د ZeroTier وتلو ګره کار نه کوي؟ لار، NAT او کلاینټ وګورئ
په کلاینټ کې 0.0.0.0/0 لار وتل نه دي. ګره باید لیږد او ژباړه وکړي، شبکه باید لار اعلان کړي، او کلاینټ باید یې ومني.
د لارې جدول د ZeroTier انٹرفېس له لارې یوه تلواله لار ښیي، شبکه آنلاین ښیي، او براوزر بیا هم د سیمه ایز ISP له پتې وتل کوي. دا ترکیب عام دی او دا د کلاینټ غلطي نه ده. تلواله لار یوازې وایي چې بستې چېرې وړې باید لاړې شي؛ بل سر کې باید څه وي چې هغوی لیږد او ژباړه کړي. د وتلو ګرې له کار کولو دمخه درې جلا برخې باید سمې وي.
لار شته خو هېڅ نه وتل کوي
لومړی د کلاینټ د لارې جدول وګورئ. default via 10.147.20.5 dev zt0 په څېر کرښه ثابتوي چې لار نصب شوه، نه دا چې منزل به ترافیک ومني. بله ټوپنه باید غړی وي چې لیږدو ته چمتو او توانمن وي.
که هماغه غوښتنه لا هم د فزیکي انٹرفېس له لارې وتل کوي، کلاینټ لار نه ده نصب کړې، یا یې د سیمه ایز تلواله سره د ماتې خوړونکي میټریک سره نصب کړې. که لار د نصب وروسته غوښتنه ورکه شي، وتلو غړی بستې ترلاسه کوي او د هغوی لیږد یا ژباړه پکې پاتې کېږي. هغه کلاینټ چې فزیکي تلواله ساتي په وتلو هېڅ یوه بسته هم نه لیږي.
دا توپیر ټاکي چې چېرې کار وکړو. د بدلون دمخه او وروسته د عامه پتې پرتله کول هغه لار چې هېڅکله نه وه کارول شوې له هغې جلا کوي چې کارول شوې او پرېښل شوې، او د ټول ترتیب د بیاکتنې پر ځای یوازې یوه کمانډ غواړي. پرتله کول د بل هر څه له بدلولو دمخه وکړئ، ترڅو دواړه پایلې له یوه پیل حالت څخه وي.
درې برخې چې ټولې باید سمې وي
وتل یو ځنځیر دی، او تر ټولو کمزورې کړۍ نښه ټاکي. لاندې جدول کړۍ په هغه ترتیب کې لیستوي چې معمولا پکې ناکامېږي.
| Part | Where it lives | What a failure looks like |
|---|---|---|
| Forwarding and NAT | Exit node kernel and firewall | Traffic arrives, no reply |
| Managed default route | ZeroTier network controller | No default via the tunnel on the member |
| Client acceptance | Member's per-network setting | Route offered but not installed |
| DNS behavior | Client resolver configuration | Pages fail by name, IP works |
لومړی کرښه هغه ده چې د اختیار نوم یې پټوي. غړی یوازې هغه وخت وتل کېږي چې د هغه کرنل بستې د ZeroTier انٹرفېس او انټرنیټ ته مخامخ انٹرفېس ترمنځ لیږدي، او کله چې د ځواب لار بېرته تونل ته وژباړل شي. پرته له دې لیږد، غړی سیال دی، نه دروازه.
د کنټرولر کرښه اجازه ده، نه ترتیب. د غړي له لارې 0.0.0.0/0 اعلانول هر کلاینټ ته وایي چې وتل چېرې دی؛ دا هغه غړی د ترافیک د وړلو توانمن نه کوي. دا هم نه تاییدوي چې غړی انټرنیټ ته کاري لار لري. د ZeroTier د وتلو ګرې اسناد د ګرې، لار او کلاینټ ترمنځ هماغه وېش پوښي.
وتلو ګره د لیږد او ژباړې لپاره تنظیم کړئ
IPv4 لیږد په تلپاتې ډول فعال کړئ، بیا د WAN انٹرفېس پرېښودونکي ترافیک لپاره د سرچینې NAT اضافه کړئ. د فلټر قواعد باید لیږدول شوي جریان ته په دواړو لورو اجازه ورکړي، ځکه لیږد او ژباړه له اجازې جلا دي:
sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -A FORWARD -i zt0 -o eth0 -j ACCEPT
iptables -A FORWARD -i eth0 -o zt0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPTzt0 او eth0 د هوسټ پر نومونو بدل کړئ؛ د بېلګې انٹرفېس لپاره خوندي شوی قاعده په ریښتیني انٹرفېس کې بستې نه تعقیبوي. بدلونونه د هغه فایر وال مدیر له لارې تلپاتې کړئ چې قواعد یې لري، ځکه په متقابل شیل کې ورکړل شوې کمانډ په بله بیا پیل کې ورکېږي.
که هوسټ د UFW یا firewalld په څېر فایر وال مدیر چلوي، د iptables کرښو د څنګ ته کولو پر ځای هماغه مدیر له لارې قواعد اضافه کړئ. دوه مالکین چې هماغه ځنځیرونه سمول کوي د پیل ترتیب پورې تړلې تګلاره جوړوي. ترتیب مهم دی کله چې مدیر خپل ځنځیرونه جوړوي. له مدیر څخه د بیا لوستلو وروسته له کلاینټ څخه ازموینه وکړئ، دمخه نه.
لاره اعلان کړئ او په کلاینټ کې یې ومنئ
په شبکه کنټرولر کې د 0.0.0.0/0 لپاره مدیریت شوې لار اضافه کړئ چې بله ټوپنه یې د وتلو غړي ZeroTier پته وي. بیا په هغه غړي چې باید یې وکاروي، د هغې شبکې لپاره د سرغړونې اجازه ورکړئ. اجازه سیمه ایزه ده: نور غړي بیا تنظیم نه کوي او کنټرولر نه بدلوي.
zerotier-cli listnetworks
zerotier-cli set <network-id> allowDefault=1
ip route get 1.1.1.1وروستې کمانډ باید د ZeroTier انٹرفېس او د وتلو غړي پته راپور کړي. که دا لا هم فزیکي انٹرفېس راپور کوي، لاره نسته یا سیال تلواله غوره میټریک لري.
تنظیم یوازې هغې شبکې ته محدود کړئ چې ورته اړتیا لري. د تلواله لار منل په نړیواله کچه فعالول، یا په داسې شبکه کې چې یوازې شخصي فرعي شبکه باید وړاندې کړي، ترافیک له هغه وتلو څخه لیږي چې هېڅکله ورته نه دی اندازه شوی.
وتل تایید کړئ او نور پتې کورنۍ وګورئ
له هغې خدمت څخه عامه پته وغواړئ چې سرچینه راپور کوي، او د وتلو ګرې د WAN پتې سره یې پرتله کړئ. بیا په نوم یو سایټ لوست کړئ ترڅو ډاډ ترلاسه شي چې DNS لا هم حل کوي، او یوازې براوزر نه بلکې یو مهم اپلیکیشن هم ازموینه کړئ.
دوه-سټیک کلاینټ کولی شي خپله اصلي IPv6 لار وکاروي پداسې حال کې چې IPv4 د ZeroTier له لارې وتل کوي. که هدف د ټول ترافیک پټول یا کنټرول وي، جلا ::/0 لار او په وتلو کې IPv6 لیږد ته اړتیا ده، او IPv4 ازموینه د هغوی په اړه هېڅ نه وایي.
د Linux د مخکښې لار فلټر کول کولی شي په کلاینټ کې سم وتل ترافیک هم وغورځوي. ZeroTier د ګډون کوونکو غړو لپاره د rp_filter په اړه اسناد لري؛ هغه تنظیم په قصد سره او یوازې د لار او NAT له تایید وروسته بدل کړئ، نه د لومړي تجربې په توګه.
که اړتیا NAS یا یوې دفتر فرعي شبکې ته لاسرسی وي، د هغې مخکښې لپاره مدیریت شوې لار د بشپړ وتلو په پرتله کوچنی او خوندي بدلون دی. ټول براوزینګ د بل وسایل له لارې لیږل د یو شخصي سرچینې ته رسیدو څخه بېل فیصل دی، او جلا بیاکتنې ته ورته دی.