ZeroTier'ден жергиликтүү тармакка: UFW маршрут эрежелери, порт уруксаты эмес

ZeroTier мүчөсү аркылуу кеңседегү жергиликтүү тармактагы принтерге жетүү бир эрежедей угулат, бирок чындыгында бул үч башка жердеги үч чечим. Катмарланган тармак жергиликтүү тармак кайда экенин билиши керек, Linux хосту пакеттерди өткөрүп берүүгө даяр болушу керек, ал эми жергиликтүү тармак жоопту кантип кайтарууну билиши керек. Шлюзде порт ачкан кирүү эрежеси булардын эч бирине тийбейт. Бул туура хостко колдонулган туура эмес курал.

Үч иш, үч ээси

Башкарылуучу маршрут ZeroTier тармагынын конфигурациясына таандык. Ал мүчөлөргө префикстин белгилүү бир мүчө дареги аркылуу жеткиликтүү экенин билдирет.

Өткөрүп берүү Linux өзөгүнө жана анын тармактык коргоо саясатына ээ болгонго таандык. Ал катмарланган тармакка келген пакеттин физикалык интерфейстен кайра чыгарын чечет. Өткөрүп бербеген хост пакетти кабыл алгандан кийин аны үнсүз таштайт. Жөнөтүүчү убакыттын бүткөнүн көрөт, ал эми кызмат журналында эч нерсе көрүнбөйт.

Кайтуу жолу жергиликтүү тармакка таандык. Анын хосттору жана маршрутизатору катмарланган тармактын префикси сиздин шлюздун жергиликтүү дареги аркылуу жеткиликтүү экенин билиши керек, болбосо бул суроо такыр келип чыкпашы үчүн бир нерсе трафикти которушу керек.

Булардын ар бири туура болуп, калгандары ишке ашпай калышы мүмкүн, ошондуктан шлюзду гана пинг кылган сыноо анын артындагы кызмат жөнүндө эч нерсени далилдебейт.

Башкарылуучу маршрутту мүчөгө багыттаңыз

Керектүү жергиликтүү префикс үчүн маршрутту шлюздун катмарланган дареги аркылуу кошуңуз, анын жергиликтүү дареги аркылуу эмес. Катмарланган дарек — башка мүчөлөр жете алган дарек; жергиликтүү дарек зымда гана мааниге ээ.

Чечим иштеши үчүн мүчөлөр башкарылуучу маршруттарды кабыл алышы керек, ал эми алардын өз жергиликтүү тармактары сиз жарыялаган префиксти мурунтан колдонбошу керек. Үйдө 192.168.60.0/24 тармагында турган алыскы ноутбук да 192.168.60.0/24тү катмарланган тармак аркылуу маршруттай албайт.

Жарыяланган префиксти тапшырма уруксат бергенче тар кармаңыз. Артыкчылыкка таасир этүү үчүн чоңураак агрегатты жарыялоо сизге таандык эмес дарек мейкиндигин да талап кылышы мүмкүн, ал эми келип чыккан жаңжал эки тармакка тең туташкан түзмөктөрдө көрүнөт. Бул ошондой эле мүчөнү эч жакка алып барбаган жолду артык көрүүгө түртүшү мүмкүн. Маршрутту чынчыл кармаңыз, калганын саясат аткарсын.

Префиксти жана мүчө дарегин тармактык коргоо эрежелери менен бир эле жазууга жазыңыз, анткени эң көп кездешкен бузулуу — туура эмес мүчөгө багытталган маршрут.

Өзөктө транзитти күйгүзүңүз

Бир нерсени өзгөртүүдөн мурун учурдагы өткөрүп берүү маанисин окуңуз, андан кийин параметрди кайра жүктөөдө жоголуп кетүүчү бир жолку буйрук менен эмес, системаңыз мурунтан колдонгон механизм аркылуу туруктуу кылыңыз.

Эгер саясат UFWга таандык болсо, анын маршрут эрежелери булак, багыт жана интерфейс жуп үчүн өткөрүп берүүнү билдирет. Алар шлюздун өзүндө кызмат ачкан кирүү эрежелеринен өзүнчө:

sysctl net.ipv4.ip_forward
sudo ufw route allow in on zt3f2a1c9d out on eth0 proto tcp to 192.168.60.20 port 443
sudo ufw status verbose

Интерфейстин аты — ошол хосттогу чыныгы катмарланган түзмөк, аны ip link аркылуу окуса болот; бул бардык орнотууларда бирдей бекитилген сап эмес. Эгер хост демейки боюнча өткөрүп берсе жана UFW жолдо болбосо, маршрут эрежеси этибарга алынбайт жана өзөк параметрлери маанилүү болот.

Жооптор кантип кайтарын тандаңыз

Булакты сактоо менен жергиликтүү тармактын кызматы чыныгы катмарланган даректи көрөт жана ага жооп берет. Бул жергиликтүү хосттогу же анын маршрутизаторундагы катмарланган префиксти сиздин шлюзга багыттаган маршрутту талап кылат, ал эми бул Linux кутусунун сыртындагы өзгөртүү.

Ошол маршрутту кошуу мүмкүн болбогондо, чектелген булак котормосу сурамды жергиликтүү тармактагы шлюзден келгендей көрсөтөт. Ошондо жооптор жергиликтүү түрдө кайтат жана жергиликтүү тармактын маршруттарын өзгөртүүнүн кереги жок, бирок кызмат журналдарында баштапкы булак жоголот.

Котормону катмарланган булак жана конкреттүү жергиликтүү багыт менен чектеңиз. Жергиликтүү интерфейстен чыккандын баарын которуу — бул кең версия, ал кийин эрежелерди окуган ар кимди таң калтырат, ошондой эле тыюу салынышы керек болгон трафикти да жашырат.

Эки варианттын эч бири жергиликтүү тармактан каалаган катмарланган мүчөлөргө суралбаган жеткини бербейт. Эгер бул керек болсо, бул өзүнүн кароосу бар өзүнчө эреже.

Чыныгы мүчөдөн сынаңыз

Шлюзден эмес, башка мүчөдөн туташып, уруксат берилген бир кызматты сураңыз. Андан кийин жабык бойдон калышы керек кызматты сынап көрүңүз жана эки сыноону кайра туташкандан кийин жана шлюзду кайра жүктөгөндөн кийин кайталаңыз.

ONLINE деп билдирген мүчө же шлюздун катмарланган дарегине ийгиликтүү пинг маршрутту, өткөрүп берүү эрежесин же кайтуу жолун тастыктабайт:

zerotier-cli listnetworks
ip -4 route get 192.168.60.20
sudo ufw status numbered

Экинчи буйрук пакеттин жергиликтүү хостко кайсы интерфейс менен барарын көрсөтөт, үчүнчүсү маршрут эрежеси сиз ойлогон формада бар-жогун көрсөтөт. Эгер экөө тең туура көрүнсө да кызмат дагы эле убакыт бүтүү менен аяктаса, калган шектүү — кайтуу жолу.