Je HTTP cez ZeroTier šifrované? Zistite, kde overlay končí

Prejdite tieto kontroly v poradí a zastavte sa pri prvej, ktorá zlyhá, pretože každá odpoveď mení význam ďalšieho kroku. Skutočná otázka je úzka: putuje obyčajné HTTP v sieti ZeroTier cez internet v čitateľnej podobe? Medzi dvoma peermi ZeroTier zvyčajne nie, keďže overlay ten skok šifruje. To je však tvrdenie o dvoch koncových bodoch, nie o každom segmente, ktorým požiadavka prechádza. Router, most alebo reverzný proxy posúva koncový bod a na jeho druhej strane sa čistý text začína znova.

Kontrola 1: nájdite adresu, na ktorú prehliadač volá

Porovnajte URL s tým, čo stroj skutočne má. ip -brief addr show vypisuje rozhranie zt a adresu overlaya pridelenú správcom siete; ak URL používa túto adresu, socket prehliadača ide do overlaya.

Keď sa názov namiesto toho preloží na adresu LAN, overlay nemusí byť vôbec zapojený, nech indikátor stavu klienta naznačuje čokoľvek. ip route get 10.147.20.5 vypíše rozhranie a zdrojovú adresu, ktorú by vybral kernel, takže rozhranie zt tam znamená, že paket vstupuje do overlaya, a názov vašej fyzickej NIC znamená, že nevstupuje. Názvy pridávajú ďalšiu vrstvu: záznam ukazujúci na adresu overlaya sa správa inak ako ten, ktorý ukazuje na adresu LAN, a prípona vyhľadávania alebo položka v súbore hosts môže potichu rozhodnúť, ktorú dostanete.

Kontrola 2: potvrďte, že oba konce sú peery, nie relay, ktorý dešifruje

ZeroTier šifruje medzi peermi a tam, kde neexistuje priama cesta, sa pakety prenášajú cez koreň, ktorý ich posiela ďalej stále zašifrované. zerotier-cli peers označuje cestu každého peera ako DIRECT alebo RELAY spolu s číslom latencie. Prenesená cesta stojí spiatočné cesty, nie dôvernosť.

Odpoveď mení člen, ktorý v skutočnosti nie je koncovým bodom. Keď je druhá strana člen ZeroTier, ktorý smeruje alebo mostí do fyzickej LAN, overlay sa končí na tomto člene a ďalší skok je obyčajný Ethernet.

Kontrola 3: sledujte, kde sa požiadavka stáva čitateľnou

Na hoste, o ktorom si myslíte, že obsluhuje stránku, zachyťte rozhranie overlaya počas opätovného načítania: sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'. Čitateľný riadok požiadavky v tomto výstupe dokazuje, že premávka dorazila na tento host dešifrovaná, a to je hranica, ktorú hľadáte.

Potom zachyťte na rozhraní obrátenom k zvyšku LAN. Ak sa tá istá požiadavka objaví tam v čitateľnej podobe, opustila overlay predtým, než sa dostala k aplikácii, a každé zariadenie v tomto segmente ju môže prečítať. Ak sa na strane LAN nič neobjaví a stránka sa napriek tomu načíta, aplikácia končí na samotnom hoste ZeroTier.

Zachytenie loopbacku je dôležité aj vtedy, keď je vpredu reverzný proxy, pretože proxy, ktorý prijíma HTTPS a posiela ďalej HTTP, presúva hranicu na svoj vlastný backend.

Kontrola 4: zohľadnite každý skok za routerom alebo mostom

Člen nakonfigurovaný na smerovanie medzi overlayom a LAN je bežný návrh a miesto, kde sa väčšina týchto predpokladov láme. Overlay chráni úsek od prehliadača po router a nič za ním. Most rozpráva ten istý príbeh iným mechanizmom: overlay a fyzický segment sa stanú jednou vysielacou doménou, takže požiadavka z laptopu pripojeného cez most prechádza obyčajným Ethernetom, aj keď ten laptop sedí v sieti ZeroTier.

Vystopujte to namiesto predpokladania. traceroute z klienta na adresu služby spolu s routovacou tabuľkou na člene brány ukazuje, či je posledný skok zt alebo eth.

ZeroTier ponúka aj režim trusted-path, ktorý môže pre výkon vypustiť bezpečnosť prenosu na určených lokálnych cestách. Sieť, ktorá ho používa, nedostáva zvyčajný predpoklad šifrovanej cesty, preto si prečítajte konfiguráciu siete, kým niektorú budete citovať. Dokumentácia protokolu opisuje šifrovanie medzi peermi aj tú výnimku.

Kontrola 5: rozhodnite, čo aplikácia ešte musí urobiť

Členstvo v overlaye autentifikuje zariadenie v sieti a nič nehovorí o tom, či služba na druhej strane je tá, ku ktorej ste sa chceli dostať. HTTPS odpovedá na inú otázku tým, že viaže názov hosta na kľúč, takže sa tieto dve ochrany prekrývajú bez toho, aby sa navzájom nahradili. Autorizovaný peer môže byť stále nesprávna služba a napadnutý koncový bod číta požiadavku pred šifrovaním aj po dešifrovaní. Ani jeden mechanizmus neaudituje, čo aplikácia zaznamenáva.

Pre všetko s opakovane použiteľnou reláciou alebo heslom ukončite TLS v aplikácii alebo v proxy, ktoré kontrolujete, a nechajte overovanie certifikátu zapnuté. Tam, kde staršia služba musí zostať na obyčajnom HTTP, zapíšte presnú cestu od hosta k hostu, ktorú smie používať, kto sa k nej dostane a ktorý segment zostáva nechránený; ten záznam je to, čo budúci recenzent potrebuje.

"VPN je pripojená" nie je hodnotenie ničoho z tohto. Úprimná verzia pomenuje oba koncové body, cestu medzi nimi a prvý skok, ktorý nie je pokrytý.

Uložte výstup zachytenia a zoznam peerov vedľa dokumentácie služby, aby každý, kto zmení trasu alebo pridá most, videl, ktorý predpoklad sa chystá porušiť.