ZeroTier മുതൽ LAN വരെ: UFW റൂട്ട് നിയമങ്ങൾ, പോർട്ട് അനുമതിയല്ല

ZeroTier അംഗത്തിലൂടെ ഓഫീസ് LAN-ലെ പ്രിന്ററിലേക്ക് എത്തുന്നത് ഒരു നിയമം പോലെ തോന്നുമെങ്കിലും യഥാർത്ഥത്തിൽ മൂന്ന് വ്യത്യസ്ത സ്ഥലങ്ങളിലെ മൂന്ന് തീരുമാനങ്ങളാണ്. ഓവർലേയ്ക്ക് LAN എവിടെയാണെന്ന് അറിയണം, Linux ഹോസ്റ്റ് പാക്കറ്റുകൾ ഫോർവേഡ് ചെയ്യാൻ തയ്യാറാകണം, LAN-ന് മറുപടി എങ്ങനെ തിരികെ അയക്കണമെന്ന് അറിയണം. ഗേറ്റ്‍വേയിൽ പോർട്ട് തുറക്കുന്ന ഇൻബൗണ്ട് നിയമം ഇവയിലൊന്നിനെയും സ്പർശിക്കുന്നില്ല. ശരിയായ ഹോസ്റ്റിൽ ഉപയോഗിച്ച തെറ്റായ ഉപകരണമാണിത്.

മൂന്ന് ജോലികൾ, മൂന്ന് ഉടമകൾ

മാനേജ്ഡ് റൂട്ട് ZeroTier നെറ്റ്‍വർക്ക് കോൺഫിഗറേഷന്റേതാണ്. ഒരു പ്രിഫിക്സ് ഒരു നിർദ്ദിഷ്ട അംഗ വിലാസത്തിലൂടെ എത്താവുന്നതാണെന്ന് അത് അംഗങ്ങളെ അറിയിക്കുന്നു.

ഫോർവേഡിംഗ് Linux കെർണലിന്റേതും അതിന്റെ ഫയർവാൾ നയം കൈവശമുള്ളവരുടേതുമാണ്. ഓവർലേയിൽ എത്തുന്ന പാക്കറ്റ് ഭൗതിക ഇന്റർഫേസിൽ നിന്ന് വീണ്ടും പുറത്തുപോകുമോ എന്ന് അത് തീരുമാനിക്കുന്നു. ഫോർവേഡ് ചെയ്യാത്ത ഹോസ്റ്റ് പാക്കറ്റ് സ്വീകരിച്ചതിന് ശേഷം നിശബ്ദമായി ഉപേക്ഷിക്കും. അയക്കുന്നയാൾ സമയപരിധി കാണുന്നു, സേവന ലോഗിൽ ഒന്നും പ്രത്യക്ഷപ്പെടുന്നുമില്ല.

തിരിച്ചുള്ള വഴി LAN-ന്റേതാണ്. ഓവർലേ പ്രിഫിക്സ് നിങ്ങളുടെ ഗേറ്റ്‍വേയുടെ LAN വിലാസത്തിലൂടെ എത്താവുന്നതാണെന്ന് അതിന്റെ ഹോസ്റ്റുകളും റൂട്ടറും അറിയണം, അല്ലെങ്കിൽ ഈ ചോദ്യം ഉയരാതിരിക്കാൻ എന്തെങ്കിലും ട്രാഫിക് പരിഭാഷപ്പെടുത്തണം.

ഇവയോരോന്നും ശരിയായിരിക്കെ മറ്റുള്ളവ പരാജയപ്പെടാം, അതുകൊണ്ടാണ് ഗേറ്റ്‍വേയെ പിംഗ് ചെയ്യുന്ന ഒരു പരിശോധന അതിന് പിന്നിലുള്ള സേവനത്തെക്കുറിച്ച് ഒന്നും തെളിയിക്കാത്തത്.

മാനേജ്ഡ് റൂട്ട് അംഗത്തിലേക്ക് തിരിക്കുക

ഉദ്ദേശിക്കുന്ന LAN പ്രിഫിക്സിനുള്ള റൂട്ട്, ഗേറ്റ്‍വേയുടെ LAN വിലാസത്തിലൂടെയല്ല, ഓവർലേ വിലാസത്തിലൂടെ ചേർക്കുക. മറ്റ് അംഗങ്ങൾക്ക് എത്താവുന്ന വിലാസമാണ് ഓവർലേ വിലാസം; LAN വിലാസത്തിന് കേബിളിൽ മാത്രമേ അർത്ഥമുള്ളൂ.

രൂപകൽപ്പന പ്രവർത്തിക്കാൻ അംഗങ്ങൾ മാനേജ്ഡ് റൂട്ടുകൾ സ്വീകരിക്കണം, അവരുടെ സ്വന്തം പ്രാദേശിക നെറ്റ്‍വർക്കുകൾ നിങ്ങൾ പ്രഖ്യാപിക്കുന്ന പ്രിഫിക്സ് ഇതിനകം ഉപയോഗിക്കുന്നതുമാകരുത്. വീട്ടിൽ 192.168.60.0/24-ൽ ഇരിക്കുന്ന ഒരു വിദൂര ലാപ്‍ടോപ്പിനും ഓവർലേയിലൂടെ 192.168.60.0/24 റൂട്ട് ചെയ്യാനാവില്ല.

ജോലി അനുവദിക്കുന്നിടത്തോളം പ്രഖ്യാപിത പ്രിഫിക്സ് ഇടുങ്ങിയതാക്കി സൂക്ഷിക്കുക. മുൻഗണനയെ സ്വാധീനിക്കാൻ വലിയ സമാഹാരം പ്രഖ്യാപിക്കുന്നത് നിങ്ങൾക്കുള്ളതല്ലാത്ത വിലാസ സ്ഥലവും ആവശ്യപ്പെട്ടേക്കാം, അതിൽ നിന്നുള്ള സംഘർഷം രണ്ട് നെറ്റ്‍വർക്കുകളിലേക്കും ബന്ധിപ്പിച്ച ഉപകരണങ്ങളിൽ പ്രത്യക്ഷപ്പെടുന്നു. എങ്ങോട്ടും നയിക്കാത്ത ഒരു വഴിക്ക് അംഗം മുൻഗണന നൽകാനും അത് കാരണമായേക്കാം. റൂട്ട് സത്യസന്ധമാക്കി സൂക്ഷിക്കുക, ബാക്കി നയത്തിന് വിടുക.

പ്രിഫിക്സും അംഗ വിലാസവും ഫയർവാൾ നിയമങ്ങളുള്ള അതേ കുറിപ്പിൽ എഴുതുക, കാരണം ഏറ്റവും സാധാരണമായ തകരാർ തെറ്റായ അംഗത്തിലേക്ക് ചൂണ്ടുന്ന റൂട്ടാണ്.

കെർണലിൽ ട്രാൻസിറ്റ് പ്രവർത്തനക്ഷമമാക്കുക

എന്തെങ്കിലും മാറ്റുന്നതിന് മുമ്പ് നിലവിലെ ഫോർവേഡിംഗ് മൂല്യം വായിക്കുക, തുടർന്ന് റീബൂട്ടിൽ അപ്രത്യക്ഷമാകുന്ന ഒറ്റത്തവണ കമാൻഡിലൂടെയല്ല, നിങ്ങളുടെ സിസ്റ്റം ഇതിനകം ഉപയോഗിക്കുന്ന സംവിധാനത്തിലൂടെ ക്രമീകരണം സ്ഥിരമാക്കുക.

നയം UFW-ന്റേതാണെങ്കിൽ, അതിന്റെ റൂട്ട് നിയമങ്ങൾ ഉറവിടം, ലക്ഷ്യം, ഇന്റർഫേസ് എന്നിവയുടെ ജോഡിക്കുള്ള ഫോർവേഡിംഗ് പ്രകടിപ്പിക്കുന്നു. ഗേറ്റ്‍വേയിൽ തന്നെ സേവനം തുറക്കുന്ന ഇൻബൗണ്ട് നിയമങ്ങളിൽ നിന്ന് ഇവ വേറിട്ടതാണ്:

sysctl net.ipv4.ip_forward
sudo ufw route allow in on zt3f2a1c9d out on eth0 proto tcp to 192.168.60.20 port 443
sudo ufw status verbose

ഇന്റർഫേസിന്റെ പേര് ആ ഹോസ്റ്റിലെ യഥാർത്ഥ ഓവർലേ ഉപകരണമാണ്, അത് ip link-ൽ നിന്ന് വായിക്കാം; എല്ലാ ഇൻസ്റ്റലേഷനുകളിലും ഇത് സ്ഥിരമായ ഒരു സ്ട്രിംഗല്ല. ഹോസ്റ്റ് സ്വതവേ ഫോർവേഡ് ചെയ്യുകയും UFW വഴിയിൽ ഇല്ലാതിരിക്കുകയും ചെയ്താൽ റൂട്ട് നിയമം അവഗണിക്കപ്പെടും, കെർണൽ ക്രമീകരണങ്ങളാണ് പ്രധാനം.

മറുപടികൾ എങ്ങനെ തിരിച്ചുവരുന്നു എന്ന് തിരഞ്ഞെടുക്കുക

ഉറവിടം സംരക്ഷിക്കുമ്പോൾ LAN സേവനം യഥാർത്ഥ ഓവർലേ വിലാസം കാണുകയും അതിന് മറുപടി നൽകുകയും ചെയ്യുന്നു. അതിന് LAN ഹോസ്റ്റിലോ അതിന്റെ റൂട്ടറിലോ ഓവർലേ പ്രിഫിക്സ് നിങ്ങളുടെ ഗേറ്റ്‍വേയിലേക്ക് ചൂണ്ടുന്ന ഒരു റൂട്ട് വേണം, അത് Linux ബോക്സിന് പുറത്തുള്ള മാറ്റമാണ്.

ആ റൂട്ട് ചേർക്കാനാകാത്തപ്പോൾ, പരിമിതമായ ഉറവിട പരിഭാഷ അഭ്യർത്ഥന LAN-ലെ ഗേറ്റ്‍വേയിൽ നിന്ന് വന്നതുപോലെ കാണിക്കുന്നു. അപ്പോൾ മറുപടികൾ പ്രാദേശികമായി തിരിച്ചുവരുന്നു, LAN റൂട്ടിംഗ് മാറ്റേണ്ടതില്ല, പക്ഷേ സേവന ലോഗുകളിൽ യഥാർത്ഥ ഉറവിടം നഷ്ടപ്പെടുന്നു.

പരിഭാഷ ഓവർലേ ഉറവിടത്തിലും നിർദ്ദിഷ്ട LAN ലക്ഷ്യത്തിലും പരിമിതപ്പെടുത്തുക. LAN ഇന്റർഫേസിൽ നിന്ന് പുറത്തുപോകുന്ന എല്ലാം പരിഭാഷപ്പെടുത്തുന്നത് വിശാലമായ പതിപ്പാണ്, അത് പിന്നീട് നിയമങ്ങൾ വായിക്കുന്ന ആരെയും അമ്പരപ്പിക്കും, തടയേണ്ടിയിരുന്ന ട്രാഫിക്കും അത് മറയ്ക്കുന്നു.

ഏത് തിരഞ്ഞെടുപ്പും LAN-ൽ നിന്ന് ഏകപക്ഷീയമായ ഓവർലേ അംഗങ്ങളിലേക്ക് ആവശ്യപ്പെടാത്ത പ്രവേശനം നൽകുന്നില്ല. അത് വേണമെങ്കിൽ അത് സ്വന്തം അവലോകനമുള്ള വേറിട്ട നിയമമാണ്.

യഥാർത്ഥ അംഗത്തിൽ നിന്ന് പരിശോധിക്കുക

ഗേറ്റ്‍വേയിൽ നിന്നല്ല, മറ്റൊരു അംഗത്തിൽ നിന്ന് ബന്ധിപ്പിച്ച് അനുവദിച്ച ഒരു സേവനം അഭ്യർത്ഥിക്കുക. തുടർന്ന് അടച്ചിരിക്കേണ്ട ഒരു സേവനം പരീക്ഷിക്കുക, വീണ്ടും ബന്ധിപ്പിച്ചതിന് ശേഷവും ഗേറ്റ്‍വേ റീബൂട്ട് ചെയ്തതിന് ശേഷവും രണ്ട് പരിശോധനകളും ആവർത്തിക്കുക.

ONLINE റിപ്പോർട്ട് ചെയ്യുന്ന അംഗമോ, ഗേറ്റ്‍വേയുടെ ഓവർലേ വിലാസത്തിലേക്കുള്ള വിജയകരമായ പിംഗോ, റൂട്ട്, ഫോർവേഡ് നിയമം അല്ലെങ്കിൽ തിരിച്ചുള്ള വഴി സ്ഥിരീകരിക്കുന്നില്ല:

zerotier-cli listnetworks
ip -4 route get 192.168.60.20
sudo ufw status numbered

രണ്ടാമത്തെ കമാൻഡ് പാക്കറ്റ് LAN ഹോസ്റ്റിലേക്ക് ഏത് ഇന്റർഫേസ് ഉപയോഗിക്കുമെന്ന് കാണിക്കുന്നു, മൂന്നാമത്തേത് റൂട്ട് നിയമം നിങ്ങൾ ഉദ്ദേശിച്ച രൂപത്തിൽ ഉണ്ടോ എന്നും. രണ്ടും ശരിയെന്ന് തോന്നിയിട്ടും സേവനം സമയപരിധി കവിയുന്നുവെങ്കിൽ, ബാക്കിയുള്ള സംശയം തിരിച്ചുള്ള വഴിയാണ്.