Nebula ലൈറ്റ്ഹൗസ് ഫിൽട്ടറുകളും ഫയർവാളും: ഓരോന്നും എന്ത് തടയുന്നു

തെറ്റായ അറ്റത്തുനിന്ന് Nebula ഹാൻഡ്ഷേക്ക് നോക്കിയാൽ രണ്ട് സംവിധാനങ്ങളും പരസ്പരം മാറ്റാവുന്നതായി തോന്നും. ഒന്ന് ഒരു നോഡ് ലൈറ്റ്ഹൗസിന് ഏത് വിലാസങ്ങൾ അറിയിക്കുന്നു, ഏത് ദൂരെ വിലാസങ്ങൾ പരീക്ഷിക്കുന്നു എന്നത് തീരുമാനിക്കുന്നു; മറ്റൊന്ന് ടണൽ നിലവിലുള്ളതിനുശേഷം എന്ത് കടന്നുപോകാം എന്ന് തീരുമാനിക്കുന്നു. ഏതെങ്കിലും ഫയർവാൾ നിയമം വിലയിരുത്തുന്നതിന് മുമ്പ് ഫിൽട്ടറിന് ഒരു കണക്ഷൻ നിർത്താം, എന്നാൽ കണ്ടെത്തൽ നീക്കംചെയ്ത എൻഡ്പോയിന്റിനെ ഫയർവാൾ നിയമത്തിന് പുനരുജ്ജീവിപ്പിക്കാനാവില്ല. രണ്ട് പാളികളും വ്യത്യസ്ത ചോദ്യങ്ങൾക്ക് ഉത്തരം നൽകുന്നു, അവ പ്രവർത്തിക്കുന്ന ക്രമമാണ് താക്കോൽ.

ഒരു കണക്ഷനെ നാല് ഘട്ടങ്ങളിലൂടെ പിന്തുടരുക: പ്രഖ്യാപിച്ച പ്രാദേശിക വിലാസം, പരിഗണിക്കുന്ന ദൂരെ എൻഡ്പോയിന്റ്, ഹാൻഡ്ഷേക്ക്, ഓവർലേ ട്രാഫിക്. ഓരോ ഘട്ടത്തിനും സ്വന്തം കോൺഫിഗറേഷനും സ്വന്തം പരാജയ അടയാളവുമുണ്ട്.

നോഡ് പ്രഖ്യാപിക്കുന്ന പ്രാദേശിക വിലാസത്തിൽ നിന്ന് തുടങ്ങുക

local_allow_list ഈ ഹോസ്റ്റിന്റെ പ്രാദേശിക വിലാസങ്ങൾ ലൈറ്റ്ഹൗസുകളെ അറിയിക്കുന്നതിന് മുമ്പ് ഫിൽട്ടർ ചെയ്യുന്നു. എൻട്രികൾ വിലാസ ശ്രേണികളാകാം, കൂടാതെ കോൺഫിഗറേഷൻ ഇന്റർഫേസ് നാമ പാറ്റേണുകളും പിന്തുണയ്ക്കുന്നു. ഹോസ്റ്റിൽ കണ്ടെയ്നർ ബ്രിഡ്ജുകളോ പിയർ എൻഡ്പോയിന്റുകളാകരുതാത്ത അധിക ടണൽ ഇന്റർഫേസുകളോ ഉള്ളപ്പോൾ ഇത് ഉപകാരപ്രദമാണ്.

ഹോസ്റ്റിന്റെ ഇന്റർഫേസുകൾ പരിശോധിച്ച് ദൂരെ പിയറിന് യഥാർത്ഥത്തിൽ ഏതിൽ എത്താനാകും എന്ന് ചോദിക്കുക. Docker ബ്രിഡ്ജ് വിലാസം ആ ഹോസ്റ്റിന് പ്രാദേശികമാണ്, മറ്റൊരു നെറ്റ്വർക്കിലെ പിയറിന് ഉപയോഗശൂന്യമാണ്. അത് പ്രഖ്യാപിക്കുന്നത് കണ്ടെത്തൽ പാഴാക്കുകയും ഒരിക്കലും പ്രതികരിക്കാത്ത വിലാസത്തിലേക്ക് പിയറിനെ അയയ്ക്കുകയും ചെയ്യാം. പിയറിന് റൂട്ട് ചെയ്യാനാകാത്തതെല്ലാം ലൈറ്റ്ഹൗസ് പ്രതികരണത്തിലെ ശബ്ദമാണ്.

ഇവിടെ ഇടുങ്ങിയ അനുമതി പട്ടിക വിശാല നിരോധന പട്ടികയേക്കാൾ സുരക്ഷിതമാണ്. അനുമതി എൻട്രികൾ മാത്രമുണ്ടെങ്കിൽ വ്യക്തമാക്കാത്ത ബാക്കി ഒഴിവാക്കപ്പെടും; പിന്നീട് നിരോധന എൻട്രി ചേർക്കുന്നത് ഡിഫോൾട്ട് യുക്തി മാറ്റുന്നു, അതിന് പ്രത്യേക അവലോകനം വേണം. ആ മാറ്റം ഡിഫോൾട്ടിലേക്ക് രണ്ടാമതൊരു നോട്ടത്തിന് അർഹമാണ്.

തുടർന്ന് ദൂരെ എൻഡ്പോയിന്റ് തിരഞ്ഞെടുപ്പ് നിരീക്ഷിക്കുക

remote_allow_list ഹാൻഡ്ഷേക്കിനിടയിൽ ഈ ഹോസ്റ്റ് ദൂരെ പിയറിനായി പരിഗണിക്കുന്ന വിലാസങ്ങൾ ഫിൽട്ടർ ചെയ്യുന്നു. ഇത് അണ്ടർലേ വിലാസത്തിന് ബാധകമാണ്, ടണൽ ഉയർന്നതിനുശേഷം പിയർ ഉപയോഗിക്കുന്ന ഓവർലേ വിലാസത്തിനല്ല.

ഒരു സ്വകാര്യ ശ്രേണി പങ്കിട്ട ഓഫീസ് നെറ്റ്വർക്കിൽ പൂർണ്ണമായും ഉപയോഗപ്രദമാകാം, രണ്ട് ഹോസ്റ്റുകളും 10.0.0.0/8 ഉപയോഗിക്കുന്ന ബന്ധമില്ലാത്ത നെറ്റ്വർക്കുകളിലായാൽ അത് അർത്ഥശൂന്യമാകും. റൂട്ട് ചെയ്യാവുന്ന പാതയ്ക്ക് മുൻഗണന നൽകാനും യാദൃച്ഛികത അവഗണിക്കാനും ഫിൽട്ടർ അനുവദിക്കുന്നു.

പിയറിന് കണക്ട് ചെയ്യാനാവാതെ വന്നാൽ, പരീക്ഷിക്കുന്ന വിലാസത്തെ അതിന് പൊരുത്തപ്പെടുന്ന നിയമവുമായി താരതമ്യം ചെയ്യുക. ഹാൻഡ്ഷേക്ക് ലോഗുകൾ പ്രവർത്തനക്ഷമമാക്കി തിരഞ്ഞെടുത്ത ദൂരെ വിലാസം വായിക്കുക; ലോഗ് വരി ഫിൽട്ടറിംഗ് അതിജീവിച്ച എൻഡ്പോയിന്റ് പേരിടുന്നു, അത് പിയറിനുള്ള വിലാസങ്ങളുടെ പട്ടികയേക്കാൾ ഉപകാരപ്രദമാണ്.

പ്രഖ്യാപിക്കുന്ന ഭാഗത്തെ ഇന്റർഫേസ് നാമ ഫിൽട്ടർ സ്വീകരിക്കുന്ന ഭാഗം അത് കാണുന്നതിന് മുമ്പേ എൻഡ്പോയിന്റ് നീക്കംചെയ്യാം. ഒരു ദിശ മാത്രം പരാജയപ്പെടുമ്പോൾ രണ്ട് നോഡുകളും പരിശോധിക്കുക.

ഹാൻഡ്ഷേക്കിനുശേഷം ഓവർലേ ആക്സസ് നിയമങ്ങൾ ബാധകമാണ്

Nebula ഫയർവാൾ നിയമങ്ങൾ ഓവർലേയ്ക്കുള്ളിൽ, ടണൽ സ്ഥാപിച്ചതിനുശേഷം പ്രവർത്തിക്കുന്നു. അവ ഹോസ്റ്റുകൾ, ഗ്രൂപ്പുകൾ, പോർട്ടുകൾ, പ്രോട്ടോക്കോളുകൾ എന്നിവ പൊരുത്തപ്പെടുത്തുകയും ഒരു പാക്കറ്റിന് പ്രാദേശിക ഹോസ്റ്റിൽ പ്രവേശിക്കാനോ പുറത്തുപോകാനോ കഴിയുമോ എന്ന് തീരുമാനിക്കുകയും ചെയ്യുന്നു. അവ അണ്ടർലേ എൻഡ്പോയിന്റ് തിരഞ്ഞെടുക്കുന്നില്ല.

ഈ വേർതിരിവ് സാധാരണമായ ഒരു തെറ്റായ രോഗനിർണ്ണയം വിശദീകരിക്കുന്നു. ഒരു ഓപ്പറേറ്റർ ഒരു പോർട്ടിന് ഫയർവാൾ നിയമം ചേർത്തിട്ടും കണക്ട് ചെയ്യാനാവുന്നില്ല, കാരണം ലൈറ്റ്ഹൗസ് ഫിൽട്ടർ എത്തിച്ചേരാവുന്ന ഏക എൻഡ്പോയിന്റ് നീക്കംചെയ്തു. മറ്റൊരു ഓപ്പറേറ്റർ വിലാസ ഫിൽട്ടർ തുറന്നിട്ടും സേവനത്തിൽ എത്തുന്നില്ല, കാരണം ഓവർലേ ഫയർവാൾ പോർട്ട് നിരസിക്കുന്നു.

പരാജയം ശരിയായ പാളിയിൽ വായിക്കുക. ഒരിക്കലും പൂർത്തിയാകാത്ത ഹാൻഡ്ഷേക്ക് കണ്ടെത്തൽ, എൻഡ്പോയിന്റ് ഫിൽട്ടറിംഗ് അല്ലെങ്കിൽ നെറ്റ്വർക്ക് പാത ചൂണ്ടിക്കാണിക്കുന്നു. പൂർത്തിയായ ഹാൻഡ്ഷേക്കിനുശേഷം സേവന കണക്ഷൻ നിരസിക്കപ്പെടുകയോ ഉപേക്ഷിക്കപ്പെടുകയോ ചെയ്താൽ അത് ഓവർലേ ഫയർവാൾ അല്ലെങ്കിൽ ആപ്ലിക്കേഷനെ ചൂണ്ടിക്കാണിക്കുന്നു.

അനുമതിയും നിരോധനവും കലർത്തുമ്പോൾ ഡിഫോൾട്ട് വായിക്കുക

ലൈറ്റ്ഹൗസ് കോൺഫിഗറേഷൻ അനുമതി-മാത്രം, നിരോധന-മാത്രം, മിശ്രിത പട്ടികകൾ പിന്തുണയ്ക്കുന്നു, വ്യക്തമാക്കാത്ത ബാക്കിക്കുള്ള ഡിഫോൾട്ട് ഈ രൂപങ്ങൾക്കിടയിൽ വ്യത്യാസപ്പെടുന്നു. മിശ്രിത പട്ടികയ്ക്ക് വിലാസ കുടുംബത്തിന് വ്യക്തമായ ഡിഫോൾട്ട് വേണം; ബാക്കി മുൻ കോൺഫിഗറേഷൻ പോലെ പെരുമാറും എന്ന് കരുതുന്നതാണ് പ്രവർത്തിച്ചിരുന്ന എൻഡ്പോയിന്റ് നിശബ്ദമായി അപ്രത്യക്ഷമാകുന്ന വഴി.

lighthouse:
  local_allow_list:
    interfaces:
      docker0: false
  remote_allow_list:
    192.168.0.0/16: true
    default: false

ഡിഫോൾട്ടിനെ നിയമത്തിന്റെ ഭാഗമായി കാണുക, ടെംപ്ലേറ്റ് പാഠമായി അല്ല. കുടുംബത്തിന്റെ ഡിഫോൾട്ട് നിരോധനമാണെങ്കിൽ, പട്ടികയിലില്ലാത്ത ഓരോ വിലാസവും ഒഴിവാക്കപ്പെടും, കോൺഫിഗറേഷൻ എഴുതിയതിനുശേഷം ചേർത്ത പുതിയ ഓഫീസ് ശ്രേണിയും ഉൾപ്പെടെ.

ഏത് വിലാസങ്ങൾ എത്തിച്ചേരാവുന്നതായിരിക്കണമായിരുന്നു എന്ന് രേഖപ്പെടുത്തി ഇരുവശത്തുനിന്നും പരീക്ഷിക്കുക. ഒരു പിയർ ജോടിക്ക് പ്രവർത്തിക്കുന്ന ഫിൽട്ടർ, ഏക സാധാരണ പാത പട്ടിക ഒഴിവാക്കുന്ന വിലാസം ഉപയോഗിക്കുന്ന മറ്റൊരു ജോടിക്ക് പരാജയപ്പെടാം.

നേരിട്ടുള്ള എൻഡ്പോയിന്റ് എത്തിച്ചേരാനാവാത്തപ്പോൾ റിലേ ഉപയോഗിക്കുക

ഓരോ സ്ഥാനാർത്ഥി എൻഡ്പോയിന്റും ഫിൽട്ടർ ചെയ്യപ്പെടുകയോ എത്തിച്ചേരാനാവാത്തതാകുകയോ ചെയ്താൽ, ഉത്തരം നിങ്ങൾ വിശ്വസിക്കാത്ത വിലാസങ്ങൾ വീണ്ടും സ്വീകരിക്കുന്ന വിശാല അനുമതി പട്ടികയല്ല. നേരിട്ടുള്ള കണക്റ്റിവിറ്റി സാധ്യമല്ലാത്തപ്പോൾ Nebula യുടെ റിലേ കോൺഫിഗറേഷൻ ബദൽ പിയർ പാത നൽകുന്നു.

റിലേ ഗതാഗതവും കണ്ടെത്തലും പരിഹരിക്കുന്നു, അധികാരപ്പെടുത്തലല്ല, അത് ഫയർവാൾ വിപുലീകരിക്കുന്നുമില്ല. ഓവർലേ ഫയർവാൾ ഏത് സേവനങ്ങൾ ഉപയോഗിക്കാമെന്ന് ഇപ്പോഴും തീരുമാനിക്കുന്നു, റിലേ ലൈറ്റ്ഹൗസ് ഫിൽട്ടറിംഗിനെ ആക്സസ് നിയന്ത്രണ സംവിധാനമാക്കി മാറ്റുന്നുമില്ല.

നേരിട്ടുള്ള എൻഡ്പോയിന്റുകൾ പ്രവർത്തനരഹിതമാക്കി റിലേ പാത പരീക്ഷിച്ച്, ഉദ്ദേശിച്ച സേവനം ഇപ്പോഴും പ്രവർത്തിക്കുന്നുവെന്നും ഉദ്ദേശിക്കാത്തത് പ്രവർത്തിക്കുന്നില്ലെന്നും ഉറപ്പാക്കുക. ആ ഒരു പരീക്ഷണം ഗതാഗത പരിഹാരത്തെ നയപരിഷ്കാരത്തിൽനിന്ന് വേർതിരിക്കുന്നു, രണ്ട് പാളികളെയും സത്യസന്ധമായി നിലനിർത്തുന്നു.