Nebula švyturio filtrai ir ugniasienė: ką kiekvienas blokuoja

Pažvelkite į Nebula rankos paspaudimą iš netinkamos pusės ir abu mechanizmai atrodo keičiami. Vienas nusprendžia, kuriuos adresus mazgas praneša švyturiui ir kurių nuotolinių adresų jis bandys; kitas nusprendžia, kas gali praeiti, kai tunelis jau egzistuoja. Filtras gali sustabdyti ryšį prieš įvertinant bet kurią ugniasienės taisyklę, o ugniasienės taisyklė negali atgaivinti galinio taško, kurį pašalino aptikimas. Du sluoksniai atsako į skirtingus klausimus, o jų veikimo tvarka yra raktas.

Sekite vieną ryšį per keturis etapus: paskelbtą vietinį adresą, svarstomą nuotolinį galinį tašką, rankos paspaudimą ir overlay srautą. Kiekvienas etapas turi savo konfigūraciją ir savo gedimo požymį.

Pradėkite nuo vietinio adreso, kurį skelbia mazgas

local_allow_list filtruoja šio prieglobos vietinius adresus prieš juos pranešant švyturiams. Įrašai gali būti adresų diapazonai, o konfigūracija taip pat palaiko sąsajos pavadinimo šablonus. Tai naudinga, kai priegloba turi konteinerių tiltus ar papildomas tunelio sąsajas, kurios neturėtų tapti partnerių galiniais taškais.

Peržiūrėkite prieglobos sąsajas ir paklauskite, kurias nuotolinis partneris iš tikrųjų gali pasiekti. Docker tilto adresas yra vietinis tam prieglobai ir nenaudingas partneriui kitame tinkle. Jo skelbimas švaisto aptikimą ir gali nukreipti partnerį į adresą, kuris niekada neatsako. Viskas, ko partneris negali maršrutizuoti, yra triukšmas švyturio atsakyme.

Siauras leidžiamų sąrašas čia saugesnis nei platus draudžiamų sąrašas. Jei yra tik leidimo įrašai, nenurodytas likutis pašalinamas; vėliau pridėjus draudimo įrašą pasikeičia numatytoji logika ir tam reikia atskiros peržiūros. Tas pakeitimas nusipelno antro žvilgsnio į numatytąją reikšmę.

Tada stebėkite nuotolinio galinio taško pasirinkimą

remote_allow_list filtruoja adresus, kuriuos ši priegloba svarstys nuotoliniam partneriui rankos paspaudimo metu. Tai taikoma pagrindinio tinklo adresui, o ne overlay adresui, kurį partneris naudos po to, kai tunelis bus pakeltas.

Privatus diapazonas gali būti visiškai tinkamas bendrame biuro tinkle ir beprasmis, kai du prieglobos yra nesusijusiuose tinkluose, kurie abu naudoja 10.0.0.0/8. Filtras leidžia pirmenybę teikti maršrutizuojamam keliui ir ignoruoti atsitiktinumą.

Kai partneris negali prisijungti, palyginkite bandomą adresą su jį atitinkančia taisykle. Įjunkite rankos paspaudimo žurnalus ir perskaitykite pasirinktą nuotolinį adresą; žurnalo eilutė įvardija galinį tašką, kuris išgyveno filtravimą, ir tai naudingiau nei partnerio turimų adresų sąrašas.

Sąsajos pavadinimo filtras skelbimo pusėje gali pašalinti galinį tašką anksčiau, nei priėmimo pusė jį pamatys. Patikrinkite abu mazgus, kai nepavyksta tik viena kryptis.

Po rankos paspaudimo galioja overlay prieigos taisyklės

Nebula ugniasienės taisyklės veikia overlay viduje, kai tunelis jau nustatytas. Jos suderina prieglobas, grupes, prievadus ir protokolus ir nusprendžia, ar paketas gali įeiti į vietinę prieglobą ar iš jos išeiti. Jos nepasirenka pagrindinio tinklo galinio taško.

Šis atskyrimas paaiškina dažną klaidingą diagnozę. Operatorius prideda ugniasienės taisyklę prievadui ir vis tiek negali prisijungti, nes švyturio filtras pašalino vienintelį pasiekiamą galinį tašką. Kitas operatorius atidaro adresų filtrą ir vis tiek nepasiekia paslaugos, nes overlay ugniasienė atmeta prievadą.

Skaitykite gedimą teisingame sluoksnyje. Rankos paspaudimas, kuris niekada nebaigiamas, rodo į aptikimą, galinių taškų filtravimą arba tinklo kelią. Baigtas rankos paspaudimas, po kurio paslaugos ryšys atmetamas arba numetamas, rodo į overlay ugniasienę arba programą.

Skaitykite numatytąją reikšmę, kai maišote leidimą ir draudimą

Švyturio konfigūracija palaiko tik leidžiančius, tik draudžiančius ir mišrius sąrašus, o nenurodytos likusios dalies numatytoji reikšmė skiriasi tarp šių formų. Mišriam sąrašui reikia aiškios numatytosios reikšmės adresų šeimai; manyti, kad likusi dalis elgiasi kaip ankstesnė konfigūracija, yra kelias, kuriuo veikiantis galinis taškas tyliai išnyksta.

lighthouse:
  local_allow_list:
    interfaces:
      docker0: false
  remote_allow_list:
    192.168.0.0/16: true
    default: false

Traktuokite numatytąją reikšmę kaip taisyklės dalį, o ne kaip šablono tekstą. Jei šeimos numatytoji reikšmė yra draudimas, kiekvienas neišvardytas adresas pašalinamas, įskaitant naują biuro diapazoną, pridėtą po konfigūracijos parašymo.

Užsirašykite, kurie adresai turėjo būti pasiekiami, ir testuokite iš abiejų pusių. Filtras, kuris veikia vienai partnerių porai, gali nepavykti kitai porai, kurios vienintelis bendras kelias naudoja adresą, kurį sąrašas pašalina.

Naudokite relay, kai joks tiesioginis galinis taškas nepasiekiamas

Jei kiekvienas kandidatas galinis taškas atfiltruotas arba nepasiekiamas, atsakymas nėra platesnis leidžiamų sąrašas, kuris vėl priima adresus, kuriems nepasitikite. Nebula relay konfigūracija suteikia alternatyvų partnerio kelią, kai tiesioginis ryšys neįmanomas.

Relay sprendžia transportą ir aptikimą, o ne autorizaciją, ir jis neplatina ugniasienės. Overlay ugniasienė vis dar nusprendžia, kurias paslaugas galima naudoti, o relay nepaverčia švyturio filtravimo prieigos kontrolės mechanizmu.

Išbandykite relay kelią su išjungtais tiesioginiais galiniais taškais ir patvirtinkite, kad numatyta paslauga vis dar veikia, o nenumatyta neveikia. Tas vienas testas atskiria transporto pataisą nuo politikos pakeitimo ir išlaiko abu sluoksnius sąžiningus.