Nebula маяк чыпкалары жана брандмауэр: ар бири эмнени тосот

Маяктын уруксат тизмелери өнөктөштүн кайсы төмөнкү тармак акыркы чекиттерин жарыялайарын же сынаарын аныктайт. Брандмауэр эрежелери кол алышуудан кийин overlay ичиндеги трафикти жөнгө салат.

Nebula кол алышуусун туура эмес жагынан көрсөңүз, эки механизм бирин-бири алмаштыра ала тургандай көрүнөт. Бири түйүндүн маякка кайсы даректерди билдирерин жана кайсы алыс даректерди сынайарын аныктайт; экинчиси туннель пайда болгондон кийин эмне өтө аларын аныктайт. Чыпка кандайдыр бир брандмауэр эрежеси бааланганга чейин байланышты токтото алат, ал эми брандмауэр эрежеси ачуу жок кылган акыркы чекитти кайра тирилте албайт. Эки катмар ар башка суроолорго жооп берет, жана алардын иштөө тартиби — ачкыч.

Бир байланышты төрт баскыч менен байкаңыз: жарыяланган жергиликтүү дарек, каралып жаткан алыс акыркы чекит, кол алышуу жана overlay трафиги. Ар бир баскычтын өз конфигурациясы жана өз иштен чыгуу белгиси бар.

Түйүн жарыялаган жергиликтүү даректен баштаңыз

local_allow_list бул хосттун жергиликтүү даректерин маяктарга билдирүүдөн мурун чыпкалайт. Жазуулар дарек диапазондору болушу мүмкүн, жана конфигурация интерфейс атынын үлгүлөрүн да колдойт. Бул хостто контейнер көпүрөлөрү же өнөктөш акыркы чекиттери болбошу керек кошумча туннель интерфейстери болгондо пайдалуу.

Хосттун интерфейстерин карап чыгып, алыс өнөктөш кайсыларына чындап жете аларын сураңыз. Docker көпүрөсүнүн дареги ошол хост үчүн жергиликтүү жана башка тармактагы өнөктөшкө пайдасыз. Аны жарыялоо ачууну текке кетирет жана өнөктөштү эч качан жооп бербеген дарекке жибериши мүмкүн. Өнөктөш маршруттай албаган нерсенин баары маяктын жообундагы ызы-чуу.

Бул жерде тар уруксат тизмеси кенен тыюу тизмесинен коопсузураак. Эгерде гана уруксат жазуулары болсо, көрсөтүлбөгөн калганы алынып салынат; кийин тыюу жазуусун кошуу демейки логиканы өзгөртөт жана өзүнчө кароону талап кылат. Бул өзгөрүү демейки мааниге экинчи көз карашты татыктуу.

Андан кийин алыс акыркы чекитти тандоону байкаңыз

remote_allow_list бул хосттун кол алышуу учурунда алыс өнөктөш үчүн карай турган даректерин чыпкалайт. Бул төмөнкү тармактын дарегине тиешелүү, туннель көтөрүлгөндөн кийин өнөктөш колдоно турган overlay дарегине эмес.

Жеке диапазон жалпы кеңсе тармагында толук пайдалуу болушу мүмкүн, ал эми эки хост тең 10.0.0.0/8 колдонгон байланышсыз тармактарда турса, маанисиз болот. Чыпка маршрутталган жолду тандоого жана кокустукту этибарга албоого мүмкүндүк берет.

Өнөктөш туташа албаса, сыналып жаткан даректи ага туура келген эреже менен салыштырыңыз. Кол алышуу журналдарын күйгүзүп, тандалган алыс даректи окуңуз; журнал сабы чыпкалоодон өткөн акыркы чекитти атайт, бул өнөктөштүн даректеринин тизмесинен пайдалуураак.

Жарыялоо тарабындагы интерфейс атынын чыпкасы акыркы чекитти кабыл алуучу тарап аны көрө электе эле алып салышы мүмкүн. Бир гана багыт ишке ашпаса, эки түйүндү тең текшериңиз.

Кол алышуудан кийин overlay кирүү эрежелери колдонулат

Nebula брандмауэр эрежелери overlay ичинде, туннель орнотулгандан кийин иштейт. Алар хостторду, топторду, портторду жана протоколдорду дал келтирет жана пакеттин жергиликтүү хостко киришине же андан чыгышына чечим кылат. Алар төмөнкү тармакта акыркы чекитти тандашпайт.

Бул бөлүнүү көп кездешкен туура эмес диагнозду түшүндүрөт. Оператор портко брандмауэр эрежесин кошот жана дагы эле туташа албайт, анткени маяк чыпкасы жалгыз жеткиликтүү акыркы чекитти алып салган. Башка оператор дарек чыпкасын ачат жана дагы эле кызматка жете албайт, анткени overlay брандмауэри портту четке кагат.

Бузулууну туура катмарда окуңуз. Эч качан бүтпөгөн кол алышуу ачууга, акыркы чекиттерди чыпкалоого же тармак жолуна көрсөтөт. Бүткөн кол алышуудан кийин кызмат байланышы четке кагылса же ташталса, бул overlay брандмауэрине же колдонмого көрсөтөт.

Уруксат менен тыюуну аралаштырганда демейкини окуңуз

Маяк конфигурациясы гана-уруксат, гана-тыюу жана аралаш тизмелерди колдойт, жана көрсөтүлбөгөн калган бөлүк үчүн демейки бул формалардын ортосунда айырмаланат. Аралаш тизмеге дарек үй-бүлөсү үчүн так демейки керек; калганы мурунку конфигурация сыяктуу жүрөт деп болжолдоо — иштеп жаткан акыркы чекиттин тынч жок болушунун жолу.

lighthouse:
  local_allow_list:
    interfaces:
      docker0: false
  remote_allow_list:
    192.168.0.0/16: true
    default: false

Демейкини эреженин бөлүгү катары караңыз, үлгү текст катары эмес. Эгер үй-бүлөнүн демейкиси тыюу болсо, тизмеде жок ар бир дарек алынып салынат, анын ичинде конфигурация жазылгандан кийин кошулган жаңы кеңсе диапазону да.

Кайсы даректер жеткиликтүү болушу керек экенин жазып алыңыз жана эки тараптан текшериңиз. Бир өнөктөш жуп үчүн иштеген чыпка, жалгыз жалпы жолу тизмеден чыгарылган даректи колдонгон башка жуп үчүн ишке ашпашы мүмкүн.

Түз акыркы чекит жеткиликсиз болгондо relay колдонуңуз

Эгер ар бир талапкер акыркы чекит чыпкаланып калса же жеткиликсиз болсо, жооп — сиз ишенбеген даректерди кайра кабыл алган кененирээк уруксат тизмеси эмес. Түз байланыш мүмкүн болбогондо Nebula relay конфигурациясы альтернативалуу өнөктөш жолун сунуштайт.

Relay ташууну жана ачууну чечет, авторизацияны эмес, жана ал брандмауэрди кеңейтпейт. overlay брандмауэри кайсы кызматтарды колдонууга болорун дагы эле чечет, ал эми relay маяк чыпкалоосун кирүүнү көзөмөлдөө механизмине айландырбайт.

Түз акыркы чекиттерди өчүрүп, relay жолун текшериңиз жана көздөлгөн кызмат дагы эле иштеп жатканын, ал эми көздөлбөгөнү иштебей жатканын ырастаңыз. Ошол бир тест ташуу түзөтүүсүн саясат өзгөрүүсүнөн ажыратат жана эки катмарды ак ниеттүү кармайт.

Тектеш макалалар