ZeroTier lejn LAN: regoli tar-rotta UFW, mhux permess tal-port

L-awtorizzazzjoni ta' port fuq il-gateway mhijiex l-istess bħall-iffurwardjar lejn host warajha. Issettja r-rotta amministrata, ippermetti t-transitu u agħżel rotta lura.

Li tilħaq stampant fuq il-LAN tal-uffiċċju permezz ta' membru ZeroTier tidher bħala regola waħda, imma fil-fatt hija tliet deċiżjonijiet fi tliet postijiet differenti. L-overlay irid ikun jaf fejn tinsab il-LAN, il-host Linux irid ikun lest li jgħaddi l-pakketti, u l-LAN trid tkun taf kif tibgħat it-tweġiba lura. Regola tad-dħul li tiftaħ port fuq il-gateway ma tmiss xejn minn dawn. Hija l-għodda ħażina fuq il-host it-tajjeb.

Tliet xogħlijiet, tliet sidien

Ir-rotta amministrata tappartjeni għall-konfigurazzjoni tan-netwerk ZeroTier. Tgħid lill-membri li prefiss huwa aċċessibbli permezz ta' indirizz ta' membru partikolari.

L-iffurwardjar jappartjeni għall-qalba Linux u għal min għandu l-politika tal-firewall tiegħu. Huwa jiddeċiedi jekk pakkett li jasal fuq l-overlay jerġax joħroġ mill-interface fiżika. Host li ma jgħaddix se jarmi l-pakkett bil-kwiet wara li jaċċettah. Min jibgħat jara skadenza u xejn ma jidher fil-log tas-servizz.

Ir-rotta lura tappartjeni għal-LAN. Il-hosts tagħha u r-router tagħha jridu jkunu jafu li l-prefiss tal-overlay huwa aċċessibbli permezz tal-indirizz LAN tal-gateway tiegħek, jew xi ħaġa trid tittraduċi t-traffiku biex il-mistoqsija qatt ma tqum.

Kull waħda minn dawn tista' tkun korretta waqt li l-oħrajn ifallu, u għalhekk test li jagħmel biss ping lill-gateway ma jipprova xejn dwar is-servizz warajha.

Idderieġi r-rotta amministrata lejn il-membru

Żid rotta għall-prefiss tal-LAN mahsub permezz tal-indirizz overlay tal-gateway, mhux permezz tal-indirizz LAN tiegħu. L-indirizz overlay huwa dak li membri oħra jistgħu jilħqu; l-indirizz LAN għandu sens biss fuq il-kejbil.

Il-membri jridu jaċċettaw rotot amministrati biex id-disinn jaħdem, u n-netwerks lokali tagħhom stess m'għandhomx diġà jużaw il-prefiss li qed tħabbar. Laptop fil-bogħod li d-dar jinsab fuq 192.168.60.0/24 lanqas ma jista' jgħaddi 192.168.60.0/24 permezz tal-overlay.

Żomm il-prefiss imħabbar dejjaq kemm jippermetti x-xogħol. Li tħabbar aggregat akbar biex tinfluwenza l-preferenza jista' wkoll jitlob spazju tal-indirizzi li mhuwiex tiegħek, u l-kunflitt li jirriżulta jidher fuq it-tagħmir li jgħaqqad maż-żewġ netwerks. Jista' wkoll iġiegħel membru jippreferi rotta li ma twassal imkien. Żomm ir-rotta onesta u ħalli l-politika tagħmel il-bqija.

Ikteb il-prefiss u l-indirizz tal-membru fl-istess nota bħar-regoli tal-firewall, għax l-aktar ħsara komuni hija rotta li tindika lill-membru żbaljat.

Ippermetti t-transitu fil-qalba

Aqra l-valur tal-iffurwardjar li qed jaħdem qabel ma tbiddel xejn, imbagħad agħmel is-setting permanenti permezz tal-mekkaniżmu li s-sistema tiegħek diġà tuża, mhux permezz ta' kmand ta' darba li jisparixxi mar-riavvjar.

Jekk UFW għandu l-politika, ir-regoli tar-rotta tiegħu jesprimu l-iffurwardjar għal par ta' sors, destinazzjoni u interface. Dawn huma separati mir-regoli tad-dħul li jiftħu servizz fuq il-gateway stess:

sysctl net.ipv4.ip_forward
sudo ufw route allow in on zt3f2a1c9d out on eth0 proto tcp to 192.168.60.20 port 443
sudo ufw status verbose

L-isem tal-interface huwa t-tagħmir overlay reali fuq dak il-host, li tista' taqrah minn ip link; mhuwiex string fissa fl-installazzjonijiet kollha. Jekk il-host jgħaddi b'mod awtomatiku u UFW mhuwiex fil-passaġġ, ir-regola tar-rotta tiġi injorata u s-settings tal-qalba huma dak li jgħodd.

Agħżel kif jerġgħu lura t-tweġibiet

Bil-preservazzjoni tas-sors, is-servizz tal-LAN jara l-indirizz overlay reali u jwieġeb għalih. Dan jeħtieġ rotta fuq il-host tal-LAN jew fuq ir-router tiegħu li tindika l-prefiss overlay lejn il-gateway tiegħek, u din hija bidla barra mill-kaxxa Linux.

Meta dik ir-rotta ma tistax tiżdied, traduzzjoni tas-sors limitata tagħmel it-talba tidher bħallikieku ġiet mill-gateway fuq il-LAN. Imbagħad it-tweġibiet jerġgħu lura lokalment u mhuwiex meħtieġ tibdil fl-irrotar tal-LAN, bi prezz li jintilef is-sors oriġinali fil-logs tas-servizz.

Illimita t-traduzzjoni għas-sors tal-overlay u għad-destinazzjoni speċifika tal-LAN. Li tittraduċi kollox li joħroġ mill-interface tal-LAN hija l-verżjoni wiesgħa li wara tħajjar lil kulmin jaqra r-regoli, u wkoll taħbi traffiku li kellu jiġi mblukkat.

L-ebda waħda miż-żewġ għażliet ma tagħti aċċess mhux mitlub mil-LAN lura lejn membri tal-overlay arbitrarji. Jekk dan huwa mixtieq, hija regola separata bir-reviżjoni tagħha stess.

Ittestja minn membru reali

Qabbad minn membru ieħor, mhux mill-gateway, u itlob servizz wieħed permess. Imbagħad ipprova servizz li għandu jibqa' magħluq, u erġa' agħmel iż-żewġ testijiet wara li terġa' tqabbad u wara li l-gateway jerġa' jibda.

Membru li jirrapporta ONLINE, jew ping b'suċċess lejn l-indirizz overlay tal-gateway, ma jivvalida xejn mir-rotta, mir-regola tal-iffurwardjar jew mir-rotta lura:

zerotier-cli listnetworks
ip -4 route get 192.168.60.20
sudo ufw status numbered

It-tieni kmand juri liema interface il-pakkett juża għall-host tal-LAN, u t-tielet juri jekk ir-regola tar-rotta teżistx fil-forma li ħsibt. Jekk it-tnejn jidhru tajbin u s-servizz xorta jiskadi, ir-rotta lura hija l-aħħar suspettat.

Artikli relatati