ZeroTier बाट LAN सम्म: UFW रुट नियम, पोर्ट अनुमति होइन

ZeroTier सदस्यमार्फत कार्यालयको LAN मा रहेको प्रिन्टरमा पुग्नु एउटै नियम जस्तो सुनिन्छ, तर वास्तवमा यो तीन फरक ठाउँमा तीन निर्णय हो। ओभरलेले LAN कहाँ छ भन्ने जान्नुपर्छ, Linux होस्ट प्याकेट फर्वार्ड गर्न तयार हुनुपर्छ, र LAN ले जवाफ कसरी फर्काउने भन्ने जान्नुपर्छ। गेटवेमा पोर्ट खोल्ने इनबाउन्ड नियमले यीमध्ये कुनैलाई पनि छुँदैन। यो सही होस्टमा लगाइएको गलत उपकरण हो।

तीन काम, तीन मालिक

व्यवस्थित रुट ZeroTier नेटवर्क कन्फिगरेसनको हो। यसले सदस्यहरूलाई कुनै प्रिफिक्स कुनै निश्चित सदस्य ठेगानामार्फत पुग्न सकिने बताउँछ।

फर्वार्डिङ Linux कर्नेलको र यसको फायरवाल नीतिको मालिकको हो। यसले ओभरलेमा आउने प्याकेट भौतिक इन्टरफेसबाट फेरि बाहिर जान्छ कि जाँदैन भन्ने निर्णय गर्छ। फर्वार्ड नगर्ने होस्टले प्याकेट स्वीकार गरेपछि चुपचाप त्यसलाई फालिदिन्छ। पठाउनेले समय सकिएको देख्छ र सेवा लगमा केही देखिँदैन।

फर्कने बाटो LAN को हो। यसका होस्ट र यसको राउटरले ओभरले प्रिफिक्स तपाईंको गेटवेको LAN ठेगानामार्फत पुग्न सकिने जान्नुपर्छ, नत्र यो प्रश्न नै नउठ्ने गरी केहीले ट्राफिक अनुवाद गर्नुपर्छ।

यीमध्ये प्रत्येक सही हुन सक्छ जब अरू असफल हुन्छन्, र त्यसैले गेटवेलाई मात्र पिङ गर्ने परीक्षणले यसको पछाडिको सेवाबारे केही प्रमाणित गर्दैन।

व्यवस्थित रुट सदस्यतर्फ निर्देशित गर्नुहोस्

इच्छित LAN प्रिफिक्सका लागि रुट गेटवेको ओभरले ठेगानामार्फत थप्नुहोस्, यसको LAN ठेगानामार्फत होइन। ओभरले ठेगाना अरू सदस्यले पुग्न सक्ने हो; LAN ठेगानाको अर्थ तारमा मात्र हुन्छ।

डिजाइन काम गर्न सदस्यहरूले व्यवस्थित रुट स्वीकार गर्नुपर्छ, र तिनीहरूका आफ्नै स्थानीय नेटवर्कले तपाईंले घोषणा गरेको प्रिफिक्स पहिले नै प्रयोग गरिरहेको हुनु हुँदैन। घरमा 192.168.60.0/24 मा रहेको टाढाको ल्यापटपले पनि ओभरलेमार्फत 192.168.60.0/24 रुट गर्न सक्दैन।

घोषित प्रिफिक्सलाई कामले अनुमति दिने जति साँघुरो राख्नुहोस्। प्राथमिकतामा प्रभाव पार्न ठूलो समूह घोषणा गर्दा तपाईंको स्वामित्वमा नभएको ठेगाना ठाउँको पनि दाबी हुन सक्छ, र त्यसबाट उत्पन्न द्वन्द्व दुवै नेटवर्कमा जोडिएका यन्त्रहरूमा देखिन्छ। यसले सदस्यलाई कतै नपुग्ने बाटोलाई प्राथमिकता दिन पनि सक्छ। रुट इमानदार राख्नुहोस् र बाँकी नीतिलाई गर्न दिनुहोस्।

प्रिफिक्स र सदस्य ठेगाना फायरवाल नियमसँगै उही टिप्पणीमा लेख्नुहोस्, किनकि सबैभन्दा सामान्य खराबी गलत सदस्यतर्फ देखाउने रुट हो।

कर्नेलमा ट्रान्जिट सक्षम गर्नुहोस्

केही पनि परिवर्तन गर्नुअघि चालु फर्वार्डिङ मान पढ्नुहोस्, त्यसपछि रिबुटमा हराउने एकपटकको आदेशबाट होइन, तपाईंको प्रणालीले पहिले नै प्रयोग गर्ने संयन्त्रबाट सेटिङ स्थायी बनाउनुहोस्।

यदि नीति UFW को हो भने, यसका रुट नियमले स्रोत, गन्तव्य र इन्टरफेसको जोडीका लागि फर्वार्डिङ व्यक्त गर्छन्। यी गेटवेमै सेवा खोल्ने इनबाउन्ड नियमभन्दा छुट्टै हुन्:

sysctl net.ipv4.ip_forward
sudo ufw route allow in on zt3f2a1c9d out on eth0 proto tcp to 192.168.60.20 port 443
sudo ufw status verbose

इन्टरफेसको नाम त्यो होस्टको वास्तविक ओभरले यन्त्र हो, जुन तपाईं ip link बाट पढ्न सक्नुहुन्छ; यो सबै इन्स्टलेसनमा स्थिर स्ट्रिङ होइन। यदि होस्टले पूर्वनिर्धारित रूपमा फर्वार्ड गर्छ र UFW बाटोमा छैन भने, रुट नियम बेवास्ता गरिन्छ र कर्नेल सेटिङ नै महत्त्वपूर्ण हुन्छ।

जवाफ कसरी फर्कन्छ भन्ने छान्नुहोस्

स्रोत जोगाउँदा LAN सेवाले वास्तविक ओभरले ठेगाना देख्छ र त्यसलाई जवाफ दिन्छ। त्यसका लागि LAN होस्ट वा यसको राउटरमा ओभरले प्रिफिक्स तपाईंको गेटवेतर्फ देखाउने रुट चाहिन्छ, र त्यो Linux बाकसबाहिरको परिवर्तन हो।

त्यो रुट थप्न नसकिँदा, सीमित स्रोत अनुवादले अनुरोध LAN मा रहेको गेटवेबाट आएको जस्तो देखाउँछ। त्यसपछि जवाफहरू स्थानीय रूपमा फर्कन्छन् र LAN रुटिङ परिवर्तन गर्नु पर्दैन, तर सेवा लगमा मूल स्रोत हराउने मूल्य चुकाउनुपर्छ।

अनुवादलाई ओभरले स्रोत र निश्चित LAN गन्तव्यमा सीमित गर्नुहोस्। LAN इन्टरफेसबाट बाहिर जाने सबै कुराको अनुवाद गर्नु फराकिलो संस्करण हो, जसले पछि नियम पढ्ने जो कोहीलाई अचम्मित बनाउँछ, र यसले रोक्नुपर्ने ट्राफिक पनि लुकाउँछ।

दुवै विकल्पमध्ये कुनैले पनि LAN बाट मनपरी ओभरले सदस्यहरूतर्फ नमागिएको पहुँच दिँदैन। यदि त्यो चाहिन्छ भने त्यो आफ्नै समीक्षासहितको छुट्टै नियम हो।

वास्तविक सदस्यबाट परीक्षण गर्नुहोस्

गेटवेबाट होइन, अर्को सदस्यबाट जोडिनुहोस् र एउटा अनुमति दिइएको सेवा अनुरोध गर्नुहोस्। त्यसपछि बन्द रहनुपर्ने सेवा प्रयास गर्नुहोस्, र पुनः जोडिएपछि तथा गेटवे रिबुट भएपछि दुवै परीक्षण दोहोर्याउनुहोस्।

ONLINE रिपोर्ट गर्ने सदस्य, वा गेटवेको ओभरले ठेगानामा सफल पिङले रुट, फर्वार्ड नियम वा फर्कने बाटो प्रमाणित गर्दैन:

zerotier-cli listnetworks
ip -4 route get 192.168.60.20
sudo ufw status numbered

दोस्रो आदेशले प्याकेटले LAN होस्टका लागि कुन इन्टरफेस प्रयोग गर्ने देखाउँछ, र तेस्रोले रुट नियम तपाईंले सोचेको स्वरूपमा छ कि छैन देखाउँछ। दुवै सही देखिए पनि सेवा अझै समय सकिएर रोकिन्छ भने, बाँकी शंकास्पद फर्कने बाटो हो।