Ar HTTP per ZeroTier yra šifruojamas? Pažiūrėkite, kur baigiasi perdanga

Atlikite šiuos patikrinimus iš eilės ir sustokite ties pirmuoju, kuris nepavyksta, nes kiekvienas atsakymas keičia, ką reiškia kitas žingsnis. Tikrasis klausimas siauras: ar paprastas HTTP ZeroTier tinkle keliauja atvirai per internetą? Tarp dviejų ZeroTier mazgų paprastai ne, nes perdanga šifruoja tą perėjimą. Bet tai teiginys apie du galinius taškus, o ne apie kiekvieną segmentą, kurį kerta užklausa. Maršrutizatorius, tiltas ar atvirkštinis tarpinis serveris perkelia galinį tašką, ir atviras tekstas prasideda iš naujo kitoje jo pusėje.

Patikrinimas 1: raskite adresą, į kurį kreipiasi naršyklė

Palyginkite URL su tuo, ką mašina iš tikrųjų turi. ip -brief addr show išvardija zt sąsają ir perdangos adresą, kurį priskyrė tinklo valdiklis; jei URL naudoja tą adresą, naršyklės lizdas patenka į perdangą.

Kai vardas vietoj to išsprendžiamas į LAN adresą, perdanga gali visai nedalyvauti, ką bebūtų siūloma kliento būsenos indikatoriuje. ip route get 10.147.20.5 išspausdina sąsają ir šaltinio adresą, kurį pasirinktų branduolys, tad zt sąsaja ten reiškia, kad paketas patenka į perdangą, o fizinės tinklo plokštės pavadinimas reiškia, kad nepatenka. Vardai prideda dar vieną sluoksnį: įrašas, rodantis į perdangos adresą, elgiasi kitaip nei rodantis į LAN adresą, o paieškos priesaga ar hosts failo įrašas gali tyliai nuspręsti, kurį gausite.

Patikrinimas 2: įsitikinkite, kad abu galai yra mazgai, o ne iššifruojantis rele

ZeroTier šifruoja tarp mazgų, o kur nėra tiesioginio kelio, paketai persiunčiami per šaknį, kuri juos persiunčia vis dar šifruotus. zerotier-cli peers žymi kiekvieno mazgo kelią kaip DIRECT arba RELAY su vėlavimo skaičiumi. Persiųstas kelias kainuoja reisus pirmyn ir atgal, o ne konfidencialumą.

Atsakymą iš tikrųjų keičia narys, kuris nėra tikras galinis taškas. Kai kita pusė yra ZeroTier narys, kuris maršrutizuoja arba sujungia į fizinį LAN, perdanga baigiasi ties tuo nariu, o kitas šuolis yra įprastas Ethernet.

Patikrinimas 3: stebėkite, kur užklausa tampa perskaitoma

Hoste, kuris, jūsų manymu, teikia puslapį, įkeliant iš naujo fiksuokite perdangos sąsają: sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'. Perskaitoma užklausos eilutė tame išvedime įrodo, kad srautas atvyko iššifruotas į tą hostą, ir tai yra riba, kurios ieškote.

Tada fiksuokite sąsajoje, nukreiptoje į likusį LAN. Jei ta pati užklausa ten pasirodo atvirai, ji paliko perdangą prieš pasiekdama programą, ir kiekvienas to segmento įrenginys gali ją perskaityti. Jei LAN pusėje nieko nepasirodo, o puslapis vis tiek įkeliamas, programa baigiasi pačiame ZeroTier hoste.

Loopback fiksavimas taip pat svarbus, kai priekyje yra atvirkštinis tarpinis serveris, nes tarpinis serveris, priimantis HTTPS ir persiunčiantis HTTP, perkelia ribą į savo paties backendą.

Patikrinimas 4: suskaičiuokite kiekvieną šuolį už maršrutizatoriaus ar tilto

Narys, sukonfigūruotas maršrutizuoti tarp perdangos ir LAN, yra įprastas sprendimas ir vieta, kur dauguma šių prielaidų lūžta. Perdanga saugo atkarpą nuo naršyklės iki maršrutizatoriaus ir nieko po jos. Tiltas pasakoja tą pačią istoriją kitu mechanizmu: perdanga ir fizinis segmentas tampa viena transliavimo sritimi, todėl užklausa iš sujungto nešiojamojo kompiuterio kerta įprastą Ethernet, nors tas kompiuteris yra ZeroTier tinkle.

Sekite, o ne darykite prielaidų. traceroute nuo kliento iki paslaugos adreso ir maršrutizavimo lentelė ant tinklų sietuvo nario rodo, ar paskutinis šuolis yra zt, ar eth.

ZeroTier taip pat siūlo patikimo kelio režimą, kuris dėl našumo gali atsisakyti transporto saugumo nurodytuose vietiniuose keliuose. Tinklas, kuris jį naudoja, nepaveldi įprastos šifruoto kelio prielaidos, todėl perskaitykite tinklo konfigūraciją prieš ką nors cituodami. Protokolo dokumentacija aprašo ir šifravimą tarp mazgų, ir tą išimtį.

Patikrinimas 5: nuspręskite, ką programa dar turi padaryti

Narystė perdangoje autentifikuoja įrenginį tinklui ir nieko nesako apie tai, ar paslauga kitoje pusėje yra ta, kurią norėjote pasiekti. HTTPS atsako į kitą klausimą susiedamas prieglobos vardą su raktu, todėl abi apsaugos persidengia viena kitos nepakeisdamos. Įgaliotas mazgas vis tiek gali būti netinkama paslauga, o pažeistas galinis taškas skaito užklausą ir prieš šifravimą, ir po iššifravimo. Nė vienas mechanizmas neaudituoja, ką įrašo programa.

Viskam su daugkartine sesija ar slaptažodžiu užbaikite TLS programoje arba jūsų valdomame tarpiniame serveryje ir palikite sertifikatų tikrinimą įjungtą. Kai senoji paslauga turi likti paprastame HTTP, užrašykite tikslų prieglobos-prie-prieglobos kelią, kurį ji gali naudoti, kas gali ją pasiekti ir kuris segmentas lieka neapsaugotas; tos pastabos ir reikės būsimam recenzentui.

"VPN prisijungtas" nėra nieko iš to vertinimas. Sąžininga versija įvardija abu galinius taškus, kelią tarp jų ir pirmą nepadengtą šuolį.

Laikykite fiksavimo išvestį ir mazgų sąrašą šalia paslaugos dokumentacijos, kad kiekvienas, kas pakeis maršrutą arba pridės tiltą, matytų, kurią prielaidą ruošiasi sulaužyti.