In-nodu tal-ħruġ ta' ZeroTier ma jaħdimx? Iċċekkja r-rotta, in-NAT u l-klijent
Rotta 0.0.0.0/0 fil-klijent mhix ħruġ. In-nodu għandu jgħaddi u jittraduċi, in-netwerk għandu jħabbar ir-rotta, u l-klijent għandu jaċċettaha.
It-tabella tar-rotot turi rotta default mill-interfaċċa ZeroTier, in-netwerk jirrapporta online, u l-browser xorta joħroġ mill-indirizz ISP lokali. Din il-kombinazzjoni hija komuni u mhix bug fil-klijent. Rotta default tgħid biss fejn għandhom imorru l-pakketti; xi ħaġa trid tgħaddihom u tittraduċihom fit-tarf l-ieħor. Tliet partijiet separati għandhom ikunu veri qabel nodu tal-ħruġ jaħdem.
Ir-rotta teżisti imma xejn ma joħroġ
L-ewwel iċċekkja t-tabella tar-rotot tal-klijent. Linja bħal default via 10.147.20.5 dev zt0 tipprova li r-rotta ġiet installata, mhux li d-destinazzjoni se taċċetta t-traffiku. Il-hop li jmiss għandu jkun membru li huwa lest u kapaċi jgħaddiha.
Jekk l-istess talba għadha toħroġ mill-interfaċċa fiżika, il-klijent ma installax ir-rotta, jew installaha b'metrika li tilfet kontra d-default lokali. Jekk it-talba tisparixxi wara li tiġi installata r-rotta, il-membru tal-ħruġ qed jirċievi pakketti u qed jonqos milli jgħaddihom jew jittraduċihom. Klijent li jżomm id-default fiżiku ma jibgħat l-ebda pakkett lill-ħruġ.
Din id-distinzjoni tiddeċiedi fejn taħdem. Li tqabbel indirizz pubbliku qabel u wara l-bidla jifred rotta li qatt ma ntużat minn waħda li ntużat u ntrejqet, u jeħtieġ ordni waħda minflok reviżjoni tal-konfigurazzjoni kollha. Agħmel il-paragun qabel tibdel xi ħaġa oħra, sabiex iż-żewġ riżultati jiġu mill-istess stat inizjali.
Tliet partijiet li kollha għandhom ikunu veri
Ħruġ huwa katina, u l-aktar ħolqa dgħajfa tiddetermina s-sintomu. It-tabella hawn taħt telenka l-ħoloq fl-ordni li fihom normalment jonqsu.
| Part | Where it lives | What a failure looks like |
|---|---|---|
| Forwarding and NAT | Exit node kernel and firewall | Traffic arrives, no reply |
| Managed default route | ZeroTier network controller | No default via the tunnel on the member |
| Client acceptance | Member's per-network setting | Route offered but not installed |
| DNS behavior | Client resolver configuration | Pages fail by name, IP works |
L-ewwel ringiela hija dik li l-isem tal-għażla jaħbi. Membru jsir ħruġ biss meta l-qalba tiegħu tgħaddi pakketti bejn l-interfaċċa ZeroTier u l-interfaċċa li tħares lejn l-internet, u meta l-passaġġ tar-risposta jiġi tradott lura lejn il-mina. Mingħajr dak it-tgħaddi, il-membru huwa pari, mhux gateway.
Ir-ringiela tal-kontrollur hija awtorizzazzjoni, mhux konfigurazzjoni. Li tħabbar 0.0.0.0/0 permezz ta' membru jgħid lil kull klijent fejn jinsab il-ħruġ; dan ma jagħmilx dak il-membru kapaċi jġorr it-traffiku. Lanqas ma jivverifika li l-membru għandu passaġġ li jaħdem lejn l-internet. Id-dokumentazzjoni ta' ZeroTier dwar in-nodu tal-ħruġ tkopri l-istess diviżjoni bejn nodu, rotta u klijent.
Ikkonfigura n-nodu tal-ħruġ biex jgħaddi u jittraduċi
Attiva t-tgħaddi tal-IPv4 b'mod persistenti, imbagħad żid NAT tas-sors għat-traffiku li jħalli l-interfaċċa WAN. Ir-regoli tal-filtru għandhom jippermettu l-fluss mgħoddi fiż-żewġ direzzjonijiet, għax it-tgħaddi u t-traduzzjoni huma separati mill-permess:
sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -A FORWARD -i zt0 -o eth0 -j ACCEPT
iptables -A FORWARD -i eth0 -o zt0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPTSostitwixxi zt0 u eth0 bl-ismijiet fuq il-host; regola salvata għal interfaċċa eżempju ma ssegwix pakketti fuq waħda reali. Agħmel il-bidliet persistenti permezz tal-maniġer tal-firewall li jippossjedi r-regoli, għax ordni f'shell interattiv tisparixxi fl-istartjar mill-ġdid li jmiss.
Jekk il-host iħaddem maniġer tal-firewall bħal UFW jew firewalld, żid ir-regoli permezz ta' dak il-maniġer minflok ma tistiva linji iptables ħdejh. Żewġ sidien li jeditaw l-istess ktajjen jipproduċu politika li tiddependi mill-ordni tal-boot. L-ordni hija importanti meta l-maniġer jiġġenera l-ktajjen tiegħu stess. Ittestja minn klijent wara li terġa' tgħabbi l-maniġer, mhux qabel.
Ħabbar ir-rotta u aċċettaha fil-klijent
Fuq il-kontrollur tan-netwerk żid rotta mmaniġġjata għal 0.0.0.0/0 li l-hop li jmiss tagħha hija l-indirizz ZeroTier tal-membru tal-ħruġ. Imbagħad, fuq il-membru li għandu jużaha, ippermetti l-override għal dak in-netwerk. Il-permess huwa lokali: ma jikkonfigurax mill-ġdid membri oħra u ma jbiddilx il-kontrollur.
zerotier-cli listnetworks
zerotier-cli set <network-id> allowDefault=1
ip route get 1.1.1.1L-aħħar ordni għandha tirrapporta l-interfaċċa ZeroTier u l-indirizz tal-membru tal-ħruġ. Jekk għadha tirrapporta l-interfaċċa fiżika, ir-rotta hija nieqsa jew default konkorrenti għandu metrika aħjar.
Żomm is-setting limitat għan-netwerk li jeħtieġu. Li tattiva l-aċċettazzjoni tar-rotta default globalment, jew fuq netwerk li għandu jipprovdi biss subnet privat, jibgħat it-traffiku minn ħruġ li qatt ma ġie ddisinjat għalih.
Ivverifika l-ħruġ u ċċekkja l-familji tal-indirizzi l-oħra
Itlob indirizz pubbliku minn servizz li jirrapporta s-sors, u qabblu mal-indirizz WAN tan-nodu tal-ħruġ. Imbagħad tgħabbi sit bl-isem biex tikkonferma li DNS għadu jsolvi, u ttestja applikazzjoni importanti minflok biss browser.
Klijent b'doppju stack jista' jkompli juża l-passaġġ nattiv tiegħu IPv6 waqt li IPv4 joħroġ permezz ta' ZeroTier. Jekk il-mira hija li t-traffiku kollu jinħeba jew jiġi kkontrollat, hija meħtieġa rotta ::/0 separata u tgħaddi IPv6 fuq il-ħruġ, u test IPv4 ma jgħid xejn dwarhom.
Il-filtrazzjoni tal-passaġġ invers f'Linux tista' wkoll twarrab traffiku validu tal-ħruġ fil-klijent. ZeroTier tiddokumenta kunsiderazzjoni rp_filter għall-membri li jipparteċipaw; ibdel dak is-setting b'mod deliberat u biss wara li r-rotta u n-NAT jiġu kkonfermati, mhux bħala l-ewwel esperiment.
Jekk il-ħtieġa hija aċċess għal NAS jew subnet wieħed tal-uffiċċju, rotta mmaniġġjata għal dak il-prefiss hija bidla iżgħar u aktar sigura minn ħruġ sħiħ. Li tibgħat l-ibbrawżjar kollu permezz ta' apparat ieħor hija deċiżjoni differenti milli tasal għal riżors privat wieħed, u jistħoqqilha reviżjoni separata.