Nebula bākas filtri pret ugunsmūri: ko katrs bloķē

Bākas atļauto saraksti izvēlas, kurus pamattīkla galapunktus partneris paziņo vai mēģina. Ugunsmūra noteikumi pārvalda datplūsmu overlay iekšienē pēc rokasspiediena.

Paskatieties uz Nebula rokasspiedienu no nepareizās puses, un abi mehānismi šķiet apmaināmi. Viens izlemj, kuras adreses mezgls paziņo bākai un kuras attālās adreses tas mēģinās; otrs izlemj, kam atļauts pāriet, kad tunelis jau pastāv. Filtrs var apturēt savienojumu pirms jebkura ugunsmūra noteikuma novērtēšanas, un ugunsmūra noteikums nevar atdzīvināt galapunktu, ko atklāšana ir noņēmusi. Abi slāņi atbild uz dažādiem jautājumiem, un to darbības secība ir atslēga.

Sekojiet vienam savienojumam četros posmos: paziņotā vietējā adrese, apskatītais attālais galapunkts, rokasspiediens un overlay datplūsma. Katram posmam ir sava konfigurācija un sava kļūmes pazīme.

Sāciet ar vietējo adresi, ko paziņo mezgls

local_allow_list filtrē šī resursdatora vietējās adreses pirms to paziņošanas bākām. Ieraksti var būt adrešu diapazoni, un konfigurācija atbalsta arī saskarnes nosaukuma modeļus. Tas ir noderīgi, ja resursdatoram ir konteineru tilti vai papildu tuneļa saskarnes, kurām nevajadzētu kļūt par partneru galapunktiem.

Pārskatiet resursdatora saskarnes un pajautājiet, kurām attālais partneris patiešām var piekļūt. Docker tilta adrese ir vietēja šim resursdatoram un bezjēdzīga partnerim citā tīklā. Tās paziņošana izšķiež atklāšanu un var nosūtīt partneri uz adresi, kas nekad neatbild. Viss, uz ko partneris nevar maršrutēt, ir troksnis bākas atbildē.

Šeit šaurs atļauto saraksts ir drošāks par plašu aizliegto sarakstu. Ja ir tikai atļaujas ieraksti, nenorādītais atlikums tiek izslēgts; vēlāk pievienojot aizlieguma ierakstu, mainās noklusējuma loģika un tam nepieciešama atsevišķa pārbaude. Šīs izmaiņas ir pelnījušas otru skatienu uz noklusējumu.

Pēc tam vērojiet attālā galapunkta izvēli

remote_allow_list filtrē adreses, ko šis resursdators apsvērs attālam partnerim rokasspiediena laikā. Tas attiecas uz pamattīkla adresi, nevis uz overlay adresi, ko partneris izmantos pēc tuneļa pacelšanas.

Privāts diapazons var būt pilnīgi izmantojams koplietotā biroja tīklā un bezjēdzīgs, ja abi resursdatori atrodas nesaistītos tīklos, kuros abi izmanto 10.0.0.0/8. Filtrs ļauj dot priekšroku maršrutējamam ceļam un ignorēt nejaušību.

Kad partneris nevar izveidot savienojumu, salīdziniet mēģināto adresi ar tai atbilstošo noteikumu. Ieslēdziet rokasspiediena žurnālus un izlasiet izvēlēto attālo adresi; žurnāla rinda nosauc galapunktu, kas izturēja filtrēšanu, un tas ir noderīgāk nekā partnera rīcībā esošo adrešu saraksts.

Saskarnes nosaukuma filtrs paziņošanas pusē var noņemt galapunktu, pirms saņēmēja puse to vispār ierauga. Pārbaudiet abus mezglus, ja neizdodas tikai viens virziens.

Pēc rokasspiediena ir spēkā overlay piekļuves noteikumi

Nebula ugunsmūra noteikumi darbojas overlay iekšienē pēc tuneļa izveidošanas. Tie saskaņo resursdatorus, grupas, portus un protokolus un izlemj, vai pakete drīkst iekļūt vietējā resursdatorā vai to atstāt. Tie neizvēlas pamattīkla galapunktu.

Šī atdalīšana izskaidro biežu nepareizu diagnozi. Operators pievieno ugunsmūra noteikumu portam un joprojām nevar izveidot savienojumu, jo bākas filtrs noņēma vienīgo sasniedzamo galapunktu. Cits operators atver adrešu filtru un joprojām neaizsniedz pakalpojumu, jo overlay ugunsmūris noraida portu.

Lasiet kļūmi pareizajā slānī. Rokasspiediens, kas nekad nebeidzas, norāda uz atklāšanu, galapunktu filtrēšanu vai tīkla ceļu. Pabeigts rokasspiediens, kam seko noraidīts vai nomests pakalpojuma savienojums, norāda uz overlay ugunsmūri vai lietojumprogrammu.

Lasiet noklusējumu, ja jaucat atļauju un aizliegumu

Bākas konfigurācija atbalsta tikai atļaujošus, tikai aizliedzošus un jauktus sarakstus, un nenorādītā atlikuma noklusējums atšķiras starp šīm formām. Jauktam sarakstam nepieciešams skaidrs noklusējums adrešu saimei; pieņēmums, ka atlikums uzvedas kā iepriekšējā konfigurācija, ir ceļš, pa kuru strādājošs galapunkts klusi pazūd.

lighthouse:
  local_allow_list:
    interfaces:
      docker0: false
  remote_allow_list:
    192.168.0.0/16: true
    default: false

Uztveriet noklusējumu kā noteikuma daļu, nevis kā veidnes tekstu. Ja saimes noklusējums ir aizliegums, tiek izslēgta katra neuzskaitītā adrese, tostarp jauns biroja diapazons, kas pievienots pēc konfigurācijas uzrakstīšanas.

Pierakstiet, kuras adreses bija paredzēts sasniegt, un testējiet no abām pusēm. Filtrs, kas darbojas vienam partneru pārim, var neizdoties citam pārim, kura vienīgais kopīgais ceļš izmanto adresi, ko saraksts izslēdz.

Izmantojiet relay, ja neviens tiešais galapunkts nav sasniedzams

Ja katrs kandidāta galapunkts ir atfiltrēts vai nesasniedzams, atbilde nav plašāks atļauto saraksts, kas atkal pieņem adreses, kurām neuzticaties. Nebula relay konfigurācija nodrošina alternatīvu partnera ceļu, ja tiešs savienojums nav iespējams.

Relay risina transportu un atklāšanu, nevis autorizāciju, un tas nepaplašina ugunsmūri. Overlay ugunsmūris joprojām izlemj, kurus pakalpojumus drīkst izmantot, un relay nepārvērš bākas filtrēšanu piekļuves kontroles mehānismā.

Pārbaudiet relay ceļu ar izslēgtiem tiešajiem galapunktiem un apstipriniet, ka paredzētais pakalpojums joprojām darbojas, bet neparedzētais nedarbojas. Šis viens tests atdala transporta labojumu no politikas izmaiņām un saglabā abus slāņus godīgus.

Saistītie raksti