Filtri tal-fanal ta’ Nebula kontra l-firewall: x’in jibblokka kull wieħed

Ħares lejn handshake ta’ Nebula mit-tarf il-ħażin u ż-żewġ mekkaniżmi jidhru jistgħu jibdlu ma’ xulxin. Wieħed jiddeċiedi liema indirizzi nod jgħid lill-fanal u liema indirizzi mbiegħda se jipprova; l-ieħor jiddeċiedi x’jista’ jgħaddi ladarba t-tunnell jeżisti. Filtru jista’ jwaqqaf konnessjoni qabel ma tiġi evalwata xi regola tal-firewall, u regola tal-firewall ma tistax terġa’ tqajjem punt tat-tarf li n-nefħa neħħiet. Iż-żewġ saffi jwieġbu mistoqsijiet differenti, u l-ordni li fih jaġixxu hija l-muftieħ.

Segwi konnessjoni waħda f’erba’ stadji: l-indirizz lokali mħabbar, il-punt tat-tarf imbiegħed ikkunsidrat, il-handshake u t-traffiku fis-saff ta’ fuq. Kull stadju għandu l-konfigurazzjoni tiegħu u l-marka tiegħu tal-falliment.

Ibda mill-indirizz lokali li n-nod iħabbar

local_allow_list jiffiltra l-indirizzi lokali ta’ dan il-host qabel ma jiġu rrappurtati lill-fanali. Id-dħul jista’ jkun firxiet ta’ indirizzi, u l-konfigurazzjoni tappoġġa wkoll mudelli tal-isem tal-interface. Dan huwa utli meta host ikollu pontijiet tal-kontenitur jew interfaces ta’ tunnell addizzjonali li m’għandhomx isiru punti tat-tarf tal-pari.

Għaddi mill-interfaces tal-host u staqsi liema minnhom pari mbiegħed jista’ verament jilħaq. Indirizz tal-pont Docker huwa lokali għal dak il-host u bla użu għal pari f’network ieħor. Li tħabbru jaħli n-nefħa u jista’ jibgħat pari lejn indirizz li qatt ma jwieġeb. Kull ma pari ma jistax jirrotta lejh huwa storbju fir-risposta tal-fanal.

Lista ta’ permess dejqa hija aktar sikura hawn minn lista ta’ projbizzjoni wiesgħa. Jekk hemm biss dħul ta’ permess, il-bqija mhux speċifikat jiġi eskluż; li żżid dħul ta’ projbizzjoni aktar tard tbiddel il-loġika tal-default u teħtieġ reviżjoni tagħha stess. Dak it-tibdil jistħoqqlu ħarsa oħra lejn il-default.

Imbagħad osserva l-għażla tal-punt tat-tarf imbiegħed

remote_allow_list jiffiltra l-indirizzi li dan il-host se jikkunsidra għal pari mbiegħed waqt handshake. Japplika għall-indirizz tas-saff t’isfel, mhux għall-indirizz tas-saff ta’ fuq li l-pari se juża wara li t-tunnell jitla’.

Firxa privata tista’ tkun perfettament użabbli fuq network tal-uffiċċju kondiviż u bla sens meta ż-żewġ hosts ikunu fi networks mhux relatati li t-tnejn jużaw 10.0.0.0/8. Il-filtru jħallik tippreferi t-triq li tista’ tiġi rrotta u tinjora l-koinċidenza.

Meta pari ma jirnexxilux jikkonnettja, qabbel l-indirizz li qed jiġi pprovat mar-regola li taqbel miegħu. Ixgħel il-logs tal-handshake u aqra l-indirizz imbiegħed magħżul; il-linja tal-log issemmi l-punt tat-tarf li baqa’ ħaj mill-filtrazzjoni, li huwa aktar utli mil-lista ta’ indirizzi li għandu l-pari.

Filtru tal-isem tal-interface fuq in-naħa li tħabbar jista’ jneħħi l-punt tat-tarf qabel in-naħa li tirċievi taraħ. Iċċekkja ż-żewġ nodi meta tonqos direzzjoni waħda biss.

Wara l-handshake japplikaw ir-regoli tal-aċċess tas-saff ta’ fuq

Ir-regoli tal-firewall ta’ Nebula jaħdmu ġewwa s-saff ta’ fuq, wara li t-tunnell jiġi stabbilit. Huma jqabblu hosts, gruppi, ports u protokolli, u jiddeċiedu jekk pakkett jistax jidħol fil-host lokali jew joħroġ minnu. Ma jagħżlux punt tat-tarf fis-saff t’isfel.

Dan is-separazzjoni tispjega dijanjosi żbaljata komuni. Operatur iżid regola tal-firewall għal port u xorta ma jistax jikkonnettja, għax il-filtru tal-fanal neħħa l-uniku punt tat-tarf li jista’ jintlaħaq. Operatur ieħor jiftaħ il-filtru tal-indirizzi u xorta ma jilħaqx is-servizz, għax il-firewall tas-saff ta’ fuq jirrifjuta l-port.

Aqra l-falliment fis-saff it-tajjeb. Handshake li qatt ma jitlesta jindika n-nefħa, il-filtrazzjoni tal-punti tat-tarf jew it-triq tan-network. Handshake komplut segwit minn konnessjoni ta’ servizz miċħuda jew mitluqa jindika l-firewall tas-saff ta’ fuq jew l-applikazzjoni.

Aqra l-default meta tħallat permess u projbizzjoni

Il-konfigurazzjoni tal-fanal tappoġġa listi biss-permess, biss-projbizzjoni u mħallta, u l-default għall-bqija mhux speċifikat ivarja bejn dawn il-forom. Lista mħallta teħtieġ default espliċitu għall-familja tal-indirizzi; li tassumi li l-bqija jġib ruħu bħall-konfigurazzjoni preċedenti hija t-triq li biha punt tat-tarf li jaħdem jisparixxi bil-kwiet.

lighthouse:
  local_allow_list:
    interfaces:
      docker0: false
  remote_allow_list:
    192.168.0.0/16: true
    default: false

Ittratta l-default bħala parti mir-regola, mhux bħala test tal-mudell. Jekk id-default tal-familja huwa projbizzjoni, kull indirizz mhux elenkat jiġi eskluż, inkluż firxa ġdida tal-uffiċċju miżjuda wara li l-konfigurazzjoni nkitbet.

Irreġistra liema indirizzi kellhom ikunu aċċessibbli u ttestja miż-żewġ naħat. Filtru li jaħdem għal par pari jista’ jfalli għal par ieħor li l-unika triq komuni tiegħu tuża indirizz li l-lista teskludi.

Uża relay meta l-ebda punt tat-tarf dirett ma jkun aċċessibbli

Jekk kull punt tat-tarf kandidat jiġi ffiltrat jew mhux aċċessibbli, it-tweġiba mhix lista ta’ permess aktar wiesgħa li terġa’ tilqa’ indirizzi li ma tafdax. Il-konfigurazzjoni tar-relay ta’ Nebula tipprovdi triq tal-pari alternattiva meta l-konnettività diretta mhix prattika.

Relay isolvi t-trasport u n-nefħa, mhux l-awtorizzazzjoni, u ma jwessax il-firewall. Il-firewall tas-saff ta’ fuq xorta jiddeċiedi liema servizzi jistgħu jintużaw, u r-relay ma jbiddilx il-filtrazzjoni tal-fanal fi mekkaniżmu ta’ kontroll tal-aċċess.

Ittestja t-triq tar-relay bl-punti tat-tarf diretti itfi u kkonferma li s-servizz maħsub xorta jaħdem filwaqt li wieħed mhux maħsub ma jaħdimx. Dak it-test wieħed jifred tiswija tat-trasport minn bidla fil-politika u jżomm iż-żewġ saffi onesti.