ZeroTier аркылуу HTTP шифрланганбы? Катмар кайда бүтөрүн текшериңиз

Бул текшерүүлөрдү ирети менен аткарыңыз жана биринчи ийгиликсиз болгон жерде токтоңуз, анткени ар бир жооп кийинки кадамдын маанисин өзгөртөт. Чыныгы суроо тар: ZeroTier тармагындагы жөнөкөй HTTP интернет аркылуу ачык өтөбү? Эки ZeroTier түйүнүнүн ортосунда адатта жок, анткени катмар ошол секирикти шифрлайт. Бирок бул эки акыркы чекит жөнүндөгү билдирүү, сурам өткөн ар бир сегмент жөнүндө эмес. Маршрутизатор, көпүрө же тескери прокси акыркы чекитти жылдырат, ачык текст анын артында кайра башталат.

Текшерүү 1: браузер туташкан даректи табыңыз

URLди машинанын чындыгында эмнеси бар экени менен салыштырыңыз. ip -brief addr show zt интерфейсин жана тармак контроллери берген катмар дарегин тизмелейт; эгер URL ошол даректи колдонсо, браузердин сокети катмарга кирет.

Эгер ат анын ордуна LAN дарегине чечилсе, катмар такыр катышпашы мүмкүн, клиенттин статус көрсөткүчү эмнени айтпасын. ip route get 10.147.20.5 ядро тандай турган интерфейс менен булак дарегин басып чыгарат, ошондуктан ал жердеги zt интерфейси пакеттин катмарга кирерин, ал эми физикалык NIC атыңыз кирбей турганын билдирет. Аттар дагы бир катмар кошот: катмар дарегине шилтеме кылган жазуу LAN дарегине шилтеме кылгандан башкача жүрөт, ал эми издөө суффикси же hosts файлындагы жазуу кайсынысын алаарыңызды тынч чече алат.

Текшерүү 2: эки учтун тең теңдеш экенин, шифр чечүүчү реле эмес экенин ырастаңыз

ZeroTier түйүндөрдүн ортосунда шифрлайт, ал эми түз жол жок жерде пакеттер аларды дагы эле шифрленген бойдон өткөрүп жиберген тамыр аркылуу өткөрүлөт. zerotier-cli peers ар бир түйүндүн жолун кечигүү саны менен DIRECT же RELAY деп белгилейт. Өткөрүлгөн жол барып-келүүнү талап кылат, купуялуулукту эмес.

Жоопту чындыгында өзгөрткөн нерсе — чыныгы акыркы чекит болуп саналбаган мүчө. Каршы тарап физикалык LANга маршруттаган же көпүрө курган ZeroTier мүчөсү болсо, катмар ошол мүчөдө аяктайт, ал эми кийинки секирик жөнөкөй Ethernet.

Текшерүү 3: сурам кайда окула турган болорун байкаңыз

Баракты тейлейт деп ойлогон хостто кайра жүктөө учурунда катмар интерфейсин кармаңыз: sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'. Ошол чыгарылыштагы окула турган сурам сабы трафиктин ошол хостко шифры чечилген түрдө жеткенин далилдейт, жана бул сиз издеген чек.

Анан LANдын калган бөлүгүнө караган интерфейсте кармаңыз. Эгер ошол сурам ал жерде ачык көрүнсө, ал колдонмого жетээрден мурун катмардан чыккан жана ошол сегменттеги ар бир түзмөк аны окуй алат. Эгер LAN тарабында эч нерсе көрүнбөсө да барак дагы эле жүктөлсө, колдонмо ZeroTier хосттун өзүндө аяктайт.

Алдында тескери прокси турганда loopbackти кармоо да маанилүү, анткени HTTPS кабыл алып, HTTPны андан ары жиберген прокси чекти өзүнүн бэкендине жылдырат.

Текшерүү 4: маршрутизатор же көпүрө артындагы ар бир секирикти эсептеңиз

Катмар менен LANдын ортосунда маршруттоо үчүн конфигурацияланган мүчө — кадимки долбоор жана ушул божомолдордун көбү бузулган жер. Катмар браузерден маршрутизаторго чейинки бөлүктү коргойт, андан кийин эч нерсени коргобойт. Көпүрө ошол эле окуяны башка механизм менен айтат: катмар жана физикалык сегмент бир берүү доменине айланат, ошондуктан көпүрөлөнгөн ноутбуктан келген сурам жөнөкөй Ethernet аркылуу өтөт, ал ноутбук ZeroTier тармагында турса да.

Божомолдобой, аны көзөмөлдөңүз. Клиенттен кызмат дарегине чейинки traceroute жана шлюз мүчөсүндөгү маршруттоо таблицасы акыркы секириктин zt же eth экенин көрсөтөт.

ZeroTier ошондой эле өндүрүмдүүлүк үчүн белгиленген жергиликтүү жолдордо транспорт коопсуздугунан баш тарта алган ишенимдүү жол режимин сунуштайт. Аны колдонгон тармак шифрленген жолдун кадимки божомолун мураска албайт, ошондуктан бирөөнү келтирүүдөн мурун тармактын конфигурациясын окуңуз. Протокол документациясы түйүндөрдүн ортосундагы шифрлоону да, ошол өзгөчөлүктү да сүрөттөйт.

Текшерүү 5: колдонмо дагы эмне кылышы керектигин чечиңиз

Катмарга мүчөлүк түзмөктү тармактын алдында аутентификациялайт жана каршы тараптагы кызмат сиз жетүүнү каалаган кызматпы дегенге эч нерсе айтпайды. HTTPS башка суроого хост атын ачкычка байлоо менен жооп берет, ошондуктан эки коргоо бири-бирин алмаштырбастан кабатташат. Укуктуу теңдеш дагы эле туура эмес кызмат болушу мүмкүн, ал эми бузулган акыркы чекит сурамды шифрлоого чейин да, шифрын чечкенден кийин да окуйт. Эки механизмдин бири да колдонмонун эмнени жазарын аудиттебейт.

Кайра колдонулуучу сессиясы же сырсөзү бар нерселердин баары үчүн TLSти колдонмодо же өзүңүз көзөмөлдөгөн проксиде бүтүрүңүз жана сертификат текшерүүсүн күйүк калтырыңыз. Эски кызмат жөнөкөй HTTPде калышы керек болсо, анын колдонууга уруксат берилген так хосттон хостко жолун, ага ким жете аларын жана кайсы сегмент коргоосуз каларын жазып коюңуз; келечектеги сынчыга керек болгон ошол эскертүү.

"VPN туташкан" — булардын эч бирине баа эмес. Чыныгы версия эки акыркы чекитти, алардын ортосундагы жолду жана камтылбаган биринчи секирикти атайт.

Кармоо чыгарылышын жана түйүндөр тизмесин кызмат документтеринин жанында кармаңыз, ошондо маршрутту өзгөрткөн же көпүрө кошкон ар ким кайсы божомолду бузуп жатканын көрөт.