Nebula दीपगृह फिल्टर विरुद्ध फायरवॉल: प्रत्येक काय रोखते

चुकीच्या टोकाकडून Nebula हँडशेक पाहा आणि दोन्ही यंत्रणा परस्पर बदलण्यायोग्य वाटतात। एक ठरवते की नोड दीपगृहाला कोणते पत्ते सांगते आणि कोणते दूरस्थ पत्ते प्रयत्न करेल; दुसरे ठरवते की बोगदा अस्तित्वात आल्यावर काय जाऊ शकते। कोणताही फायरवॉल नियम तपासला जाण्यापूर्वी फिल्टर कनेक्शन थांबवू शकतो, आणि फायरवॉल नियम शोधाने काढलेला टोकबिंदू पुन्हा जिवंत करू शकत नाही। दोन्ही स्तर वेगवेगळ्या प्रश्नांची उत्तरे देतात, आणि त्यांच्या कार्याचा क्रम हीच गुरुकिल्ली आहे।

एक कनेक्शन चार टप्प्यांत पाहा: घोषित स्थानिक पत्ता, विचारात घेतलेला दूरस्थ टोकबिंदू, हँडशेक आणि ओव्हरले रहदारी। प्रत्येक टप्प्याचे स्वतःचे संरचना आणि स्वतःचे अपयश-चिन्ह आहे।

नोड जो स्थानिक पत्ता घोषित करतो त्यापासून सुरुवात करा

local_allow_list दीपगृहांना कळवण्यापूर्वी या होस्टचे स्थानिक पत्ते फिल्टर करते। नोंदी पत्ता-श्रेणी असू शकतात, आणि संरचना इंटरफेस-नाव नमुनेही समर्थित करते। होस्टमध्ये कंटेनर ब्रिज किंवा पीअर टोकबिंदू न बनणारे अतिरिक्त बोगदा इंटरफेस असल्यास हे उपयुक्त आहे।

होस्टचे इंटरफेस पाहा आणि दूरस्थ पीअर प्रत्यक्षात कोणत्या ठिकाणी पोहोचू शकतो हे विचारा। Docker ब्रिज पत्ता त्या होस्टसाठी स्थानिक असतो आणि दुसऱ्या नेटवर्कमधील पीअरसाठी निरुपयोगी असतो। तो घोषित केल्यास शोध वाया जातो आणि पीअरला कधीही उत्तर न देणाऱ्या पत्त्याकडे पाठवले जाऊ शकते। पीअर ज्याकडे मार्गक्रमण करू शकत नाही ते दीपगृहाच्या उत्तरातील गोंगाट आहे।

येथे अरुंद परवानगी यादी रुंद प्रतिबंध यादीपेक्षा सुरक्षित आहे। फक्त परवानगी नोंदी असल्यास, अनिर्दिष्ट उर्वरित वगळले जाते; नंतर प्रतिबंध नोंद जोडल्यास डीफॉल्ट तर्क बदलतो आणि त्याचे स्वतंत्र पुनरावलोकन आवश्यक आहे। त्या बदलास डीफॉल्टकडे दुसऱ्यांदा पाहण्याचे योग्य आहे।

नंतर दूरस्थ टोकबिंदूची निवड पाहा

remote_allow_list हँडशेकदरम्यान हा होस्ट दूरस्थ पीअरसाठी ज्या पत्त्यांचा विचार करेल ते फिल्टर करते। हे अंडरले पत्त्यावर लागू होते, बोगदा उभारल्यानंतर पीअर जो ओव्हरले पत्ता वापरेल त्यावर नाही।

खाजगी श्रेणी सामायिक कार्यालय नेटवर्कमध्ये पूर्णपणे उपयुक्त ठरू शकते आणि दोन्ही होस्ट 10.0.0.0/8 वापरणाऱ्या असंबद्ध नेटवर्कमध्ये असतील तेव्हा अर्थहीन होते। फिल्टर तुम्हाला मार्गक्रमणयोग्य मार्गाला प्राधान्य देण्यास आणि योगायोग दुर्लक्षित करण्यास अनुमती देते।

पीअर कनेक्ट होऊ शकत नसल्यास, प्रयत्न केला जाणारा पत्ता त्याला जुळणाऱ्या नियमाशी तुलना करा। हँडशेक लॉग सुरू करा आणि निवडलेला दूरस्थ पत्ता वाचा; लॉग ओळ फिल्टरिंगमधून गेलेल्या टोकबिंदूचे नाव सांगते, जे पीअरकडील पत्त्यांच्या यादीपेक्षा अधिक उपयुक्त आहे।

घोषणा करणाऱ्या बाजूचा इंटरफेस-नाव फिल्टर स्वीकारणाऱ्या बाजूने पाहण्यापूर्वीच टोकबिंदू काढू शकतो। फक्त एक दिशा अपयशी ठरल्यास दोन्ही नोड तपासा।

हँडशेकनंतर ओव्हरलेचे प्रवेश नियम लागू होतात

Nebula फायरवॉल नियम ओव्हरलेच्या आत, बोगदा स्थापन झाल्यानंतर कार्य करतात। ते होस्ट, गट, पोर्ट आणि प्रोटोकॉल जुळवतात आणि पॅकेट स्थानिक होस्टमध्ये प्रवेश करू शकते की बाहेर पडू शकते हे ठरवतात। ते अंडरले टोकबिंदू निवडत नाहीत।

हा विभाजन सामान्य चुकीचे निदान स्पष्ट करतो। ऑपरेटर पोर्टसाठी फायरवॉल नियम जोडतो आणि तरीही कनेक्ट होऊ शकत नाही, कारण दीपगृह फिल्टरने एकमेव पोहोचण्यायोग्य टोकबिंदू काढला। दुसरा ऑपरेटर पत्ता फिल्टर उघडतो आणि तरीही सेवेपर्यंत पोहोचत नाही, कारण ओव्हरलेचा फायरवॉल पोर्ट नाकारतो।

अपयश योग्य स्तरावर वाचा। कधीही पूर्ण न होणारा हँडशेक शोध, टोकबिंदू फिल्टरिंग किंवा नेटवर्क मार्गाकडे निर्देश करतो। पूर्ण झालेल्या हँडशेकनंतर सेवा कनेक्शन नाकारले किंवा टाकले गेले तर ते ओव्हरलेच्या फायरवॉलकडे किंवा अनुप्रयोगाकडे निर्देश करते।

परवानगी आणि प्रतिबंध मिसळताना डीफॉल्ट वाचा

दीपगृह संरचना केवळ-परवानगी, केवळ-प्रतिबंध आणि मिश्र याद्या समर्थित करते, आणि अनिर्दिष्ट उर्वरितसाठी डीफॉल्ट या आकारांमध्ये भिन्न असतो। मिश्र यादीला पत्ता-कुटुंबासाठी स्पष्ट डीफॉल्ट आवश्यक आहे; उर्वरित मागील संरचनेसारखे वागेल असे गृहीत धरणे हा कार्यरत टोकबिंदू शांतपणे गायब होण्याचा मार्ग आहे।

lighthouse:
  local_allow_list:
    interfaces:
      docker0: false
  remote_allow_list:
    192.168.0.0/16: true
    default: false

डीफॉल्टला नियमाचा भाग माना, टेम्पलेट मजकूर नाही। कुटुंबाचा डीफॉल्ट प्रतिबंध असल्यास, यादीत नसलेला प्रत्येक पत्ता वगळला जातो, संरचना लिहिल्यानंतर जोडलेली नवीन कार्यालय श्रेणीही।

कोणते पत्ते पोहोचण्यायोग्य असावेत ते नोंदवा आणि दोन्ही बाजूंनी चाचणी करा। एका पीअर जोडीसाठी कार्य करणारा फिल्टर दुसऱ्या जोडीसाठी अपयशी ठरू शकतो ज्याचा एकमेव सामायिक मार्ग यादीने वगळलेला पत्ता वापरतो।

कोणताही थेट टोकबिंदू पोहोचण्यायोग्य नसल्यास रिले वापरा

प्रत्येक उमेदवार टोकबिंदू फिल्टर झाला किंवा पोहोचण्यायोग्य नसल्यास, उत्तर तुम्ही विश्वास न ठेवणाऱ्या पत्त्यांचा पुन्हा स्वीकार करणारी रुंद परवानगी यादी नाही। थेट कनेक्टिव्हिटी शक्य नसल्यास Nebula चे रिले संरचना पर्यायी पीअर मार्ग देते।

रिले वाहतूक आणि शोध सोडवते, अधिकृतता नाही, आणि ते फायरवॉल रुंदावत नाही। ओव्हरलेचा फायरवॉल कोणत्या सेवा वापरता येतील हे अजूनही ठरवतो, आणि रिले दीपगृह फिल्टरिंगला प्रवेश-नियंत्रण यंत्रणा बनवत नाही।

थेट टोकबिंदू बंद ठेवून रिले मार्गाची चाचणी करा आणि इच्छित सेवा अजूनही कार्यरत आहे तर अनिच्छित नाही याची खात्री करा। तीच एक चाचणी वाहतूक दुरुस्तीला धोरण बदलापासून वेगळे करते आणि दोन्ही स्तर प्रामाणिक ठेवते।