Nebula ਲਾਈਟਹਾਊਸ ਫਿਲਟਰ ਬਨਾਮ ਫਾਇਰਵਾਲ: ਹਰ ਇੱਕ ਕੀ ਰੋਕਦਾ ਹੈ

ਗਲਤ ਸਿਰੇ ਤੋਂ Nebula ਹੈਂਡਸ਼ੇਕ ਵੇਖੋ ਅਤੇ ਦੋਵੇਂ ਕਾਰਜ ਵਟਾਂਦਰਾਯੋਗ ਲੱਗਦੇ ਹਨ। ਇੱਕ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਨੋਡ ਲਾਈਟਹਾਊਸ ਨੂੰ ਕਿਹੜੇ ਪਤੇ ਦੱਸਦਾ ਹੈ ਅਤੇ ਕਿਹੜੇ ਦੂਰਲੇ ਪਤੇ ਅਜ਼ਮਾਏਗਾ; ਦੂਜਾ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਸੁਰੰਗ ਬਣਨ ਤੋਂ ਬਾਅਦ ਕੀ ਲੰਘ ਸਕਦਾ ਹੈ। ਕੋਈ ਫਾਇਰਵਾਲ ਨਿਯਮ ਮੁਲਾਂਕਣ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਫਿਲਟਰ ਕਨੈਕਸ਼ਨ ਰੋਕ ਸਕਦਾ ਹੈ, ਅਤੇ ਫਾਇਰਵਾਲ ਨਿਯਮ ਖੋਜ ਵੱਲੋਂ ਹਟਾਏ ਐਂਡਪੌਇੰਟ ਨੂੰ ਮੁੜ ਜੀਵਿਤ ਨਹੀਂ ਕਰ ਸਕਦਾ। ਦੋਵੇਂ ਪਰਤਾਂ ਵੱਖਰੇ ਸਵਾਲਾਂ ਦਾ ਜਵਾਬ ਦਿੰਦੀਆਂ ਹਨ, ਅਤੇ ਉਨ੍ਹਾਂ ਦੇ ਕੰਮ ਕਰਨ ਦਾ ਕ੍ਰਮ ਹੀ ਕੁੰਜੀ ਹੈ।

ਇੱਕ ਕਨੈਕਸ਼ਨ ਨੂੰ ਚਾਰ ਪੜਾਵਾਂ ਵਿੱਚ ਵੇਖੋ: ਘੋਸ਼ਿਤ ਸਥਾਨਕ ਪਤਾ, ਵਿਚਾਰਿਆ ਦੂਰਲਾ ਐਂਡਪੌਇੰਟ, ਹੈਂਡਸ਼ੇਕ ਅਤੇ ਓਵਰਲੇ ਟ੍ਰੈਫਿਕ। ਹਰ ਪੜਾਅ ਦੀ ਆਪਣੀ ਸੰਰਚਨਾ ਅਤੇ ਆਪਣਾ ਅਸਫਲਤਾ-ਚਿੰਨ੍ਹ ਹੈ।

ਨੋਡ ਜੋ ਸਥਾਨਕ ਪਤਾ ਘੋਸ਼ਿਤ ਕਰਦਾ ਹੈ ਉਸ ਤੋਂ ਸ਼ੁਰੂ ਕਰੋ

local_allow_list ਲਾਈਟਹਾਊਸਾਂ ਨੂੰ ਰਿਪੋਰਟ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਇਸ ਹੋਸਟ ਦੇ ਸਥਾਨਕ ਪਤੇ ਫਿਲਟਰ ਕਰਦਾ ਹੈ। ਐਂਟਰੀਆਂ ਪਤਾ-ਸੀਮਾਵਾਂ ਹੋ ਸਕਦੀਆਂ ਹਨ, ਅਤੇ ਸੰਰਚਨਾ ਇੰਟਰਫੇਸ-ਨਾਮ ਪੈਟਰਨ ਵੀ ਸਮਰਥਿਤ ਕਰਦੀ ਹੈ। ਇਹ ਤਦ ਲਾਹੇਵੰਦ ਹੈ ਜਦੋਂ ਹੋਸਟ ਵਿੱਚ ਕੰਟੇਨਰ ਬ੍ਰਿਜ ਜਾਂ ਵਾਧੂ ਸੁਰੰਗ ਇੰਟਰਫੇਸ ਹੋਣ ਜੋ ਪੀਅਰ ਐਂਡਪੌਇੰਟ ਨਹੀਂ ਬਣਨੇ ਚਾਹੀਦੇ।

ਹੋਸਟ ਦੇ ਇੰਟਰਫੇਸ ਵੇਖੋ ਅਤੇ ਪੁੱਛੋ ਕਿ ਦੂਰਲਾ ਪੀਅਰ ਅਸਲ ਵਿੱਚ ਕਿਨ੍ਹਾਂ ਤੱਕ ਪਹੁੰਚ ਸਕਦਾ ਹੈ। Docker ਬ੍ਰਿਜ ਪਤਾ ਉਸ ਹੋਸਟ ਲਈ ਸਥਾਨਕ ਹੈ ਅਤੇ ਦੂਜੇ ਨੈੱਟਵਰਕ ਦੇ ਪੀਅਰ ਲਈ ਬੇਕਾਰ ਹੈ। ਇਸਨੂੰ ਘੋਸ਼ਿਤ ਕਰਨ ਨਾਲ ਖੋਜ ਬਰਬਾਦ ਹੁੰਦੀ ਹੈ ਅਤੇ ਪੀਅਰ ਨੂੰ ਕਦੇ ਜਵਾਬ ਨ ਦੇਣ ਵਾਲੇ ਪਤੇ ਵੱਲ ਭੇਜ ਸਕਦਾ ਹੈ। ਪੀਅਰ ਜਿਸ ਤੱਕ ਰੂਟ ਨਹੀਂ ਕਰ ਸਕਦਾ ਉਹ ਲਾਈਟਹਾਊਸ ਦੇ ਜਵਾਬ ਵਿੱਚ ਸ਼ੋਰ ਹੈ।

ਇੱਥੇ ਤੰਗ ਇਜਾਜ਼ਤ ਸੂਚੀ ਚੌੜੀ ਰੋਕ ਸੂਚੀ ਨਾਲੋਂ ਵਧੇਰੇ ਸੁਰੱਖਿਅਤ ਹੈ। ਜੇ ਸਿਰਫ਼ ਇਜਾਜ਼ਤ ਐਂਟਰੀਆਂ ਹਨ, ਤਾਂ ਗੈਰ-ਨਿਰਧਾਰਿਤ ਬਾਕੀ ਬਾਹਰ ਰਹਿੰਦਾ ਹੈ; ਬਾਅਦ ਵਿੱਚ ਰੋਕ ਐਂਟਰੀ ਜੋੜਨ ਨਾਲ ਡਿਫ਼ਾਲਟ ਤਰਕ ਬਦਲ ਜਾਂਦਾ ਹੈ ਅਤੇ ਇਸਦੀ ਵੱਖਰੀ ਸਮੀਖਿਆ ਲੋੜੀਂਦੀ ਹੈ। ਉਹ ਬਦਲਾਅ ਡਿਫ਼ਾਲਟ ਵੱਲ ਦੂਜੀ ਨਜ਼ਰ ਦਾ ਹੱਕਦਾਰ ਹੈ।

ਫਿਰ ਦੂਰਲੇ ਐਂਡਪੌਇੰਟ ਦੀ ਚੋਣ ਵੇਖੋ

remote_allow_list ਹੈਂਡਸ਼ੇਕ ਦੌਰਾਨ ਇਹ ਹੋਸਟ ਦੂਰਲੇ ਪੀਅਰ ਲਈ ਜਿਨ੍ਹਾਂ ਪਤਿਆਂ ਉੱਤੇ ਵਿਚਾਰ ਕਰੇਗਾ ਉਹ ਫਿਲਟਰ ਕਰਦਾ ਹੈ। ਇਹ ਅੰਡਰਲੇ ਪਤੇ ਉੱਤੇ ਲਾਗੂ ਹੁੰਦਾ ਹੈ, ਸੁਰੰਗ ਚੜ੍ਹਨ ਤੋਂ ਬਾਅਦ ਪੀਅਰ ਜੋ ਓਵਰਲੇ ਪਤਾ ਵਰਤੇਗਾ ਉਸ ਉੱਤੇ ਨਹੀਂ।

ਨਿੱਜੀ ਸੀਮਾ ਸਾਂਝੇ ਦਫ਼ਤਰ ਨੈੱਟਵਰਕ ਵਿੱਚ ਪੂਰੀ ਤਰ੍ਹਾਂ ਲਾਹੇਵੰਦ ਹੋ ਸਕਦੀ ਹੈ ਅਤੇ ਤਦ ਅਰਥਹੀਣ ਹੋ ਜਾਂਦੀ ਹੈ ਜਦੋਂ ਦੋਵੇਂ ਹੋਸਟ ਅਸੰਬੰਧਿਤ ਨੈੱਟਵਰਕਾਂ ਵਿੱਚ ਹੋਣ ਜੋ ਦੋਵੇਂ 10.0.0.0/8 ਵਰਤਦੇ ਹਨ। ਫਿਲਟਰ ਤੁਹਾਨੂੰ ਰੂਟ ਕਰਨ ਯੋਗ ਮਾਰਗ ਨੂੰ ਤਰਜੀਹ ਦੇਣ ਅਤੇ ਇਤਫ਼ਾਕ ਨੂੰ ਅਣਡਿੱਠ ਕਰਨ ਦਿੰਦਾ ਹੈ।

ਜਦੋਂ ਪੀਅਰ ਜੁੜ ਨਹੀਂ ਸਕਦਾ, ਤਾਂ ਅਜ਼ਮਾਏ ਜਾ ਰਹੇ ਪਤੇ ਦੀ ਉਸ ਨਾਲ ਮਿਲਦੇ ਨਿਯਮ ਨਾਲ ਤੁਲਨਾ ਕਰੋ। ਹੈਂਡਸ਼ੇਕ ਲੌਗ ਚਾਲੂ ਕਰੋ ਅਤੇ ਚੁਣਿਆ ਦੂਰਲਾ ਪਤਾ ਪੜ੍ਹੋ; ਲੌਗ ਲਾਈਨ ਫਿਲਟਰਿੰਗ ਵਿੱਚੋਂ ਲੰਘੇ ਐਂਡਪੌਇੰਟ ਦਾ ਨਾਮ ਦੱਸਦੀ ਹੈ, ਜੋ ਪੀਅਰ ਕੋਲ਼ ਹੋਣ ਵਾਲੇ ਪਤਿਆਂ ਦੀ ਸੂਚੀ ਨਾਲੋਂ ਵਧੇਰੇ ਲਾਹੇਵੰਦ ਹੈ।

ਘੋਸ਼ਣਾ ਕਰਨ ਵਾਲੇ ਪਾਸੇ ਦਾ ਇੰਟਰਫੇਸ-ਨਾਮ ਫਿਲਟਰ ਪ੍ਰਾਪਤ ਕਰਨ ਵਾਲੇ ਪਾਸੇ ਵੱਲੋਂ ਵੇਖਣ ਤੋਂ ਪਹਿਲਾਂ ਹੀ ਐਂਡਪੌਇੰਟ ਹਟਾ ਸਕਦਾ ਹੈ। ਜਦੋਂ ਸਿਰਫ਼ ਇੱਕ ਦਿਸ਼ਾ ਅਸਫਲ ਹੋਵੇ ਤਾਂ ਦੋਵੇਂ ਨੋਡ ਜਾਂਚੋ।

ਹੈਂਡਸ਼ੇਕ ਤੋਂ ਬਾਅਦ ਓਵਰਲੇ ਦੇ ਪਹੁੰਚ ਨਿਯਮ ਲਾਗੂ ਹੁੰਦੇ ਹਨ

Nebula ਫਾਇਰਵਾਲ ਨਿਯਮ ਓਵਰਲੇ ਦੇ ਅੰਦਰ, ਸੁਰੰਗ ਸਥਾਪਿਤ ਹੋਣ ਤੋਂ ਬਾਅਦ ਕੰਮ ਕਰਦੇ ਹਨ। ਉਹ ਹੋਸਟ, ਸਮੂਹ, ਪੋਰਟ ਅਤੇ ਪ੍ਰੋਟੋਕੋਲ ਮਿਲਾਉਂਦੇ ਹਨ, ਅਤੇ ਤੈਅ ਕਰਦੇ ਹਨ ਕਿ ਪੈਕੇਟ ਸਥਾਨਕ ਹੋਸਟ ਵਿੱਚ ਦਾਖਲ ਹੋ ਸਕਦਾ ਹੈ ਜਾਂ ਬਾਹਰ ਨਿਕਲ ਸਕਦਾ ਹੈ। ਉਹ ਅੰਡਰਲੇ ਐਂਡਪੌਇੰਟ ਨਹੀਂ ਚੁਣਦੇ।

ਇਹ ਵੱਖਰਾਵ ਇੱਕ ਆਮ ਗਲਤ ਨਿਦਾਨ ਦੀ ਵਿਆਖਿਆ ਕਰਦਾ ਹੈ। ਓਪਰੇਟਰ ਪੋਰਟ ਲਈ ਫਾਇਰਵਾਲ ਨਿਯਮ ਜੋੜਦਾ ਹੈ ਅਤੇ ਫਿਰ ਵੀ ਜੁੜ ਨਹੀਂ ਸਕਦਾ, ਕਿਉਂਕਿ ਲਾਈਟਹਾਊਸ ਫਿਲਟਰ ਨੇ ਇੱਕੋ-ਇੱਕ ਪਹੁੰਚਯੋਗ ਐਂਡਪੌਇੰਟ ਹਟਾ ਦਿੱਤਾ ਸੀ। ਦੂਜਾ ਓਪਰੇਟਰ ਪਤਾ ਫਿਲਟਰ ਖੋਲ੍ਹਦਾ ਹੈ ਅਤੇ ਫਿਰ ਵੀ ਸੇਵਾ ਤੱਕ ਨਹੀਂ ਪਹੁੰਚਦਾ, ਕਿਉਂਕਿ ਓਵਰਲੇ ਦਾ ਫਾਇਰਵਾਲ ਪੋਰਟ ਨੂੰ ਰੱਦ ਕਰਦਾ ਹੈ।

ਅਸਫਲਤਾ ਨੂੰ ਸਹੀ ਪਰਤ ਉੱਤੇ ਪੜ੍ਹੋ। ਜੋ ਹੈਂਡਸ਼ੇਕ ਕਦੇ ਪੂਰਾ ਨਹੀਂ ਹੁੰਦਾ ਉਹ ਖੋਜ, ਐਂਡਪੌਇੰਟ ਫਿਲਟਰਿੰਗ ਜਾਂ ਨੈੱਟਵਰਕ ਮਾਰਗ ਵੱਲ ਸੰਕੇਤ ਕਰਦਾ ਹੈ। ਪੂਰਾ ਹੋਇਆ ਹੈਂਡਸ਼ੇਕ ਅਤੇ ਫਿਰ ਰੱਦ ਕੀਤਾ ਜਾਂ ਛੱਡਿਆ ਗਿਆ ਸੇਵਾ ਕਨੈਕਸ਼ਨ ਓਵਰਲੇ ਦੇ ਫਾਇਰਵਾਲ ਜਾਂ ਐਪਲੀਕੇਸ਼ਨ ਵੱਲ ਸੰਕੇਤ ਕਰਦਾ ਹੈ।

ਇਜਾਜ਼ਤ ਅਤੇ ਰੋਕ ਮਿਲਾਉਂਦੇ ਸਮੇਂ ਡਿਫ਼ਾਲਟ ਪੜ੍ਹੋ

ਲਾਈਟਹਾਊਸ ਸੰਰਚਨਾ ਸਿਰਫ਼-ਇਜਾਜ਼ਤ, ਸਿਰਫ਼-ਰੋਕ ਅਤੇ ਮਿਸ਼ਰਤ ਸੂਚੀਆਂ ਸਮਰਥਿਤ ਕਰਦੀ ਹੈ, ਅਤੇ ਗੈਰ-ਨਿਰਧਾਰਿਤ ਬਾਕੀ ਲਈ ਡਿਫ਼ਾਲਟ ਇਨ੍ਹਾਂ ਆਕਾਰਾਂ ਵਿੱਚ ਵੱਖਰਾ ਹੈ। ਮਿਸ਼ਰਤ ਸੂਚੀ ਲਈ ਪਤਾ-ਪਰਿਵਾਰ ਦਾ ਸਪਸ਼ਟ ਡਿਫ਼ਾਲਟ ਲੋੜੀਂਦਾ ਹੈ; ਬਾਕੀ ਪਿਛਲੀ ਸੰਰਚਨਾ ਵਾਂਗ ਵਿਵਹਾਰ ਕਰੇਗਾ ਇਹ ਮੰਨਣਾ ਹੀ ਕੰਮ ਕਰਦੇ ਐਂਡਪੌਇੰਟ ਦੇ ਚੁੱਪਚਾਪ ਗਾਇਬ ਹੋਣ ਦਾ ਰਾਹ ਹੈ।

lighthouse:
  local_allow_list:
    interfaces:
      docker0: false
  remote_allow_list:
    192.168.0.0/16: true
    default: false

ਡਿਫ਼ਾਲਟ ਨੂੰ ਨਿਯਮ ਦਾ ਹਿੱਸਾ ਮੰਨੋ, ਟੈਂਪਲੇਟ ਟੈਕਸਟ ਨਹੀਂ। ਜੇ ਪਰਿਵਾਰ ਦਾ ਡਿਫ਼ਾਲਟ ਰੋਕ ਹੈ, ਤਾਂ ਸੂਚੀ ਵਿੱਚ ਨਾ ਹੋਣ ਵਾਲਾ ਹਰ ਪਤਾ ਬਾਹਰ ਰਹਿੰਦਾ ਹੈ, ਸੰਰਚਨਾ ਲਿਖਣ ਤੋਂ ਬਾਅਦ ਜੋੜੀ ਗਈ ਨਵੀਂ ਦਫ਼ਤਰ ਸੀਮਾ ਵੀ ਸ਼ਾਮਲ ਹੈ।

ਕਿਹੜੇ ਪਤੇ ਪਹੁੰਚਯੋਗ ਹੋਣੇ ਚਾਹੀਦੇ ਸਨ ਇਹ ਦਰਜ ਕਰੋ ਅਤੇ ਦੋਵੇਂ ਪਾਸਿਆਂ ਤੋਂ ਪਰਖੋ। ਇੱਕ ਪੀਅਰ ਜੋੜੀ ਲਈ ਕੰਮ ਕਰਨ ਵਾਲਾ ਫਿਲਟਰ ਦੂਜੀ ਜੋੜੀ ਲਈ ਅਸਫਲ ਹੋ ਸਕਦਾ ਹੈ ਜਿਸਦਾ ਇੱਕੋ-ਇੱਕ ਸਾਂਝਾ ਮਾਰਗ ਅਜਿਹਾ ਪਤਾ ਵਰਤਦਾ ਹੈ ਜੋ ਸੂਚੀ ਬਾਹਰ ਰੱਖਦੀ ਹੈ।

ਜਦੋਂ ਕੋਈ ਸਿੱਧਾ ਐਂਡਪੌਇੰਟ ਪਹੁੰਚਯੋਗ ਨਾ ਹੋਵੇ ਤਾਂ ਰਿਲੇ ਵਰਤੋ

ਜੇ ਹਰ ਉਮੀਦਵਾਰ ਐਂਡਪੌਇੰਟ ਫਿਲਟਰ ਹੋ ਜਾਵੇ ਜਾਂ ਪਹੁੰਚ ਤੋਂ ਬਾਹਰ ਹੋਵੇ, ਤਾਂ ਜਵਾਬ ਉਹ ਚੌੜੀ ਇਜਾਜ਼ਤ ਸੂਚੀ ਨਹੀਂ ਹੈ ਜੋ ਤੁਹਾਡੇ ਭਰੋਸੇਯੋਗ ਨਾ ਹੋਣ ਵਾਲੇ ਪਤਿਆਂ ਨੂੰ ਮੁੜ ਸਵੀਕਾਰ ਕਰੇ। ਸਿੱਧਾ ਕਨੈਕਸ਼ਨ ਸੰਭਵ ਨਾ ਹੋਣ ਵੇਲੇ Nebula ਦੀ ਰਿਲੇ ਸੰਰਚਨਾ ਵਿਕਲਪਿਕ ਪੀਅਰ ਮਾਰਗ ਦਿੰਦੀ ਹੈ।

ਰਿਲੇ ਢੋਆ-ਢੁਆਈ ਅਤੇ ਖੋਜ ਹੱਲ ਕਰਦਾ ਹੈ, ਅਧਿਕਾਰ ਨਹੀਂ, ਅਤੇ ਇਹ ਫਾਇਰਵਾਲ ਨੂੰ ਚੌੜਾ ਨਹੀਂ ਕਰਦਾ। ਓਵਰਲੇ ਦਾ ਫਾਇਰਵਾਲ ਅਜੇ ਵੀ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਕਿਹੜੀਆਂ ਸੇਵਾਵਾਂ ਵਰਤੀਆਂ ਜਾ ਸਕਦੀਆਂ ਹਨ, ਅਤੇ ਰਿਲੇ ਲਾਈਟਹਾਊਸ ਫਿਲਟਰਿੰਗ ਨੂੰ ਪਹੁੰਚ-ਨਿਯੰਤਰਣ ਕਾਰਜਵਿਧੀ ਨਹੀਂ ਬਣਾਉਂਦਾ।

ਸਿੱਧੇ ਐਂਡਪੌਇੰਟ ਬੰਦ ਰੱਖ ਕੇ ਰਿਲੇ ਮਾਰਗ ਪਰਖੋ ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਇੱਛਿਤ ਸੇਵਾ ਅਜੇ ਵੀ ਕੰਮ ਕਰਦੀ ਹੈ ਜਦੋਂ ਕਿ ਗੈਰ-ਇੱਛਿਤ ਨਹੀਂ। ਉਹ ਇੱਕੋ ਪਰਖ ਢੋਆ-ਢੁਆਈ ਸੁਧਾਰ ਨੂੰ ਨੀਤੀ ਬਦਲਾਅ ਤੋਂ ਵੱਖ ਕਰਦੀ ਹੈ ਅਤੇ ਦੋਵੇਂ ਪਰਤਾਂ ਇਮਾਨਦਾਰ ਰੱਖਦੀ ਹੈ।