ZeroTier मा HTTP इन्क्रिप्टेड छ? ओभरले कहाँ अन्त्य हुन्छ जाँच्नुहोस्

यी जाँचहरू क्रममा गर्नुहोस् र पहिलो असफल हुनेमा रोक्नुहोस्, किनकि प्रत्येक उत्तरले अर्को चरणको अर्थ बदल्छ। वास्तविक प्रश्न साँघुरो छ: ZeroTier नेटवर्कमा साधारण HTTP इन्टरनेटमा खुल्ला रूपमा यात्रा गर्छ? दुई ZeroTier पियरबीच सामान्यतया गर्दैन, किनकि ओभरलेले त्यो हप इन्क्रिप्ट गर्छ। तर त्यो दुई इन्डपोइन्टको बारेमा भनाइ हो, अनुरोध पार गर्ने हरेक खण्डको बारेमा होइन। राउटर, ब्रिज वा रिभर्स प्रोक्सीले इन्डपोइन्ट सार्छ, र त्यसको पछाडि फेरि प्लेनटेक्स्ट सुरु हुन्छ।

जाँच 1: ब्राउजरले कुन ठेगानामा डायल गर्छ पत्ता लगाउनुहोस्

URL लाई मेसिनसँग वास्तवमा के छ त्यससँग तुलना गर्नुहोस्। ip -brief addr show ले zt इन्टरफेस र नेटवर्क कन्ट्रोलरले दिएको ओभरले ठेगाना देखाउँछ; यदि URL ले त्यो ठेगाना प्रयोग गर्छ भने ब्राउजरको सकेट ओभरलेभित्र जान्छ।

यदि नाम बरु LAN ठेगानामा रिजोल्भ हुन्छ भने, क्लाइन्टको स्थिति सूचकले जे सुझाव दिए पनि ओभरले कुनै भूमिका नराख्न सक्छ। ip route get 10.147.20.5 ले कर्नेलले छान्ने इन्टरफेस र स्रोत ठेगाना प्रिन्ट गर्छ, त्यसैले त्यहाँ zt इन्टरफेस भए प्याकेट ओभरलेभित्र पस्छ र तपाईंको भौतिक NIC को नाम भए पस्दैन। नामहरूले अर्को तह थप्छन्: ओभरले ठेगानामा देखाउने रेकर्ड LAN ठेगानामा देखाउनेभन्दा फरक व्यवहार गर्छ, र खोजी प्रत्यय वा hosts फाइलको प्रविष्टिले कुन चाहिँ पाउने भन्ने चुपचाप निर्णय गर्न सक्छ।

जाँच 2: दुवै छेउ पियर हुन्, डिक्रिप्ट गर्ने रिले होइन भनी पुष्टि गर्नुहोस्

ZeroTier पियरहरूबीच इन्क्रिप्ट गर्छ, र सिधा मार्ग नभएको ठाउँमा प्याकेटहरू इन्क्रिप्टेड अवस्थामै अगाडि पठाउने रुटमार्फत रिले गरिन्छ। zerotier-cli peers ले प्रत्येक पियरको मार्ग DIRECT वा RELAY भनी विलम्बको अंकसहित चिन्ह लगाउँछ। रिले गरिएको मार्गले राउन्ड ट्रिप खर्च गर्छ, गोपनीयता होइन।

उत्तर बदल्ने कुरा भनेको साँच्चै इन्डपोइन्ट नभएको सदस्य हो। यदि परको छेउ भौतिक LAN मा रुट वा ब्रिज गर्ने ZeroTier सदस्य हो भने, ओभरले त्यो सदस्यमा अन्त्य हुन्छ र अर्को हप साधारण इथरनेट हो।

जाँच 3: अनुरोध कहाँ पढ्न मिल्ने हुन्छ हेर्नुहोस्

पृष्ठ दिन्छ भन्ने तपाईंलाई लाग्ने होस्टमा, रिलोड गर्दा ओभरले इन्टरफेसमा क्याप्चर गर्नुहोस्: sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'। त्यो आउटपुटमा पढ्न मिल्ने अनुरोध रेखाले त्यो होस्टमा ट्राफिक डिक्रिप्ट भएर आएको प्रमाणित गर्छ, र त्यही तपाईंले खोजिरहेको सीमा हो।

त्यसपछि बाँकी LAN तर्फ फर्केको इन्टरफेसमा क्याप्चर गर्नुहोस्। यदि त्यही अनुरोध त्यहाँ खुल्ला रूपमा देखिन्छ भने, त्यो एप्लिकेसनसम्म पुग्नुअघि ओभरले छोडिसक्यो र त्यो खण्डको हरेक उपकरणले त्यो पढ्न सक्छ। यदि LAN तर्फ केही देखिँदैन र पृष्ठ अझै लोड हुन्छ भने, एप्लिकेसन ZeroTier होस्टमै टर्मिनेट भइरहेको छ।

अगाडि रिभर्स प्रोक्सी हुँदा लूपब्याक क्याप्चर गर्नु पनि महत्त्वपूर्ण छ, किनकि HTTPS स्वीकार गरी HTTP अगाडि पठाउने प्रोक्सीले सीमा आफ्नै ब्याकइन्डमा सार्छ।

जाँच 4: राउटर वा ब्रिज पछाडिको हरेक हपको हिसाब राख्नुहोस्

ओभरले र LAN बीच रुट गर्न मिलाइएको सदस्य सामान्य डिजाइन हो र यी धेरै अनुमानहरू भाँचिने ठाउँ हो। ओभरलेले ब्राउजरदेखि राउटरसम्मको भाग जोगाउँछ, त्यसपछि केही होइन। ब्रिजले फरक संयन्त्रबाटै उही कथा भन्छ: ओभरले र भौतिक खण्ड एउटै ब्रोडकास्ट डोमेन बन्छन्, त्यसैले ब्रिज गरिएको ल्यापटपबाट आउने अनुरोध त्यो ल्यापटप ZeroTier नेटवर्कमा भए पनि साधारण इथरनेटबाट जान्छ।

अनुमान गर्नुको सट्टा ट्रेस गर्नुहोस्। क्लाइन्टबाट सेवा ठेगानासम्म traceroute र गेटवे सदस्यको राउटिङ तालिका मिलेर अन्तिम हप zt हो वा eth देखाउँछ।

ZeroTier ले प्रदर्शनका लागि तोकिएका स्थानीय मार्गहरूमा ट्रान्सपोर्ट सुरक्षा हटाउन सक्ने ट्रस्टेड-पाथ मोड पनि दिन्छ। त्यो प्रयोग गर्ने नेटवर्कले सामान्य इन्क्रिप्टेड-मार्ग अनुमान पाउँदैन, त्यसैले एउटा उद्धृत गर्नुअघि नेटवर्क कन्फिगरेसन पढ्नुहोस्। प्रोटोकल कागजात ले पियर इन्क्रिप्सन र त्यो अपवाद दुवै वर्णन गर्छ।

जाँच 5: एप्लिकेसनले अझै के गर्नुपर्छ निर्णय गर्नुहोस्

ओभरले सदस्यताले उपकरणलाई नेटवर्कसँग प्रमाणित गर्छ र परको सेवा तपाईंले पुग्न खोजेको सेवा हो कि होइन भन्ने केही भन्दैन। HTTPS ले होस्टनामलाई कुञ्जीसँग जोडेर फरक प्रश्नको उत्तर दिन्छ, त्यसैले यी दुई सुरक्षाहरू एकअर्कालाई प्रतिस्थापन नगरी ओभरल्याप हुन्छन्। अधिकृत पियर पनि गलत सेवा हुन सक्छ, र सम्झौता भएको इन्डपोइन्टले अनुरोध इन्क्रिप्सनअघि र डिक्रिप्सनपछि दुवै बेला पढ्छ। कुनै पनि संयन्त्रले एप्लिकेसनले के रेकर्ड गर्छ त्यसको अडिट गर्दैन।

पुन: प्रयोग गर्न मिल्ने सत्र वा पासवर्ड भएको जुनसुकै कुराका लागि, TLS एप्लिकेसनमा वा तपाईंको नियन्त्रणको प्रोक्सीमा टर्मिनेट गर्नुहोस् र प्रमाणपत्र प्रमाणीकरण खुला राख्नुहोस्। पुरानो सेवा साधारण HTTP मै रहनुपर्ने भए, त्यसले प्रयोग गर्न सक्ने ठ्याक्कै होस्ट-देखि-होस्ट मार्ग, कसले पुग्न सक्छ र कुन खण्ड असुरक्षित रहन्छ लेख्नुहोस्; भविष्यको समीक्षकलाई त्यही टिप्पणी चाहिन्छ।

"VPN जोडिएको छ" भन्ने यीमध्ये कुनैको मूल्यांकन होइन। इमानदार संस्करणले दुवै इन्डपोइन्ट, तिनीबीचको मार्ग र नढाकिएको पहिलो हपको नाम लिन्छ।

क्याप्चर आउटपुट र पियर सूची सेवा कागजातको छेउमा राख्नुहोस्, ताकि मार्ग बदल्ने वा ब्रिज थप्ने जो कोहीले कुन अनुमान भाँच्न लागेको छ देख्न सकून्।