ZeroTier an e LAN: UFW-Routregelen, net eng Portfreigab

En Drucker am Büro-LAN iwwer e ZeroTier-Member erreechen kléngt wéi eng eenzeg Regel, ass awer tatsächlech dräi Entscheidungen op dräi verschiddene Plazen. D'Overlay muss wëssen, wou d'LAN ass, den Linux-Host muss bereet sinn, Paketen weiderzeleeden, an d'LAN muss wëssen, wéi et d'Äntwert zréckschéckt. Eng Regel déi erakënnt an déi eng Port um Gateway opmécht, beréiert keng vun deenen. Et ass dat falscht Instrument um richtege Host.

Dräi Aarbechten, dräi Eegemer

Déi verwalt Rout gehéiert zur ZeroTier-Netzwierkkonfiguratioun. Si seet de Memberen, datt e Präfix iwwer eng bestëmmt Memberadress erreechbar ass.

D'Weiderleedung gehéiert zum Linux-Kär a beim wien d'Firewall-Politik huet. Si entscheet, ob e Paket, deen um Overlay ukommt, de physikaleschen Interface erëm verléisst. En Host, deen net weiderleet, verwäert d'Paket stillech, nodeem en et ugeholl huet. Den Ofsender gesäit en Zäitofleef an am Déngschtlog erschéngt näischt.

Den Réckwee gehéiert zur LAN. Seng Hosten a säi Router mussen wëssen, datt de Overlay-Präfix iwwer d'LAN-Adress vun Ärem Gateway erreechbar ass, oder et muss eppes den Trafick iwwersetzen, sou datt d'Fro guer net opkënnt.

Jiddwereen dovun kann richteg sinn, während déi aner versoen, an dofir beweiseet en Test, deen nëmmen de Gateway pingt, näischt iwwer den Déngscht dohannert.

Riicht déi verwalt Rout op de Member

Füügt eng Rout fir de gewënschten LAN-Präfix iwwer d'Overlay-Adress vum Gateway derbäi, net iwwer seng LAN-Adress. D'Overlay-Adress ass déi, déi aner Memberen erreechen; d'LAN-Adress huet just um Kabel eng Bedeitung.

D'Membere mussen déi verwalt Route akzeptéieren, fir datt den Design funktionéiert, a si hir eege lokal Netzwierker däerfen de Präfix, deen Dir annoncéiert, net schonn benotzen. En entfernten Laptop, deen doheem op 192.168.60.0/24 sëtzt, kann net och 192.168.60.0/24 iwwer d'Overlay routeren.

Hält de annoncéierte Präfix esou schmuel wéi d'Aarbecht et erlaabt. E gréissere Aggregat annoncéieren, fir d'Präferenz ze beaflossen, kann och Adressraum beusproochen, deen net Ären ass, an de resultéierende Konflikt erschéngt op den Apparater, déi mat béide Netzwierker verbonne sinn. Et kann och e Member dozou bréngen, e Wee ze preferéieren, deen néierens hiféiert. Hält d'Rout éierlech a loosst d'Politik de Rescht maachen.

Schreift de Präfix an d'Memberadress an déiselwecht Notiz wéi d'Firewallregelen, well de heefegsten Defekt ass eng Rout, déi op de falsche Member weist.

Aktivéiert d'Weiderleedung am Kär

Liest de lafende Weiderleedungswert, ier Dir eppes ännert, a maacht d'Parametriséierung dann duerch de Mechanismus permanent, deen Äre System schonn benotzt, net duerch en eenzegaartege Befehl, deen beim Neistart verschwënnt.

Wann UFW d'Politik huet, drécken seng Routregelen d'Weiderleedung fir eng Koppel aus Quell, Zil an Interface aus. Si sinn getrennt vun de Regele déi erakommen, déi en Déngscht um Gateway selwer opmaachen:

sysctl net.ipv4.ip_forward
sudo ufw route allow in on zt3f2a1c9d out on eth0 proto tcp to 192.168.60.20 port 443
sudo ufw status verbose

Den Interface-Numm ass den tatsächlechen Overlay-Apparat op deem Host, deen Dir aus ip link liese kënnt; et ass keng fix Zeecheketten iwwer Installatiounen. Wann den Host standardméisseg weiderleet an UFW net am Wee ass, gëtt d'Routregel ignoréiert an d'Kär-Astellungen sinn dat, wat zielt.

Wielt, wéi d'Äntwerten zréckkommen

Mat Quellerhaltung gesäit den LAN-Déngscht déi richteg Overlay-Adress an äntwert drop. Dat erfuerdert eng Rout um LAN-Host oder op sengem Router, déi de Overlay-Präfix op Äre Gateway weist, an dat ass eng Ännerung ausserhalb vun der Linux-Këscht.

Wann déi Rout net kann derbäigesat ginn, léisst eng begrenzt Quell-Iwwersetzung d'Ufro ausgesinn, wéi wann se vum Gateway an der LAN kéim. D'Äntwerten kommen dann lokal zréck an et brauch keng Ännerung vum LAN-Routing, awer op Käschte vun der ursprénglecher Quell an den Déngschtlogen.

Begrenzt d'Iwwersetzung op d'Overlay-Quell an d'spézifescht LAN-Zil. Alles z'iwwersetzen, wat den LAN-Interface verléisst, ass déi breet Versioun, déi spéider jiddwereen iwwerrascht, deen d'Regele liest, an si verstoppt och Trafick, deen hätt sollen blockéiert ginn.

Keen vun deenen zwou Méiglechkeeten gëtt ongefrote Zougang vun der LAN zréck op arbiträr Overlay-Memberen. Wann dat gewënscht ass, ass et eng separat Regel mat hirer eegener Iwwerpréiwung.

Test vun engem richtegen Member

Verbannt Iech vun engem anere Member, net vum Gateway, a froit een erlaabten Déngscht un. Probéiert duerno en Déngscht, deen zou bleiwe soll, a widderhëlt béid Tester no enger Neiverbindung an no engem Neistart vum Gateway.

E Member, deen ONLINE mëttelt, oder en erfollegräiche Ping op d'Overlay-Adress vum Gateway, validéiert weder d'Rout, d'Weiderleedungsregel nach de Réckwee:

zerotier-cli listnetworks
ip -4 route get 192.168.60.20
sudo ufw status numbered

Den zweete Befehl weist, wéi en Interface d'Paket fir den LAN-Host géif benotzen, an den drëtten, ob d'Routregel an der Form existéiert, déi Dir gemengt hutt. Wann béides richteg ausgesäit an den Déngscht nach ëmmer ofleeft, ass de Réckwee de verbleiwenen Verdächtegen.