Ass HTTP iwwer ZeroTier verschlësselt? Kuckt wou den Overlay ophält

Gitt dës Kontrollen der Rei no duerch a stoppt beim éischten, deen duerchfält, well all Äntwert ännert, wat den nächsten Schrëtt bedeit. D'richteg Fro ass enk: geet einfachen HTTP op engem ZeroTier-Netzwierk oppen iwwer den Internet? Tëschent zwee ZeroTier-Peeren normalerweis net, well den Overlay dee Sprong verschlësselt. Awer dat ass eng Ausso iwwer zwee Endpunkten, net iwwer all Segment, dat eng Ufro duerchkräizt. E Router, eng Bréck oder en Ëmgekeehrte Proxy verréckelt den Endpunkt, an de Kloertext fänkt op där anerer Säit nees un.

Kontroll 1: fannt d'Adress, déi de Browser uschreift

Vergläicht d'URL mat deem, wat d'Maschinn tatsächlech huet. ip -brief addr show listet den zt-Interface an d'Overlay-Adress op, déi de Netzwierkcontroller verginn huet; wann d'URL déi Adress benotzt, geet de Socket vum Browser an den Overlay.

Wann den Numm sech amplaz op eng LAN-Adress opléist, ass den Overlay vläicht guer net bedeelegt, wat den Statusindikator vum Client och ëmmer suggeréiert. ip route get 10.147.20.5 dréckt den Interface an d'Quelladress, déi de Kernel wäerte wielen, also en zt-Interface do heescht, datt de Pak an den Overlay geet, an den Numm vun Ärer physescher NIC heescht, datt en et net mécht. Nimm addéieren nach eng Schicht: en Andro, deen op eng Overlay-Adress weist, verhält sech anescht wéi een, deen op eng LAN-Adress weist, an e Sichsuffix oder en Andro an der hosts-Datei kënnen et stëll entscheeden, wéi een Dir kritt.

Kontroll 2: bestätegt, datt béid Enner Peeren sinn, keen entschlësselenden Relais

ZeroTier verschlësselt tëschent Peeren, a wou et keen direkte Wee gëtt, ginn d'Paketen duerch eng Wuerzel weidergeleet, déi se nach ëmmer verschlësselt weiderschéckt. zerotier-cli peers markéiert de Wee vun all Peer als DIRECT oder RELAY mat enger Latenzzuel. En ëmgeleeeten Wee kascht Hin- a Réckwee, net Vertraulechkeet.

Wat d'Äntwert wierklech ännert, ass en Member, deen net wierklech en Endpunkt ass. Wann déi aner Säit en ZeroTier-Member ass, deen an e physesche LAN routet oder bréckt, hält den Overlay bei deem Member op, an de nächsten Hop ass gewéinlechen Ethernet.

Kontroll 3: kuckt wou d'Ufro liesbar gëtt

Op dem Host, vun deem Dir mengt, datt en d'Säit servéiert, fänkt den Overlay-Interface wärend dem Neelueden: sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'. Eng liesbar Ufrozeil an deem Output beweist, datt den Traffic entschlësselt op deem Host ukomm ass, an dat ass d'Grenz, déi Dir sicht.

Dann fänkt um Interface, deen a Richtung Rescht vum LAN weist. Wann déiselwecht Ufro do oppen erschéngt, huet se den Overlay verlooss, ier se d'Applikatioun erreecht huet, an all Apparat op deem Segment kann se liesen. Wann op der LAN-Säit näischt erschéngt an d'Säit sech nach ëmmer lued, terminéiert d'Applikatioun op dem ZeroTier-Host selwer.

Loopback ze fänken ass och wichteg, wann en Ëmgekeehrte Proxy vir ass, well e Proxy, deen HTTPS akzeptéiert an HTTP weiderleedt, d'Grenz op säin eegene Backend verréckelt.

Kontroll 4: rechent all Hop hannert engem Router oder enger Bréck of

En Member, deen ageriicht ass, fir tëschent dem Overlay an engem LAN ze routen, ass en gewéinlechen Design an d'Plaz, wou déi meescht vun dësen Unhuele briechen. Den Overlay schützt den Deel vum Browser bis zum Router an näischt duerno. Eng Bréck erzielt déi selwecht Geschicht mat engem anere Mechanismus: den Overlay an dat physescht Segment ginn eng eenzeg Broadcast-Domän, also geet eng Ufro vun engem gebréckten Laptop iwwer gewéinlechen Ethernet, obwuel dee Laptop um ZeroTier-Netzwierk sëtzt.

Verfollegt en amplaz en unzehuelen. traceroute vum Client bis d'Serviceadress plus d'Routingtabell um Gateway-Member weisen, ob de leschten Hop zt oder eth ass.

ZeroTier bitt och e vertrauenswürdege Wee-Modus, deen d'Transportsécherheet op bestëmmte lokale Weeër fir d'Leeschtung ka fale loossen. En Netzwierk, dat en benotzt, ierft net déi normal Unhuel vun engem verschlësselte Wee, also liest d'Netzwierkkonfiguratioun, ier Dir eng zitéiert. D'Protokolldokumentatioun beschreift souwuel d'Peer-Verschlësselung wéi och déi Ausnam.

Kontroll 5: entscheet, wat d'Applikatioun nach muss maachen

Overlay-Memberschaft authentifizéiert en Apparat géigeniwwer engem Netzwierk a seet näischt doruechter, ob de Service op der anerer Säit deen ass, deen Dir erreeche wëllt. HTTPS beäntwert eng aner Fro, andeem en en Hostnumm un e Schlëssel bënnt, also iwwerdecken sech déi zwee Schutzmoossnamen, ouni sech ze ersetzen. E berechtegte Peer kann nach ëmmer de falschen Service sinn, an en Endpunkt, dee kompromittéiert ass, liest d'Ufro souwuel virun der Verschlësselung wéi och no der Entschlësselung. Keen vun den zwee Mechanismen erfaasst auditméisseg, wat d'Applikatioun opzeechent.

Fir alles mat enger widderverwendbarer Sessioun oder engem Passwuert, beendegt TLS an der Applikatioun oder an engem Proxy, deen Dir kontrolléiert, a loosst d'Zertifikatsvalidéierung un. Wou en ale Service op einfachem HTTP misst bleiwen, schreift de geneeë Host-zu-Host-Wee op, deen en däerf benotzen, wien en erreeche kann a wéi e Segment ongeschützt bleift; déi Notiz ass dat, wat en zukünftege Reviewer brauch.

"D'VPN ass verbonnen" ass keng Bewäertung vun deem allen. Déi éierlech Versioun nennt béid Endpunkten, de Wee tëschent hinnen an den éischten Hop, deen net ofgedeckt ass.

Halt den Opfang-Output an d'Peer-Lëscht nieft der Servicedokumentatioun, sou datt jiddereen, deen eng Route ännert oder eng Bréck derbäisetzt, gesäit, wéi eng Unhuel en amgaang ass ze briechen.