Je HTTP prek ZeroTierja šifriran? Preverite, kje se overlay konča

Te preglede opravite po vrsti in se ustavite pri prvem, ki ne uspe, ker vsak odgovor spremeni pomen naslednjega koraka. Pravo vprašanje je ozko: ali navadni HTTP v omrežju ZeroTier potuje po internetu v berljivi obliki? Med dvema peerjema ZeroTier običajno ne, ker overlay ta skok šifrira. A to je trditev o dveh končnih točkah, ne o vsakem segmentu, skozi katerega gre zahteva. Usmerjevalnik, most ali obratni proxy premakne končno točko in na njegovi drugi strani se čisto besedilo začne znova.

Pregled 1: poiščite naslov, na katerega kliče brskalnik

Primerjajte URL s tem, kar ima stroj v resnici. ip -brief addr show izpiše vmesnik zt in naslov overlaya, ki ga je dodelil krmilnik omrežja; če URL uporablja ta naslov, gre vtičnica brskalnika v overlay.

Ko se ime namesto tega razreši v naslov LAN, overlay morda sploh ni vključen, kar koli že nakazuje kazalnik stanja odjemalca. ip route get 10.147.20.5 izpiše vmesnik in izvorni naslov, ki bi ga izbralo jedro, zato vmesnik zt tam pomeni, da paket vstopi v overlay, ime vaše fizične NIC pa pomeni, da ne. Imena dodajo še eno plast: zapis, ki kaže na naslov overlaya, se obnaša drugače kot tisti, ki kaže na naslov LAN, in končnica iskanja ali vnos v datoteki hosts lahko tiho odloči, katerega dobite.

Pregled 2: potrdite, da sta oba konca peerja, ne pa relay, ki dešifrira

ZeroTier šifrira med peerji, in kjer ni neposredne poti, se paketi posredujejo skozi koren, ki jih pošilja naprej še vedno šifrirane. zerotier-cli peers označi pot vsakega peerja kot DIRECT ali RELAY s številko zakasnitve. Posredovana pot stane povratne poti, ne zaupnosti.

Odgovor spremeni član, ki v resnici ni končna točka. Ko je druga stran član ZeroTier, ki usmerja ali mosti v fizični LAN, se overlay konča pri tem članu in naslednji skok je navaden Ethernet.

Pregled 3: opazujte, kje zahteva postane berljiva

Na gostitelju, za katerega menite, da streže stran, med ponovnim nalaganjem zajemite vmesnik overlaya: sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'. Berljiva vrstica zahteve v tem izpisu dokazuje, da je promet na tega gostitelja prispel dešifriran, in to je meja, ki jo iščete.

Nato zajemite na vmesniku, obrnjenem proti preostanku LAN. Če se ista zahteva tam pojavi v čisti obliki, je overlay zapustila, preden je prišla do aplikacije, in vsaka naprava v tem segmentu jo lahko prebere. Če se na strani LAN ne pojavi nič, stran pa se vseeno naloži, aplikacija končuje na samem gostitelju ZeroTier.

Zajem loopbacka je pomemben tudi, ko je spredaj obratni proxy, ker proxy, ki sprejema HTTPS in posreduje HTTP, premakne mejo na svoj lastni backend.

Pregled 4: upoštevajte vsak skok za usmerjevalnikom ali mostom

Član, nastavljen za usmerjanje med overlayjem in LAN, je običajna zasnova in mesto, kjer se večina teh predpostavk zlomi. Overlay ščiti odsek od brskalnika do usmerjevalnika in nič za njim. Most pripoveduje isto zgodbo z drugim mehanizmom: overlay in fizični segment postaneta ena sama oddajna domena, zato zahteva s prenosnika, povezanega prek mosta, potuje po navadnem Ethernetu, tudi če ta prenosnik sedi v omrežju ZeroTier.

Sledite ji, namesto da bi domnevali. traceroute od odjemalca do naslova storitve skupaj s tabelo usmerjanja na članu prehoda pokaže, ali je zadnji skok zt ali eth.

ZeroTier ponuja tudi način trusted-path, ki lahko zaradi zmogljivosti opusti varnost prenosa na določenih lokalnih poteh. Omrežje, ki ga uporablja, ne podeduje običajne predpostavke o šifrirani poti, zato preberite konfiguracijo omrežja, preden katero citirate. Dokumentacija protokola opisuje tako šifriranje med peerji kot to izjemo.

Pregled 5: odločite, kaj mora aplikacija še storiti

Članstvo v overlayju overi napravo v omrežju in ne pove ničesar o tem, ali je storitev na drugi strani tista, do katere ste želeli priti. HTTPS odgovarja na drugo vprašanje tako, da ime gostitelja poveže s ključem, zato se ti dve zaščiti prekrivata, ne da bi se nadomestili. Pooblaščeni peer je lahko še vedno napačna storitev, ogrožena končna točka pa zahtevo prebere pred šifriranjem in po dešifriranju. Noben mehanizem ne revidira, kaj aplikacija zabeleži.

Za vse z relacijo, ki jo je mogoče večkrat uporabiti, ali z geslom zaključite TLS v aplikaciji ali v proxyju, ki ga nadzorujete, in pustite preverjanje potrdila vključeno. Kjer mora starejša storitev ostati na navadnem HTTP, zapišite natančno pot od gostitelja do gostitelja, ki jo sme uporabljati, kdo jo lahko doseže in kateri segment ostane nezaščiten; ta zapis je tisto, kar potrebuje prihodnji pregledovalec.

"VPN je povezan" ni ocena ničesar od tega. Iskrena različica poimenuje oba konca, pot med njima in prvi skok, ki ni pokrit.

Izhod zajema in seznam peerjev hranite ob dokumentaciji storitve, da bo vsak, ki spremeni pot ali doda most, videl, katero predpostavko bo pravkar prelomil.