L-HTTP fuq ZeroTier hija kriptata? Iċċekkja fejn jispiċċa l-overlay

Mexxi dawn il-verifiki fl-ordni u waqaf fl-ewwel waħda li tfalli, għax kull tweġiba tibdel it-tifsira tal-pass li jmiss. Il-mistoqsija vera hija dejqa: l-HTTP sempliċi fuq netwerk ZeroTier jivvjaġġa fil-miftuħ fuq l-internet? Bejn żewġ peers ZeroTier normalment le, għax l-overlay jikkriptja dak il-hop. Iżda dik hija dikjarazzjoni dwar żewġ endpoints, mhux dwar kull segment li tgħaddi minnu talba. Router, bridge jew reverse proxy jċaqlaq l-endpoint, u l-plaintext jerġa jibda wara tiegħu.

Verifika 1: sib l-indirizz li jċempel il-browser

Qabbel l-URL ma dak li l-magna fil-fatt għandha. ip -brief addr show jelenka l-interface zt u l-indirizz tal-overlay li assenja l-kontrollur tan-netwerk; jekk l-URL juża dak l-indirizz, is-socket tal-browser jidħol fl-overlay.

Meta minflok l-isem jiġi riżolt għal indirizz LAN, l-overlay jista ma jkun involut xejn, tkun xi tkun il-suggeriment tal-indikatur tal-istat tal-klijent. ip route get 10.147.20.5 jipprintja l-interface u l-indirizz tas-sors li l-kernel jagħżel, allura interface zt hemmhekk ifisser li l-pakkett jidħol fl-overlay u l-isem tan-NIC fiżika tiegħek ifisser li ma jidħolx. L-ismijiet iżidu saff ieħor: rekord li jindika lejn indirizz tal-overlay jġib ruħu b mod differenti minn wieħed li jindika lejn indirizz LAN, u suffiss tat-tiftix jew entrata fil-fajl hosts jistgħu bil-kwiet jiddeċiedu liema wieħed tikseb.

Verifika 2: ikkonferma li ż-żewġ trufijiet huma peers, mhux relay li jiddekriptja

ZeroTier jikkriptja bejn il-peers, u fejn ma jeżistix passaġġ dirett il-pakketti jiġu rrelayjati permezz ta root li jgħaddihom għadhom kriptati. zerotier-cli peers jimmarka l-passaġġ ta kull peer bħala DIRECT jew RELAY b figura tal-latency. Passaġġ irrelayjat jiswa round trips, mhux kunfidenzjalità.

Li jbiddel it-tweġiba huwa membru li mhuwiex verament endpoint. Meta n-naħa l-oħra hija membru ZeroTier li jirroutja jew jibbridġja f LAN fiżika, l-overlay jispiċċa f dak il-membru u l-hop li jmiss huwa Ethernet ordinarju.

Verifika 3: osserva fejn it-talba ssir tinqara

Fuq il-host li temmen li jservi l-paġna, aqbad l-interface tal-overlay waqt li terġa tgħabbi: sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'. Linja tat-talba li tinqara f dak l-output tipprova li t-traffiku wasal dekriptat fuq dak il-host, u dik hija l-fruntiera li qed tfittex.

Imbagħad aqbad fuq l-interface li tħares lejn il-bqija tal-LAN. Jekk l-istess talba tidher hemmhekk fil-miftuħ, ħarġet mill-overlay qabel ma waslet għall-applikazzjoni u kull apparat f dak is-segment jista jaqrah. Jekk ma jidher xejn fuq in-naħa tal-LAN u l-paġna xorta tgħabbi, l-applikazzjoni qed ttemm fuq il-host ZeroTier innifsu.

Li taqbad il-loopback huwa importanti wkoll meta reverse proxy jkun quddiem, għax proxy li jaċċetta HTTPS u jgħaddi HTTP iċaqlaq il-fruntiera lejn il-backend tiegħu stess.

Verifika 4: ikkunsidra kull hop wara router jew bridge

Membru kkonfigurat biex jirroutja bejn l-overlay u LAN hija disinn ordinarju u l-post fejn ħafna minn dawn is-suppożizzjonijiet jinkisru. L-overlay jipproteġi s-saqajn mill-browser sal-router u xejn warajh. Bridge jirrakkonta l-istess storja b mekkaniżmu differenti: l-overlay u s-segment fiżiku jsiru unika broadcast domain, allura talba minn laptop imbriġjat tgħaddi minn Ethernet ordinarju anke jekk dak il-laptop ikun fuq in-netwerk ZeroTier.

Ittraċċjaha minflok tassumi. traceroute mill-klijent għall-indirizz tas-servizz flimkien mat-tabella tar-routing fuq il-membru gateway turi jekk l-aħħar hop huwiex zt jew eth.

ZeroTier joffri wkoll modalità trusted-path li tista tneħħi s-sigurtà tat-trasport fuq passaġġi lokali magħżula għall-prestazzjoni. Netwerk li jużaha ma jirtix is-suppożizzjoni normali tal-passaġġ kriptat, allura aqra l-konfigurazzjoni tan-netwerk qabel ma tikkwota waħda. Id-dokumentazzjoni tal-protokoll tiddeskrivi kemm il-kriptaġġ tal-peers kif ukoll dak l-eċċezzjoni.

Verifika 5: iddeċiedi x għad fadal tagħmel l-applikazzjoni

Sħubija fl-overlay tawtentika apparat ma netwerk u ma tgħid xejn dwar jekk is-servizz fuq in-naħa l-oħra huwiex dak li kellek f moħħok. L-HTTPS iwieġeb mistoqsija differenti billi jorbot hostname ma ċavetta, allura ż-żewġ protezzjonijiet jidħlu fuq xulxin mingħajr ma jissostitwixxu lil xulxin. Peer awtorizzat xorta jista jkun is-servizz ħażin, u endpoint kompromess jaqra t-talba kemm qabel il-kriptaġġ kif ukoll wara d-dekriptaġġ. L-ebda mekkaniżmu ma jagħmel verifika ta dak li tirreġistra l-applikazzjoni.

Għal kull ħaġa b sessjoni li tista terġa tintuża jew b password, temm it-TLS fl-applikazzjoni jew fi proxy li tikkontrolla u ħalli l-validazzjoni taċ-ċertifikat mixgħula. Meta servizz antik irid jibqa fuq HTTP sempliċi, ikteb il-passaġġ eżatt host-to-host li jista juża, min jista jasal għalih u liema segment jibqa mhux protett; dik in-nota hija dak li jkun jeħtieġ reviżur fil-futur.

"Il-VPN hija konnessa" mhijiex valutazzjoni ta xejn minn dan. Il-verżjoni onesta ssemmi ż-żewġ endpoints, il-passaġġ bejniethom, u l-ewwel hop li mhuwiex kopert.

Żomm l-output tal-qbid u l-lista tal-peers ħdejn id-dokumentazzjoni tas-servizz, sabiex min ibiddel rotta jew iżid bridge jara liema suppożizzjoni se jkisser.