Дали HTTP преку ZeroTier е шифриран? Проверете каде завршува преклопот

Поминете ги овие проверки по ред и застанете на првата што не успева, бидејќи секој одговор менува што значи следниот чекор. Вистинското прашање е тесно: дали обичниот HTTP на мрежа ZeroTier патува отворено преку интернетот? Меѓу два јазли на ZeroTier обично не, бидејќи преклопот го шифрира тој скок. Но тоа е тврдење за два крајни точки, а не за секој сегмент што барањето го поминува. Рутер, мост или обратен прокси ја поместуваат крајната точка, и отворениот текст продолжува на нејзината друга страна.

Проверка 1: пронајдете ја адресата што ја бира прелистувачот

Споредете ја URL-то со она што машината навистина го има. ip -brief addr show ги наведува интерфејсот zt и адресата на преклопот што ја доделил контролорот на мрежата; ако URL-то ја користи таа адреса, сокетот на прелистувачот влегува во преклопот.

Кога името наместо тоа се разрешува на LAN адреса, преклопот може воопшто да не е вклучен, што и да сугерира индикаторот за состојба на клиентот. ip route get 10.147.20.5 ги печати интерфејсот и изворната адреса што би ги избрало јадрото, па интерфејс zt таму значи дека пакетот влегува во преклопот, а името на вашата физичка мрежна карта значи дека не влегува. Имињата додаваат уште еден слој: записот што покажува на адреса на преклопот се однесува поинаку од оној што покажува на LAN адреса, а суфиксот за пребарување или записот во датотеката hosts можат тивко да одлучат кој ќе го добиете.

Проверка 2: потврдете дека двата краја се јазли, а не реле што дешифрира

ZeroTier шифрира меѓу јазли, а каде нема директен пат пакетите се препраќаат преку корен што ги препраќа сѐ уште шифрирани. zerotier-cli peers го означува патот на секој јазол како DIRECT или RELAY со бројка за доцнење. Препратениот пат чини кружни патувања, не доверливост.

Она што навистина го менува одговорот е член што не е вистинска крајна точка. Кога другата страна е член на ZeroTier што рутира или премостува во физички LAN, преклопот завршува кај тој член и следниот скок е обичен Ethernet.

Проверка 3: гледајте каде барањето станува читливо

На домаќинот за кој мислите дека ја служи страницата, фатете го интерфејсот на преклопот додека вчитувате повторно: sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'. Читлива линија на барање во тој излез докажува дека сообраќајот пристигнал дешифриран на тој домаќин, и тоа е границата што ја барате.

Потоа фатете го на интерфејсот свртен кон остатокот од LAN. Ако истото барање се појави таму отворено, тоа го напуштило преклопот пред да стигне до апликацијата и секој уред во тој сегмент може да го прочита. Ако на страната на LAN не се појави ништо, а страницата сѐ уште се вчитува, апликацијата завршува на самиот домаќин на ZeroTier.

Фаќањето на loopback е важно и кога напред стои обратен прокси, бидејќи проксито што прифаќа HTTPS и препраќа HTTP ја поместува границата на својот заден дел.

Проверка 4: сметајте го секој скок зад рутер или мост

Член конфигуриран да рутира меѓу преклопот и LAN е вообичаен дизајн и местото каде повеќето од овие претпоставки се кршат. Преклопот го штити делот од прелистувачот до рутерот и ништо потоа. Мостот ја раскажува истата приказна со друг механизам: преклопот и физичкиот сегмент стануваат еден домен на емитување, па барањето од премостен преносен сметач поминува низ обичен Ethernet, иако тој сметач седи на мрежата ZeroTier.

Следете го наместо да го претпоставувате. traceroute од клиентот до адресата на услугата плус табелата за рутирање на членот портал покажуваат дали последниот скок е zt или eth.

ZeroTier нуди и режим на доверлив пат што може да се откаже од транспортерската безбедност на определени локални патишта поради перформанси. Мрежа што го користи не ја наследува вообичаената претпоставка за шифриран пат, затоа прочитајте ја конфигурацијата на мрежата пред да наведете некоја. Документацијата на протоколот ги опишува и шифрирањето меѓу јазли и тој исклучок.

Проверка 5: одлучете што сѐ уште треба да направи апликацијата

Членството во преклопот автентицира уред кон мрежа и не кажува ништо за тоа дали услугата од другата страна е онаа до која сакавте да стигнете. HTTPS одговара на друго прашање со тоа што име на домаќин го врзува за клуч, па двете заштити се преклопуваат без да се заменат. Овластен јазол сѐ уште може да биде погрешна услуга, а компромитирана крајна точка го чита барањето и пред шифрирањето и по дешифрирањето. Ниту еден механизам не го ревидира она што апликацијата го запишува.

За сѐ со сесија што може повторно да се користи или лозинка, завршете TLS во апликацијата или во прокси што го контролирате и оставете валидацијата на сертификатот вклучена. Каде наследена услуга мора да остане на обичен HTTP, запишете го точниот пат од домаќин до домаќин што смее да го користи, кој може да стигне до неа и кој сегмент останува незаштитен; таа белешка е она што ќе му треба на иден рецензент.

"VPN-то е поврзано" не е оценка за ништо од ова. Честната верзија ги именува двете крајни точки, патот меѓу нив и првиот непокриен скок.

Чувајте го излезот од фаќањето и списокот на јазли до документацијата на услугата, за секој што ќе смени рута или ќе додаде мост да види која претпоставка е пред да ја скрши.