ZeroTier ನಿಂದ LAN ಗೆ: UFW ರೂಟ್ ನಿಯಮಗಳು, ಪೋರ್ಟ್ ಅನುಮತಿ ಅಲ್ಲ

ZeroTier ಸದಸ್ಯರ ಮೂಲಕ ಕಚೇರಿಯ LAN ನಲ್ಲಿರುವ ಪ್ರಿಂಟರ್ ತಲುಪುವುದು ಒಂದೇ ನಿಯಮದಂತೆ ಕೇಳಿಸುತ್ತದೆ, ಆದರೆ ವಾಸ್ತವವಾಗಿ ಅದು ಮೂರು ವಿಭಿನ್ನ ಸ್ಥಳಗಳಲ್ಲಿ ಮೂರು ನಿರ್ಧಾರಗಳು. ಓವರ್‌ಲೇಯು LAN ಎಲ್ಲಿದೆ ಎಂದು ತಿಳಿಯಬೇಕು, Linux ಹೋಸ್ಟ್ ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ಫಾರ್ವರ್ಡ್ ಮಾಡಲು ಸಿದ್ಧವಾಗಿರಬೇಕು, ಮತ್ತು LAN ಉತ್ತರವನ್ನು ಹೇಗೆ ಹಿಂತಿರುಗಿಸಬೇಕು ಎಂದು ತಿಳಿಯಬೇಕು. ಗೇಟ್‌ವೇಯಲ್ಲಿ ಪೋರ್ಟ್ ತೆರೆಯುವ ಇನ್‌ಬೌಂಡ್ ನಿಯಮ ಅವುಗಳಲ್ಲಿ ಯಾವುದನ್ನೂ ಸ್ಪರ್ಶಿಸುವುದಿಲ್ಲ. ಇದು ಸರಿಯಾದ ಹೋಸ್ಟ್‌ನಲ್ಲಿ ತಪ್ಪು ಸಾಧನ.

ಮೂರು ಕೆಲಸಗಳು, ಮೂರು ಮಾಲೀಕರು

ನಿರ್ವಹಿತ ರೂಟ್ ZeroTier ನೆಟ್‌ವರ್ಕ್ ಸಂರಚನೆಗೆ ಸೇರಿದೆ. ಒಂದು ಪ್ರಿಫಿಕ್ಸ್ ನಿರ್ದಿಷ್ಟ ಸದಸ್ಯ ವಿಳಾಸದ ಮೂಲಕ ತಲುಪಬಹುದು ಎಂದು ಅದು ಸದಸ್ಯರಿಗೆ ತಿಳಿಸುತ್ತದೆ.

ಫಾರ್ವರ್ಡಿಂಗ್ Linux ಕರ್ನಲ್‌ಗೆ ಮತ್ತು ಅದರ ಫೈರ್‌ವಾಲ್ ನೀತಿಯನ್ನು ಹೊಂದಿರುವವರಿಗೆ ಸೇರಿದೆ. ಓವರ್‌ಲೇಯಲ್ಲಿ ಬರುವ ಪ್ಯಾಕೆಟ್ ಮತ್ತೆ ಭೌತಿಕ ಇಂಟರ್‌ಫೇಸ್‌ನಿಂದ ಹೊರಡುತ್ತದೆಯೇ ಎಂದು ಅದು ನಿರ್ಧರಿಸುತ್ತದೆ. ಫಾರ್ವರ್ಡ್ ಮಾಡದ ಹೋಸ್ಟ್ ಪ್ಯಾಕೆಟ್ ಸ್ವೀಕರಿಸಿದ ನಂತರ ಅದನ್ನು ಸದ್ದಿಲ್ಲದೆ ಬಿಟ್ಟುಬಿಡುತ್ತದೆ. ಕಳುಹಿಸುವವರಿಗೆ ಸಮಯ ಮೀರುವಿಕೆ ಕಾಣಿಸುತ್ತದೆ ಮತ್ತು ಸೇವಾ ಲಾಗ್‌ನಲ್ಲಿ ಏನೂ ಕಾಣಿಸುವುದಿಲ್ಲ.

ಮರಳುವ ಮಾರ್ಗ LAN ಗೆ ಸೇರಿದೆ. ಅದರ ಹೋಸ್ಟ್‌ಗಳು ಮತ್ತು ರೂಟರ್, ಓವರ್‌ಲೇ ಪ್ರಿಫಿಕ್ಸ್ ನಿಮ್ಮ ಗೇಟ್‌ವೇಯ LAN ವಿಳಾಸದ ಮೂಲಕ ತಲುಪಬಹುದು ಎಂದು ತಿಳಿಯಬೇಕು, ಇಲ್ಲದಿದ್ದರೆ ಈ ಪ್ರಶ್ನೆಯೇ ಏಳದಂತೆ ಯಾವುದೋ ಟ್ರಾಫಿಕ್ ಅನ್ನು ಅನುವಾದಿಸಬೇಕು.

ಇವುಗಳಲ್ಲಿ ಪ್ರತಿಯೊಂದೂ ಸರಿಯಾಗಿದ್ದು ಉಳಿದವು ವಿಫಲವಾಗಬಹುದು, ಆದ್ದರಿಂದ ಗೇಟ್‌ವೇಗೆ ಪಿಂಗ್ ಮಾಡುವ ಪರೀಕ್ಷೆ ಅದರ ಹಿಂದಿನ ಸೇವೆಯ ಬಗ್ಗೆ ಏನನ್ನೂ ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ.

ನಿರ್ವಹಿತ ರೂಟ್ ಅನ್ನು ಸದಸ್ಯರ ಕಡೆಗೆ ತಿರುಗಿಸಿ

ಉದ್ದೇಶಿತ LAN ಪ್ರಿಫಿಕ್ಸ್‌ಗಾಗಿ ಗೇಟ್‌ವೇಯ ಓವರ್‌ಲೇ ವಿಳಾಸದ ಮೂಲಕ ರೂಟ್ ಸೇರಿಸಿ, ಅದರ LAN ವಿಳಾಸದ ಮೂಲಕವಲ್ಲ. ಓವರ್‌ಲೇ ವಿಳಾಸವು ಇತರ ಸದಸ್ಯರು ತಲುಪಬಹುದಾದದ್ದು; LAN ವಿಳಾಸಕ್ಕೆ ತಂತಿಯ ಮೇಲೆ ಮಾತ್ರ ಅರ್ಥವಿದೆ.

ವಿನ್ಯಾಸ ಕೆಲಸ ಮಾಡಲು ಸದಸ್ಯರು ನಿರ್ವಹಿತ ರೂಟ್‌ಗಳನ್ನು ಸ್ವೀಕರಿಸಬೇಕು, ಮತ್ತು ಅವರ ಸ್ವಂತ ಸ್ಥಳೀಯ ನೆಟ್‌ವರ್ಕ್‌ಗಳು ನೀವು ಘೋಷಿಸುವ ಪ್ರಿಫಿಕ್ಸ್ ಅನ್ನು ಈಗಾಗಲೇ ಬಳಸುತ್ತಿರಬಾರದು. ಮನೆಯಲ್ಲಿ 192.168.60.0/24 ನಲ್ಲಿರುವ ದೂರದ ಲ್ಯಾಪ್‌ಟಾಪ್ ಕೂಡ ಓವರ್‌ಲೇ ಮೂಲಕ 192.168.60.0/24 ಅನ್ನು ರೂಟ್ ಮಾಡಲಾಗದು.

ಘೋಷಿತ ಪ್ರಿಫಿಕ್ಸ್ ಅನ್ನು ಕಾರ್ಯ ಅನುಮತಿಸುವಷ್ಟು ಕಿರಿದಾಗಿ ಇರಿಸಿ. ಆದ್ಯತೆಯ ಮೇಲೆ ಪ್ರಭಾವ ಬೀರಲು ದೊಡ್ಡ ಸಮುಚ್ಚಯವನ್ನು ಘೋಷಿಸುವುದು ನಿಮ್ಮದಲ್ಲದ ವಿಳಾಸ ಸ್ಥಳವನ್ನೂ ಕ್ಲೈಮ್ ಮಾಡಬಹುದು, ಮತ್ತು ಉಂಟಾಗುವ ಘರ್ಷಣೆ ಎರಡೂ ನೆಟ್‌ವರ್ಕ್‌ಗಳಿಗೆ ಸಂಪರ್ಕಗೊಂಡ ಸಾಧನಗಳಲ್ಲಿ ಕಾಣಿಸುತ್ತದೆ. ಅದು ಸದಸ್ಯರೊಬ್ಬರನ್ನು ಎಲ್ಲಿಗೂ ಸಾಗದ ಮಾರ್ಗಕ್ಕೆ ಆದ್ಯತೆ ನೀಡುವಂತೆಯೂ ಮಾಡಬಹುದು. ರೂಟ್ ಅನ್ನು ಪ್ರಾಮಾಣಿಕವಾಗಿ ಇರಿಸಿ, ಉಳಿದದ್ದನ್ನು ನೀತಿಗೆ ಬಿಡಿ.

ಪ್ರಿಫಿಕ್ಸ್ ಮತ್ತು ಸದಸ್ಯ ವಿಳಾಸವನ್ನು ಫೈರ್‌ವಾಲ್ ನಿಯಮಗಳಿರುವ ಅದೇ ಟಿಪ್ಪಣಿಯಲ್ಲಿ ಬರೆಯಿರಿ, ಏಕೆಂದರೆ ಅತ್ಯಂತ ಸಾಮಾನ್ಯ ವೈಫಲ್ಯ ತಪ್ಪು ಸದಸ್ಯರ ಕಡೆಗೆ ತೋರಿಸುವ ರೂಟ್.

ಕರ್ನಲ್‌ನಲ್ಲಿ ಟ್ರಾನ್ಸಿಟ್ ಸಕ್ರಿಯಗೊಳಿಸಿ

ಏನನ್ನೂ ಬದಲಿಸುವ ಮೊದಲು ಚಾಲ್ತಿಯಲ್ಲಿರುವ ಫಾರ್ವರ್ಡಿಂಗ್ ಮೌಲ್ಯವನ್ನು ಓದಿ, ನಂತರ ಸೆಟ್ಟಿಂಗ್ ಅನ್ನು ನಿಮ್ಮ ಸಿಸ್ಟಂ ಈಗಾಗಲೇ ಬಳಸುವ ವ್ಯವಸ್ಥೆಯ ಮೂಲಕ ಶಾಶ್ವತಗೊಳಿಸಿ, ಮರುಬೂಟ್‌ನಲ್ಲಿ ಮಾಯವಾಗುವ ಒಂದು ಬಾರಿಯ ಆದೇಶದ ಮೂಲಕವಲ್ಲ.

ನೀತಿ UFW ನದಾಗಿದ್ದರೆ, ಅದರ ರೂಟ್ ನಿಯಮಗಳು ಮೂಲ, ಗಮ್ಯ ಮತ್ತು ಇಂಟರ್‌ಫೇಸ್ ಜೋಡಿಗೆ ಫಾರ್ವರ್ಡಿಂಗ್ ಅನ್ನು ವ್ಯಕ್ತಪಡಿಸುತ್ತವೆ. ಅವು ಗೇಟ್‌ವೇಯಲ್ಲಿಯೇ ಸೇವೆ ತೆರೆಯುವ ಇನ್‌ಬೌಂಡ್ ನಿಯಮಗಳಿಂದ ಬೇರೆಯಾಗಿವೆ:

sysctl net.ipv4.ip_forward
sudo ufw route allow in on zt3f2a1c9d out on eth0 proto tcp to 192.168.60.20 port 443
sudo ufw status verbose

ಇಂಟರ್‌ಫೇಸ್ ಹೆಸರು ಆ ಹೋಸ್ಟ್‌ನ ನಿಜವಾದ ಓವರ್‌ಲೇ ಸಾಧನ, ಅದನ್ನು ನೀವು ip link ನಿಂದ ಓದಬಹುದು; ಅದು ಎಲ್ಲಾ ಸ್ಥಾಪನೆಗಳಲ್ಲಿ ಸ್ಥಿರವಾದ ಸ್ಟ್ರಿಂಗ್ ಅಲ್ಲ. ಹೋಸ್ಟ್ ಡೀಫಾಲ್ಟ್ ಆಗಿ ಫಾರ್ವರ್ಡ್ ಮಾಡುತ್ತಿದ್ದು UFW ಮಾರ್ಗದಲ್ಲಿಲ್ಲದಿದ್ದರೆ, ರೂಟ್ ನಿಯಮವನ್ನು ನಿರ್ಲಕ್ಷಿಸಲಾಗುತ್ತದೆ ಮತ್ತು ಕರ್ನಲ್ ಸೆಟ್ಟಿಂಗ್‌ಗಳೇ ಮುಖ್ಯ.

ಉತ್ತರಗಳು ಹೇಗೆ ಮರಳುತ್ತವೆ ಎಂಬುದನ್ನು ಆಯ್ಕೆಮಾಡಿ

ಮೂಲ ಸಂರಕ್ಷಣೆಯೊಂದಿಗೆ LAN ಸೇವೆ ನಿಜವಾದ ಓವರ್‌ಲೇ ವಿಳಾಸವನ್ನು ನೋಡಿ ಅದಕ್ಕೆ ಉತ್ತರಿಸುತ್ತದೆ. ಅದಕ್ಕೆ LAN ಹೋಸ್ಟ್ ಅಥವಾ ಅದರ ರೂಟರ್‌ನಲ್ಲಿ ಓವರ್‌ಲೇ ಪ್ರಿಫಿಕ್ಸ್ ಅನ್ನು ನಿಮ್ಮ ಗೇಟ್‌ವೇಗೆ ತೋರಿಸುವ ರೂಟ್ ಬೇಕು, ಮತ್ತು ಅದು Linux ಪೆಟ್ಟಿಗೆಯ ಹೊರಗಿನ ಬದಲಾವಣೆ.

ಆ ರೂಟ್ ಸೇರಿಸಲು ಸಾಧ್ಯವಾಗದಿದ್ದಾಗ, ಸೀಮಿತ ಮೂಲ ಅನುವಾದವು ವಿನಂತಿಯನ್ನು LAN ನಲ್ಲಿರುವ ಗೇಟ್‌ವೇಯಿಂದ ಬಂದಂತೆ ಕಾಣಿಸುತ್ತದೆ. ಆಗ ಉತ್ತರಗಳು ಸ್ಥಳೀಯವಾಗಿ ಮರಳುತ್ತವೆ ಮತ್ತು LAN ರೂಟಿಂಗ್ ಬದಲಾಯಿಸಬೇಕಾಗಿಲ್ಲ, ಆದರೆ ಸೇವಾ ಲಾಗ್‌ಗಳಲ್ಲಿ ಮೂಲ ಮೂಲವು ಕಳೆದುಹೋಗುತ್ತದೆ.

ಅನುವಾದವನ್ನು ಓವರ್‌ಲೇ ಮೂಲ ಮತ್ತು ನಿರ್ದಿಷ್ಟ LAN ಗಮ್ಯಕ್ಕೆ ಸೀಮಿತಗೊಳಿಸಿ. LAN ಇಂಟರ್‌ಫೇಸ್‌ನಿಂದ ಹೊರಡುವ ಎಲ್ಲವನ್ನೂ ಅನುವಾದಿಸುವುದು ವಿಶಾಲ ಆವೃತ್ತಿ, ಅದು ನಂತರ ನಿಯಮಗಳನ್ನು ಓದುವ ಯಾರನ್ನಾದರೂ ಬೆಚ್ಚಿಬೀಳಿಸುತ್ತದೆ, ಮತ್ತು ತಡೆಯಬೇಕಿದ್ದ ಟ್ರಾಫಿಕ್ ಅನ್ನೂ ಮರೆಮಾಡುತ್ತದೆ.

ಎರಡೂ ಆಯ್ಕೆಗಳಲ್ಲಿ ಯಾವುದೂ LAN ನಿಂದ ಅನಿಯಂತ್ರಿತ ಓವರ್‌ಲೇ ಸದಸ್ಯರಿಗೆ ಕೇಳದ ಪ್ರವೇಶವನ್ನು ನೀಡುವುದಿಲ್ಲ. ಅದು ಬೇಕಾದರೆ ಅದು ತನ್ನದೇ ಪರಿಶೀಲನೆಯನ್ನು ಹೊಂದಿರುವ ಪ್ರತ್ಯೇಕ ನಿಯಮ.

ನಿಜವಾದ ಸದಸ್ಯರಿಂದ ಪರೀಕ್ಷಿಸಿ

ಗೇಟ್‌ವೇಯಿಂದ ಅಲ್ಲ, ಇನ್ನೊಬ್ಬ ಸದಸ್ಯರಿಂದ ಸಂಪರ್ಕಿಸಿ ಮತ್ತು ಒಂದು ಅನುಮತಿಸಿದ ಸೇವೆಯನ್ನು ಕೇಳಿ. ನಂತರ ಮುಚ್ಚಿರಬೇಕಾದ ಸೇವೆಯನ್ನು ಪ್ರಯತ್ನಿಸಿ, ಮತ್ತು ಮತ್ತೆ ಸಂಪರ್ಕಿಸಿದ ನಂತರ ಹಾಗೂ ಗೇಟ್‌ವೇ ಮರುಬೂಟ್ ಆದ ನಂತರ ಎರಡೂ ಪರೀಕ್ಷೆಗಳನ್ನು ಪುನರಾವರ್ತಿಸಿ.

ONLINE ವರದಿ ಮಾಡುವ ಸದಸ್ಯ, ಅಥವಾ ಗೇಟ್‌ವೇಯ ಓವರ್‌ಲೇ ವಿಳಾಸಕ್ಕೆ ಯಶಸ್ವಿ ಪಿಂಗ್, ರೂಟ್, ಫಾರ್ವರ್ಡ್ ನಿಯಮ ಅಥವಾ ಮರಳುವ ಮಾರ್ಗವನ್ನು ಮಾನ್ಯಗೊಳಿಸುವುದಿಲ್ಲ:

zerotier-cli listnetworks
ip -4 route get 192.168.60.20
sudo ufw status numbered

ಎರಡನೇ ಆದೇಶವು ಪ್ಯಾಕೆಟ್ LAN ಹೋಸ್ಟ್‌ಗೆ ಯಾವ ಇಂಟರ್‌ಫೇಸ್ ಬಳಸುತ್ತದೆ ಎಂದು ತೋರಿಸುತ್ತದೆ, ಮತ್ತು ಮೂರನೆಯದು ರೂಟ್ ನಿಯಮ ನೀವು ಉದ್ದೇಶಿಸಿದ ರೂಪದಲ್ಲಿದೆಯೇ ಎಂದು ತೋರಿಸುತ್ತದೆ. ಎರಡೂ ಸರಿಯಾಗಿ ಕಂಡರೂ ಸೇವೆ ಇನ್ನೂ ಸಮಯ ಮೀರುತ್ತಿದ್ದರೆ, ಉಳಿದ ಶಂಕಿತ ಮರಳುವ ಮಾರ್ಗ.