Adakah HTTP melalui ZeroTier disulitkan? Periksa di mana overlay berakhir

Lakukan semakan ini mengikut urutan dan berhenti pada yang pertama gagal, kerana setiap jawapan mengubah maksud langkah seterusnya. Soalan sebenar itu sempit: adakah HTTP biasa pada rangkaian ZeroTier bergerak dalam bentuk jelas melalui internet? Antara dua rakan ZeroTier, biasanya tidak, kerana overlay menyulitkan hop itu. Namun itu kenyataan tentang dua titik hujung, bukan tentang setiap segmen yang dilalui permintaan. Penghala, jambatan atau proksi terbalik mengalihkan titik hujung, dan teks biasa bermula semula di seberangnya.

Semakan 1: cari alamat yang didail oleh pelayar

Bandingkan URL dengan apa yang sebenarnya dipegang oleh mesin. ip -brief addr show menyenaraikan antara muka zt dan alamat overlay yang diberikan oleh pengawal rangkaian; jika URL menggunakan alamat itu, soket pelayar masuk ke dalam overlay.

Apabila nama itu sebaliknya diselesaikan kepada alamat LAN, overlay mungkin tidak terlibat langsung, apa pun yang disyorkan oleh penunjuk status klien. ip route get 10.147.20.5 mencetak antara muka dan alamat sumber yang akan dipilih oleh kernel, jadi antara muka zt di situ bermaksud paket memasuki overlay dan nama NIC fizikal anda bermaksud ia tidak. Nama menambah lapisan lain: rekod yang menunjuk ke alamat overlay berkelakuan berbeza daripada yang menunjuk ke alamat LAN, dan akhiran carian atau entri fail hosts boleh menentukan secara senyap yang mana satu anda dapat.

Semakan 2: pastikan kedua-dua hujung ialah rakan, bukan geganti yang menyahsulit

ZeroTier menyulitkan antara rakan, dan apabila tiada laluan langsung paket digeganti melalui root yang meneruskannya dalam keadaan masih tersulit. zerotier-cli peers menandakan laluan setiap rakan sebagai DIRECT atau RELAY dengan angka kependaman. Laluan yang digeganti menelan pusingan perjalanan, bukan kerahsiaan.

Yang mengubah jawapan ialah ahli yang sebenarnya bukan titik hujung. Apabila bahagian jauh ialah ahli ZeroTier yang menghala atau menjambatani ke LAN fizikal, overlay berakhir pada ahli itu dan hop seterusnya ialah Ethernet biasa.

Semakan 3: perhatikan di mana permintaan menjadi boleh dibaca

Pada hos yang anda percaya menyajikan halaman itu, tangkap antara muka overlay semasa anda memuat semula: sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'. Baris permintaan yang boleh dibaca dalam output itu membuktikan trafik tiba dalam keadaan telah dinyahsulit pada hos tersebut, dan itulah sempadan yang anda cari.

Kemudian tangkap pada antara muka yang menghadap seluruh LAN. Jika permintaan yang sama muncul di situ dalam bentuk jelas, ia meninggalkan overlay sebelum sampai ke aplikasi dan setiap peranti pada segmen itu boleh membacanya. Jika tiada apa-apa muncul di bahagian LAN dan halaman masih dimuatkan, aplikasi itu menamatkan sambungan pada hos ZeroTier itu sendiri.

Menangkap loopback juga penting apabila proksi terbalik berada di hadapan, kerana proksi yang menerima HTTPS dan meneruskan HTTP mengalihkan sempadan ke bahagian belakangnya sendiri.

Semakan 4: ambil kira setiap hop di belakang penghala atau jambatan

Ahli yang dikonfigurasikan untuk menghala antara overlay dan LAN ialah reka bentuk biasa dan tempat kebanyakan andaian ini runtuh. Overlay melindungi bahagian pelayar-ke-penghala dan tiada apa selepasnya. Jambatan menceritakan kisah yang sama melalui mekanisme berbeza: overlay dan segmen fizikal menjadi satu domain siaran, jadi permintaan daripada komputer riba yang dijambatani melintasi Ethernet biasa walaupun komputer itu berada pada rangkaian ZeroTier.

Jejaki dan jangan andaikan. traceroute daripada klien ke alamat perkhidmatan bersama jadual penghalaan pada ahli get laluan menunjukkan sama ada hop terakhir ialah zt atau eth.

ZeroTier juga menawarkan mod laluan dipercayai yang boleh menggugurkan keselamatan pengangkutan pada laluan setempat tertentu untuk prestasi. Rangkaian yang menggunakannya tidak mewarisi andaian laluan tersulit biasa, jadi baca konfigurasi rangkaian sebelum memetiknya. Dokumentasi protokol menerangkan kedua-dua penyulitan rakan dan pengecualian itu.

Semakan 5: tentukan apa yang masih perlu dilakukan oleh aplikasi

Keahlian overlay mengesahkan peranti kepada rangkaian dan tidak berkata apa-apa tentang sama ada perkhidmatan di hujung sana ialah yang anda mahu capai. HTTPS menjawab soalan berbeza dengan mengikat nama hos kepada kunci, jadi kedua-dua perlindungan bertindih tanpa menggantikan satu sama lain. Rakan yang dibenarkan masih boleh menjadi perkhidmatan yang salah, dan titik hujung yang terjejas membaca permintaan itu sebelum penyulitan dan selepas penyahsulitan. Tiada mekanisme yang mengaudit apa yang direkodkan oleh aplikasi.

Untuk apa-apa yang mempunyai sesi boleh guna semula atau kata laluan, tamatkan TLS pada aplikasi atau pada proksi yang anda kawal dan biarkan pengesahan sijil dihidupkan. Jika perkhidmatan lama perlu kekal pada HTTP biasa, tuliskan laluan hos-ke-hos tepat yang boleh digunakannya, siapa yang boleh mencapainya dan segmen mana yang kekal tidak dilindungi; nota itu yang diperlukan oleh penyemak masa depan.

"VPN disambungkan" bukan penilaian terhadap mana-mana perkara ini. Versi jujur menamakan kedua-dua titik hujung, laluan antaranya, dan hop pertama yang tidak dilindungi.

Simpan output tangkapan dan penyenaraian rakan di sebelah dokumentasi perkhidmatan, supaya sesiapa yang mengubah laluan atau menambah jambatan dapat melihat andaian mana yang akan mereka langgar.