಕ ಸಾಮಾನ್ಯ ಮಾರ್ಗವು ಪಟ್ಟಿ ಹೊರಗಿಡುವ ವಿಳಾಸವನ್ನು ಬಳಸುವ ಇನ್ನೊಂದು ಜೋಡಿಗೆ ವಿಫಲವಾಗಬಹುದು.

ನೇರ ಎಂಡ್ಪಾಯಿಂಟ್ ತಲುಪಲಾಗದಿದ್ದಾಗ ರಿಲೇ ಬಳಸಿ

ಪ್ರತಿ ಅಭ್ಯರ್ಥಿ ಎಂಡ್ಪಾಯಿಂಟ್ ಫಿಲ್ಟರ್ ಆಗಿದ್ದರೆ ಅಥವಾ ತಲುಪಲಾಗದಿದ್ದರೆ, ಉತ್ತರವು ನೀವು ನಂಬದ ವಿಳಾಸಗಳನ್ನು ಮತ್ತೆ ಸ್ವೀಕರಿಸುವ ವಿಶಾಲ ಅನುಮತಿ ಪಟ್ಟಿ ಅಲ್ಲ. ನೇರ ಸಂಪರ್ಕ ಸಾಧ್ಯವಿಲ್ಲದಿದ್ದಾಗ Nebula ನ ರಿಲೇ ಸಂರಚನೆ ಪರ್ಯಾಯ ಪೀರ್ ಮಾರ್ಗವನ್ನು ಒದಗಿಸುತ್ತದೆ.

ರಿಲೇ ಸಾರಿಗೆ ಮತ್ತು ಅನ್ವೇಷಣೆಯನ್ನು ಪರಿಹರಿಸುತ್ತದೆ, ಅಧಿಕಾರವನ್ನು ಅಲ್ಲ, ಮತ್ತು ಅದು ಫೈರ್ವಾಲ್ ಅನ್ನು ವಿಸ್ತರಿಸುವುದಿಲ್ಲ. ಓವರ್ಲೇ ಫೈರ್ವಾಲ್ ಯಾವ ಸೇವೆಗಳನ್ನು ಬಳಸಬಹುದು ಎಂಬುದನ್ನು ಇನ್ನೂ ನಿರ್ಧರಿಸುತ್ತದೆ, ಮತ್ತು ರಿಲೇ ಲೈಟ್ಹೌಸ್ ಫಿಲ್ಟರಿಂಗ್ ಅನ್ನು ಪ್ರವೇಶ ನಿಯಂತ್ರಣ ಕಾರ್ಯವಿಧಾನವಾಗಿ ಮಾಡುವುದಿಲ್ಲ.

ನೇರ ಎಂಡ್ಪಾಯಿಂಟ್ಗಳನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸಿ ರಿಲೇ ಮಾರ್ಗವನ್ನು ಪರೀಕ್ಷಿಸಿ ಮತ್ತು ಉದ್ದೇಶಿತ ಸೇವೆ ಇನ್ನೂ ಕೆಲಸ ಮಾಡುತ್ತದೆ, ಉದ್ದೇಶಿಸದ ಸೇವೆ ಮಾಡುವುದಿಲ್ಲ ಎಂದು ಖಚಿತಪಡಿಸಿ. ಆ ಒಂದೇ ಪರೀಕ್ಷೆ ಸಾರಿಗೆ ಸರಿಪಡಿಸುವಿಕೆಯನ್ನು ನೀತಿ ಬದಲಾವಣೆಯಿಂದ ಬೇರ್ಪಡಿಸುತ್ತದೆ ಮತ್ತು ಎರಡೂ ಪದರಗಳನ್ನು ಪ್ರಾಮಾಣಿಕವಾಗಿ ಇಡುತ್ತದೆ.