Nebula लाइटहाउस फिल्टर र फायरवाल: प्रत्येकले के रोक्छ

गलत छेउबाट Nebula ह्यान्डसेक हेर्नुहोस् र दुई संयन्त्रहरू एकअर्काको सट्टा प्रयोग गर्न मिल्ने देखिन्छन्। एउटाले नोडले लाइटहाउसलाई कुन ठेगानाहरू बताउँछ र कुन टाढाका ठेगानाहरू प्रयास गर्छ भन्ने निर्धारण गर्छ; अर्कोले सुरुङ अस्तित्वमा आएपछि के जान सक्छ भन्ने निर्धारण गर्छ। कुनै पनि फायरवाल नियम मूल्याङ्कन हुनुअघि फिल्टरले जडान रोक्न सक्छ, र फायरवाल नियमले खोजले हटाएको अन्त्यबिन्दु पुनर्जीवित गर्न सक्दैन। दुई तहले फरक प्रश्नको जवाफ दिन्छन्, र तिनीहरू काम गर्ने क्रम नै कुञ्जी हो।

एउटा जडानलाई चार चरणमा पछ्याउनुहोस्: घोषित स्थानीय ठेगाना, विचार गरिएको टाढाको अन्त्यबिन्दु, ह्यान्डसेक र ओभरले ट्राफिक। प्रत्येक चरणको आफ्नै कन्फिगरेसन र आफ्नै असफलताको चिन्ह छ।

नोडले घोषणा गर्ने स्थानीय ठेगानाबाट सुरु गर्नुहोस्

local_allow_list यो होस्टका स्थानीय ठेगानाहरू लाइटहाउसहरूलाई रिपोर्ट गर्नुअघि फिल्टर गर्छ। प्रविष्टिहरू ठेगाना दायराहरू हुन सक्छन्, र कन्फिगरेसनले इन्टरफेस-नाम ढाँचाहरू पनि समर्थन गर्छ। होस्टमा कन्टेनर ब्रिज वा पीयर अन्त्यबिन्दु बन्नु नहुने अतिरिक्त सुरुङ इन्टरफेसहरू हुँदा यो उपयोगी हुन्छ।

होस्टका इन्टरफेसहरू हेर्नुहोस् र टाढाको पीयरले वास्तवमा कुन-कुनमा पुग्न सक्छ भनी सोध्नुहोस्। Docker ब्रिज ठेगाना त्यो होस्टका लागि स्थानीय हुन्छ र अर्को नेटवर्कको पीयरका लागि बेकार हुन्छ। यसलाई घोषणा गर्दा खोज बर्बाद हुन्छ र पीयरलाई कहिल्यै जवाफ नदिने ठेगानातिर पठाउन सक्छ। पीयरले रुट गर्न नसक्ने जे पनि लाइटहाउसको जवाफमा हल्ला हो।

यहाँ साँघुरो अनुमति सूची फराकिलो निषेध सूचीभन्दा सुरक्षित छ। यदि केवल अनुमति प्रविष्टिहरू छन् भने, निर्दिष्ट नगरिएको बाँकी बाहिर रहन्छ; पछि निषेध प्रविष्टि थप्दा पूर्वनिर्धारित तर्क बदलिन्छ र यसको छुट्टै समीक्षा आवश्यक हुन्छ। त्यो परिवर्तन पूर्वनिर्धारितमा दोस्रो नजरको योग्य छ।

त्यसपछि टाढाको अन्त्यबिन्दुको चयन हेर्नुहोस्

remote_allow_list ह्यान्डसेकका क्रममा यो होस्टले टाढाको पीयरका लागि विचार गर्ने ठेगानाहरू फिल्टर गर्छ। यो तल्लो तहको ठेगानामा लागू हुन्छ, सुरुङ उठेपछि पीयरले प्रयोग गर्ने ओभरले ठेगानामा होइन।

निजी दायरा साझा कार्यालय नेटवर्कमा पूर्ण उपयोगी हुन सक्छ र दुवै होस्ट 10.0.0.0/8 प्रयोग गर्ने असम्बन्धित नेटवर्कमा हुँदा अर्थहीन हुन्छ। फिल्टरले तपाईंलाई रुट गर्न मिल्ने बाटोलाई प्राथमिकता दिन र संयोगलाई बेवास्ता गर्न दिन्छ।

पीयर जडान हुन नसकेमा, प्रयास गरिएको ठेगानालाई त्यससँग मिल्ने नियमसँग तुलना गर्नुहोस्। ह्यान्डसेक लगहरू सक्रिय गर्नुहोस् र छानिएको टाढाको ठेगाना पढ्नुहोस्; लग लाइनले फिल्टरिङ पार गरेको अन्त्यबिन्दुको नाम बताउँछ, जुन पीयरसँग भएका ठेगानाहरूको सूचीभन्दा उपयोगी छ।

घोषणा गर्ने छेउको इन्टरफेस-नाम फिल्टरले ग्रहण गर्ने छेउले देख्नुअघि नै अन्त्यबिन्दु हटाउन सक्छ। केवल एउटा दिशा असफल हुँदा दुवै नोड जाँच्नुहोस्।

ह्यान्डसेकपछि ओभरलेका पहुँच नियमहरू लागू हुन्छन्

Nebula फायरवाल नियमहरू ओभरलेभित्र, सुरुङ स्थापना भएपछि काम गर्छन्। तिनीहरूले होस्ट, समूह, पोर्ट र प्रोटोकल मिलाउँछन् र प्याकेट स्थानीय होस्टमा प्रवेश गर्न वा बाहिर निस्कन सक्छ कि भन्ने निर्धारण गर्छन्। तिनीहरूले तल्लो तहको अन्त्यबिन्दु छान्दैनन्।

यो विभाजनले सामान्य गलत निदान व्याख्या गर्छ। अपरेटरले पोर्टका लागि फायरवाल नियम थप्छ र तैपनि जडान हुन सक्दैन, किनभने लाइटहाउस फिल्टरले एकमात्र पुग्न सकिने अन्त्यबिन्दु हटाएको थियो। अर्को अपरेटरले ठेगाना फिल्टर खोल्छ र तैपनि सेवासम्म पुग्दैन, किनभने ओभरलेको फायरवालले पोर्ट अस्वीकार गर्छ।

असफलता सही तहमा पढ्नुहोस्। कहिल्यै पूरा नहुने ह्यान्डसेकले खोज, अन्त्यबिन्दु फिल्टरिङ वा नेटवर्क मार्गतिर संकेत गर्छ। पूरा भएको ह्यान्डसेकपछि सेवा जडान अस्वीकृत वा खसालिएको भए त्यसले ओभरलेको फायरवाल वा अनुप्रयोगतिर संकेत गर्छ।

अनुमति र निषेध मिसाउँदा पूर्वनिर्धारित पढ्नुहोस्

लाइटहाउस कन्फिगरेसनले केवल-अनुमति, केवल-निषेध र मिश्रित सूचीहरू समर्थन गर्छ, र निर्दिष्ट नगरिएको बाँकीका लागि पूर्वनिर्धारित यी आकारहरूबीच फरक पर्छ। मिश्रित सूचीलाई ठेगाना परिवारका लागि स्पष्ट पूर्वनिर्धारित चाहिन्छ; बाँकी अघिल्लो कन्फिगरेसनजस्तै व्यवहार गर्छ भनी मान्नु नै काम गर्ने अन्त्यबिन्दु चुपचाप हराउने बाटो हो।

lighthouse:
  local_allow_list:
    interfaces:
      docker0: false
  remote_allow_list:
    192.168.0.0/16: true
    default: false

पूर्वनिर्धारितलाई नियमको भाग मान्नुहोस्, टेम्प्लेट पाठ होइन। यदि परिवारको पूर्वनिर्धारित निषेध हो भने, सूचीमा नभएको हरेक ठेगाना बाहिर रहन्छ, कन्फिगरेसन लेखेपछि थपिएको नयाँ कार्यालय दायरासमेत।

कुन ठेगानाहरू पुग्न सकिने हुनुपर्थ्यो त्यो अभिलेख गर्नुहोस् र दुवै छेउबाट परीक्षण गर्नुहोस्। एउटा पीयर जोडीका लागि काम गर्ने फिल्टर अर्को जोडीका लागि असफल हुन सक्छ जसको एकमात्र साझा मार्गले सूचीले बाहिर राखेको ठेगाना प्रयोग गर्छ।

कुनै सिधा अन्त्यबिन्दु पुग्न नसकिने भए रिले प्रयोग गर्नुहोस्

यदि हरेक उम्मेदवार अन्त्यबिन्दु फिल्टर भयो वा पुग्न नसकिने भयो भने, जवाफ तपाईंले विश्वास नगर्ने ठेगानाहरू फेरि स्वीकार गर्ने फराकिलो अनुमति सूची होइन। सिधा जडान सम्भव नभएमा Nebula को रिले कन्फिगरेसनले वैकल्पिक पीयर मार्ग दिन्छ।

रिलेले ढुवानी र खोज समाधान गर्छ, अधिकार होइन, र यसले फायरवाल फराकिलो बनाउँदैन। ओभरलेको फायरवालले कुन सेवा प्रयोग गर्न सकिन्छ भन्ने अझै निर्धारण गर्छ, र रिलेले लाइटहाउस फिल्टरिङलाई पहुँच-नियन्त्रण संयन्त्र बनाउँदैन।

सिधा अन्त्यबिन्दुहरू बन्द राखेर रिले मार्गको परीक्षण गर्नुहोस् र इच्छित सेवा अझै काम गर्छ भनेर पुष्टि गर्नुहोस् जबकि अनिच्छितले गर्दैन। त्यो एउटै परीक्षणले ढुवानी सुधारलाई नीति परिवर्तनबाट अलग गर्छ र दुवै तहलाई इमानदार राख्छ।