Vai HTTP virs ZeroTier ir šifrēts? Pārbaudiet, kur beidzas pārklājums

Veiciet šīs pārbaudes pēc kārtas un apstājieties pie pirmās, kas neizdodas, jo katra atbilde maina to, ko nozīmē nākamais solis. Īstais jautājums ir šaurs: vai vienkāršs HTTP ZeroTier tīklā ceļo atklāti pa internetu? Starp diviem ZeroTier vienaudžiem parasti nē, jo pārklājums šifrē šo lēcienu. Bet tas ir apgalvojums par diviem galapunktiem, nevis par katru segmentu, ko šķērso pieprasījums. Maršrutētājs, tilts vai reversais starpniekserveris pārvieto galapunktu, un atklātais teksts atsākas tā otrā pusē.

Pārbaude 1: atrodiet adresi, uz kuru zvana pārlūks

Salīdziniet URL ar to, kas mašīnai patiešām ir. ip -brief addr show uzskaita zt saskarni un pārklājuma adresi, ko piešķīris tīkla kontrolieris; ja URL izmanto šo adresi, pārlūka ligzda nonāk pārklājumā.

Kad vārds tā vietā atrisinās uz LAN adresi, pārklājums var vispār nebūt iesaistīts, lai ko arī liecinātu klienta statusa indikators. ip route get 10.147.20.5 izdrukā saskarni un avota adresi, ko izvēlētos kodols, tāpēc zt saskarne tur nozīmē, ka pakete nonāk pārklājumā, bet fiziskās tīkla kartes nosaukums nozīmē, ka tā nenonāk. Vārdi pievieno vēl vienu slāni: ieraksts, kas norāda uz pārklājuma adresi, uzvedas citādi nekā ieraksts, kas norāda uz LAN adresi, un meklēšanas sufikss vai hosts faila ieraksts var klusi izlemt, kuru jūs iegūsiet.

Pārbaude 2: pārliecinieties, ka abi gali ir vienaudži, nevis atšifrējošs relejs

ZeroTier šifrē starp vienaudžiem, un tur, kur nav tieša ceļa, paketes tiek pārsūtītas caur sakni, kas tās pārsūta joprojām šifrētas. zerotier-cli peers atzīmē katra vienaudža ceļu kā DIRECT vai RELAY ar aiztures skaitli. Pārsūtīts ceļš maksā ceļojumus turp un atpakaļ, nevis konfidencialitāti.

Atbildi patiešām maina dalībnieks, kas nav īsts galapunkts. Kad otrā puse ir ZeroTier dalībnieks, kas maršrutē vai tilto uz fizisku LAN, pārklājums beidzas pie šī dalībnieka, un nākamais lēciens ir parasts Ethernet.

Pārbaude 3: vērojiet, kur pieprasījums kļūst lasāms

Uz saimnieka, kas, jūsuprāt, apkalpo lapu, ielādes laikā ierakstiet pārklājuma saskarni: sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'. Lasāma pieprasījuma rinda šajā izvadē pierāda, ka trafiks ir ieradies atšifrēts uz šo saimnieku, un tā ir robeža, ko meklējat.

Pēc tam ierakstiet saskarnē, kas vērsta pret pārējo LAN. Ja tas pats pieprasījums tur parādās atklāti, tas ir atstājis pārklājumu pirms nonākšanas lietojumprogrammā, un katra ierīce šajā segmentā to var nolasīt. Ja LAN pusē nekas neparādās un lapa joprojām ielādējas, lietojumprogramma beidzas pašā ZeroTier saimniekā.

Loopback ierakstīšana ir svarīga arī tad, kad priekšā ir reversais starpniekserveris, jo starpniekserveris, kas pieņem HTTPS un pārsūta HTTP, pārvieto robežu uz savu aizmuguri.

Pārbaude 4: uzskaitiet katru lēcienu aiz maršrutētāja vai tilta

Dalībnieks, kas konfigurēts maršrutēšanai starp pārklājumu un LAN, ir parasts risinājums un vieta, kur lielākā daļa šo pieņēmumu lūzt. Pārklājums aizsargā posmu no pārlūka līdz maršrutētājam un neko pēc tam. Tilts stāsta to pašu stāstu ar citu mehānismu: pārklājums un fiziskais segments kļūst par vienu apraides domēnu, tāpēc pieprasījums no tiltotā portatīvā datora šķērso parastu Ethernet, lai gan šis dators atrodas ZeroTier tīklā.

Izsekojiet to, nevis pieņemiet. traceroute no klienta līdz pakalpojuma adresei un maršrutēšanas tabula uz vārtejas dalībnieka parāda, vai pēdējais lēciens ir zt vai eth.

ZeroTier piedāvā arī uzticama ceļa režīmu, kas veiktspējas dēļ var atteikties no transporta drošības noteiktos vietējos ceļos. Tīkls, kas to izmanto, nemanto parasto šifrētā ceļa pieņēmumu, tāpēc pirms kaut ko citēt izlasiet tīkla konfigurāciju. Protokola dokumentācija apraksta gan šifrēšanu starp vienaudžiem, gan šo izņēmumu.

Pārbaude 5: izlemiet, kas lietojumprogrammai vēl jādara

Dalība pārklājumā autentificē ierīci tīklā un neko nepasaka par to, vai pakalpojums otrā pusē ir tas, ko gribējāt sasniegt. HTTPS atbild uz citu jautājumu, saistot saimniekdatora vārdu ar atslēgu, tāpēc abas aizsardzības pārklājas, viena otru neaizstājot. Autorizēts vienaudzis joprojām var būt nepareizais pakalpojums, un kompromitēts galapunkts nolasa pieprasījumu gan pirms šifrēšanas, gan pēc atšifrēšanas. Neviens mehānisms neauditē, ko lietojumprogramma ieraksta.

Visam ar atkārtoti lietojamu sesiju vai paroli pārtrauciet TLS lietojumprogrammā vai jūsu kontrolētā starpniekserverī un atstājiet sertifikātu validāciju ieslēgtu. Kur mantotajam pakalpojumam jāpaliek uz vienkārša HTTP, pierakstiet precīzo saimnieka-uz-saimnieku ceļu, ko tas drīkst izmantot, kas tam var piekļūt un kurš segments paliek neaizsargāts; šī piezīme ir tas, kas būs vajadzīgs nākamajam recenzentam.

"VPN ir savienots" nav neviena no šī novērtējums. Godīgā versija nosauc abus galapunktus, ceļu starp tiem un pirmo neaptverto lēcienu.

Turiet ieraksta izvadi un vienaudžu sarakstu blakus pakalpojuma dokumentācijai, lai ikviens, kas maina maršrutu vai pievieno tiltu, redzētu, kuru pieņēmumu viņš grasās salauzt.