ZeroTier-ээс локал сүлжээ рүү: UFW маршрутын дүрэм, портын зөвшөөрөл биш

ZeroTier гишүүнээр дамжуулан оффисын локал сүлжээн дэх принтерт хүрэх нь нэг дүрэм мэт сонсогддог ч үнэндээ гурван өөр газар гурван шийдвэр юм. Давхаргат сүлжээ локал сүлжээ хаана байгааг мэдэх ёстой, Linux хост пакетуудыг дамжуулахад бэлэн байх ёстой, локал сүлжээ хариуг хэрхэн буцаахыг мэдэх ёстой. Гарц дээр порт нээх орж ирэх дүрэм эдгээрийн аль нэгэнд ч хүрэхгүй. Энэ бол зөв хост дээр тавьсан буруу хэрэгсэл.

Гурван ажил, гурван эзэн

Удирдлагатай маршрут нь ZeroTier сүлжээний тохиргоонд хамаарна. Энэ нь гишүүдэд префикс тодорхой гишүүний хаягаар хүрэх боломжтойг мэдэгдэнэ.

Дамжуулалт нь Linux цөм болон түүний галын хананы бодлогыг эзэмшигчид хамаарна. Давхаргат сүлжээнд ирсэн пакет физик интерфэйсээр дахин гарах эсэхийг шийднэ. Дамжуулдаггүй хост пакетыг хүлээн авсны дараа чимээгүй хаяна. Илгээгч хугацаа дууссаныг харж, үйлчилгээний логт юу ч харагдахгүй.

Буцах зам нь локал сүлжээнд хамаарна. Түүний хост, чиглүүлэгч нь давхаргат сүлжээний префикс таны гарцын локал хаягаар хүрэх боломжтойг мэдэх ёстой, эс бөгөөс энэ асуулт огт гарахгүйн тулд ямар нэгэн зүйл урсгалыг хөрвүүлэх ёстой.

Эдгээрийн аль нэг нь зөв байхын зэрэгцээ бусды нь бүтэлгүйтэж болох тул гарцыг пинг хийхээс өөр зүйл хийдэггүй шалгалт түүний ард байгаа үйлчилгээний талаар юу ч батлахгүй.

Удирдлагатай маршрутыг гишүүн рүү чиглүүл

Хүссэн локал префиксэд зориулсан маршрутыг гарцын давхаргат хаягаар, түүний локал хаягаар биш нэмнэ үү. Давхаргат хаяг нь бусад гишүүд хүрч чадах хаяг; локал хаяг нь зөвхөн утсан дээр утгатай.

Дизайн ажиллахын тулд гишүүд удирдлагатай маршрутыг хүлээн авах ёстой бөгөөд тэдний өөрийн локал сүлжээнүүд таны зарлаж буй префиксыг аль хэдийн ашиглаж байж болохгүй. Гэртээ 192.168.60.0/24 дээр байгаа алсын зөөврийн компьютер ч 192.168.60.0/24-ийг давхаргат сүлжээгээр чиглүүлж чадахгүй.

Зарласан префиксыг даалгавар зөвшөөрөх хэмжээнд нарийн байлга. Давуу талд нөлөөлөх үүднээс илүү том нэгдлийг зарлах нь таны мэдэлд байхгүй хаягийн орон зайг ч шаардаж болох бөгөөд үүнээс үүдсэн зөрчил хоёр сүлжээнд холбогдсон төхөөрөмжүүд дээр илэрнэ. Энэ нь гишүүнийг хаашаа ч хүрэхгүй замд давуу тал өгөхөд хүргэж болно. Маршрутыг шударга байлга, үлдсэнийг бодлого хийг.

Префикс болон гишүүний хаягыг галын хананы дүрэмтэй ижил тэмдэглэлд бич, учир нь хамгийн түгээмэл гэмтэл нь буруу гишүүн рүү чиглэсэн маршрут юм.

Цөмд дамжуулалтыг асаа

Ямар нэг зүйлийг өөрчлөхөөс өмнө ажиллаж буй дамжуулалтын утгыг унш, дараа нь тохиргоог дахин ачаалахад алга болдог нэг удаагийн тушаалаар биш, таны систем аль хэдийн ашигладаг механизмаар байнгын болго.

Хэрэв бодлого UFW-д хамаарна бол түүний маршрутын дүрмүүд эх, очих газар, интерфэйсийн хосын дамжуулалтыг илэрхийлнэ. Эдгээр нь гарц дээр өөрөө үйлчилгээ нээх орж ирэх дүрмээс тусдаа:

sysctl net.ipv4.ip_forward
sudo ufw route allow in on zt3f2a1c9d out on eth0 proto tcp to 192.168.60.20 port 443
sudo ufw status verbose

Интерфэйсийн нэр нь тухайн хост дээрх бодит давхаргат төхөөрөмж бөгөөд үүнийг ip link-ээс уншиж болно; энэ нь бүх суулгалтад ижил тогтмол мөр биш. Хэрэв хост анхдагчаар дамжуулж, UFW замд байхгүй бол маршрутын дүрэм үл харгалзагдаж, цөмийн тохиргоо чухал болно.

Хариултууд хэрхэн буцаж ирэхийг сонго

Эхийг хадгалах үед локал сүлжээний үйлчилгээ бодит давхаргат хаягыг харж, түүнд хариулна. Үүнд локал хост эсвэл түүний чиглүүлэгч дээр давхаргат префиксыг таны гарц руу чиглүүлэх маршрут хэрэгтэй бөгөөд энэ нь Linux хайрцгаас гадуурх өөрчлөлт юм.

Тэр маршрутыг нэмж чадахгүй үед хязгаарлагдмал эхийн хөрвүүлэлт хүсэлтийг локал сүлжээний гарцаас ирсэн мэт харагдуулна. Тэгвэл хариултууд локалоор буцаж, локал сүлжээний чиглүүлэлтийг өөрчлөх шаардлагагүй, харин үйлчилгээний логт анхны эх алдагдана.

Хөрвүүлэлтийг давхаргат эх болон тодорхой локал очих газарт хязгаарла. Локал интерфэйсээс гарч буй бүгдийг хөрвүүлэх нь өргөн хувилбар бөгөөд дараа нь дүрмийг уншсан хүн бүрийг гайхшруулж, хаах ёстой байсан урсгалыг ч нуудаг.

Хоёр сонголтын аль нь ч локал сүлжээнээс дур зоргоороо давхаргат гишүүд рүү хүсээгүй хандалт өгөхгүй. Хэрэв үүнийг хүсвэл энэ нь өөрийн хяналттай тусдаа дүрэм.

Бодит гишүүнээс шалга

Гарцаас биш, өөр гишүүнээс холбогдож, зөвшөөрөгдсөн нэг үйлчилгээг хүс. Дараа нь хаалттай байх ёстой үйлчилгээг туршиж, хоёр шалгалтыг дахин холбогдсоны дараа болон гарцыг дахин ачаалсны дараа давт.

ONLINE гэж мэдээлдэг гишүүн, эсвэл гарцын давхаргат хаяг руу амжилттай пинг нь маршрут, дамжуулалтын дүрэм эсвэл буцах замыг батлахгүй:

zerotier-cli listnetworks
ip -4 route get 192.168.60.20
sudo ufw status numbered

Хоёр дахь тушаал пакет локал хост руу ямар интерфэйсээр явахыг, гурав дахь нь маршрутын дүрэм таны санасан хэлбэрээр байгаа эсэхийг харуулна. Хоёулаа зөв харагдаж байтал үйлчилгээ хугацаа хэтэрсээр байвал үлдсэн сэжигтэн нь буцах зам юм.