Je li HTTP preko ZeroTiera šifriran? Provjerite gdje overlay završava

Prođite ove provjere redom i zaustavite se na prvoj koja ne uspije, jer svaki odgovor mijenja šta znači sljedeći korak. Pravo pitanje je usko: putuje li obični HTTP na ZeroTier mreži otvoreno preko interneta? Između dva ZeroTier peera obično ne, jer overlay šifrira taj skok. Ali to je tvrdnja o dvije krajnje točke, ne o svakom segmentu kroz koji zahtjev prolazi. Ruter, most ili obrnuti proxy pomjera krajnju točku, a čisti tekst ponovo počinje s njegove druge strane.

Provjera 1: pronađite adresu na koju browser zove

Uporedite URL sa onim što mašina zaista ima. ip -brief addr show prikazuje zt interfejs i overlay adresu koju je dodijelio kontroler mreže; ako URL koristi tu adresu, socket browsera ulazi u overlay.

Kada se ime umjesto toga razriješi u LAN adresu, overlay možda uopšte nije uključen, šta god sugerisao indikator stanja klijenta. ip route get 10.147.20.5 ispisuje interfejs i izvornu adresu koju bi kernel izabrao, pa zt interfejs tamo znači da paket ulazi u overlay, a ime vaše fizičke NIC znači da ne ulazi. Imena dodaju još jedan sloj: zapis koji pokazuje na overlay adresu ponaša se drugačije od onog koji pokazuje na LAN adresu, a sufiks pretrage ili unos u hosts datoteci može tiho odlučiti koji ćete dobiti.

Provjera 2: potvrdite da su oba kraja peerovi, a ne relay koji dešifruje

ZeroTier šifrira između peerova, a gdje ne postoji direktna putanja paketi se prenose kroz root koji ih prosljeđuje još šifrovane. zerotier-cli peers označava putanju svakog peera kao DIRECT ili RELAY uz broj kašnjenja. Proslijeđena putanja košta povratna putovanja, ne povjerljivost.

Ono što mijenja odgovor je član koji zapravo nije krajnja točka. Kada je druga strana ZeroTier član koji rutira ili mosti u fizički LAN, overlay završava na tom članu i sljedeći skok je obični Ethernet.

Provjera 3: gledajte gdje zahtjev postaje čitljiv

Na hostu za koji vjerujete da poslužuje stranicu, snimite overlay interfejs dok je ponovo učitavate: sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'. Čitljiva linija zahtjeva u tom izlazu dokazuje da je saobraćaj stigao dešifrovan na taj host, i to je granica koju tražite.

Zatim snimite na interfejsu okrenutom prema ostatku LAN-a. Ako se isti zahtjev pojavi tamo otvoreno, napustio je overlay prije nego što je stigao do aplikacije i svaki uređaj na tom segmentu može ga pročitati. Ako se ništa ne pojavi na LAN strani a stranica se ipak učita, aplikacija završava na samom ZeroTier hostu.

Snimanje loopbacka je takođe važno kada je obrnuti proxy ispred, jer proxy koji prihvata HTTPS i prosljeđuje HTTP pomjera granicu na sopstveni backend.

Provjera 4: uzmite u obzir svaki skok iza rutera ili mosta

Član konfigurisan da rutira između overlaya i LAN-a je uobičajen dizajn i mjesto gdje se većina ovih pretpostavki lomi. Overlay štiti dionicu od browsera do rutera i ništa poslije nje. Most priča istu priču drugim mehanizmom: overlay i fizički segment postaju jedna broadcast domena, pa zahtjev s laptopa povezanog preko mosta prolazi običnim Ethernetom čak i ako taj laptop sjedi na ZeroTier mreži.

Pratite to umjesto da pretpostavljate. traceroute od klijenta do adrese servisa plus tabela rutiranja na gateway članu pokazuje je li zadnji skok zt ili eth.

ZeroTier nudi i režim trusted-path koji može odbaciti transportnu sigurnost na određenim lokalnim putanjama radi performansi. Mreža koja ga koristi ne nasljeđuje uobičajenu pretpostavku o šifrovanoj putanji, pa pročitajte konfiguraciju mreže prije nego što je citirate. Dokumentacija protokola opisuje i šifrovanje između peerova i taj izuzetak.

Provjera 5: odlučite šta aplikacija još mora da uradi

Članstvo u overlayu autentifikuje uređaj na mreži i ne govori ništa o tome je li servis na drugoj strani onaj koji ste htjeli dosegnuti. HTTPS odgovara na drugo pitanje vezujući ime hosta za ključ, pa se te dvije zaštite preklapaju bez zamjene jedna druge. Ovlašteni peer i dalje može biti pogrešan servis, a kompromitovana krajnja točka čita zahtjev i prije šifrovanja i poslije dešifrovanja. Nijedan mehanizam ne revidira šta aplikacija bilježi.

Za sve sa sesijom koja se može ponovo koristiti ili lozinkom, završite TLS na aplikaciji ili na proxyju koji kontrolišete i ostavite validaciju certifikata uključenom. Gdje stariji servis mora ostati na običnom HTTP-u, zapišite tačnu putanju od hosta do hosta koju smije koristiti, ko joj može pristupiti i koji segment ostaje nezaštićen; ta bilješka je ono što budućem recenzentu treba.

"VPN je povezan" nije procjena ničega od ovoga. Iskrena verzija imenuje oba kraja, putanju između njih i prvi skok koji nije pokriven.

Držite izlaz snimanja i listu peerova uz dokumentaciju servisa, kako bi svako ko promijeni rutu ili doda most vidio koju pretpostavku namjerava slomiti.