Filtri svetilnika Nebula proti požarnemu zidu: kaj blokira vsak

Poglejte rokovanje Nebula z napačne strani in oba mehanizma se zdita zamenljiva. Eden odloča, katere naslove vozlišče sporoči svetilniku in katere oddaljene naslove bo poskusilo; drugi odloča, kaj lahko preide, ko tunel obstaja. Filter lahko ustavi povezavo, preden se ovrednoti katero koli pravilo požarnega zidu, pravilo požarnega zidu pa ne more oživiti končne točke, ki jo je odkritje odstranilo. Oba sloja odgovarjata na različna vprašanja, in vrstni red njunega delovanja je ključ.

Sledite eni povezavi skozi štiri stopnje: objavljeni lokalni naslov, obravnavana oddaljena končna točka, rokovanje in promet v nadgrajenem sloju. Vsaka stopnja ima svojo konfiguracijo in svoj podpis okvare.

Začnite pri lokalnem naslovu, ki ga vozlišče objavi

local_allow_list filtrira lokalne naslove tega gostitelja, preden se sporočijo svetilnikom. Vnosi so lahko naslovni razponi, konfiguracija pa podpira tudi vzorce imen vmesnikov. To je uporabno, ko ima gostitelj mostove vsebnikov ali dodatne tunelske vmesnike, ki ne smejo postati končne točke partnerjev.

Pojdite skozi vmesnike gostitelja in vprašajte, do katerih lahko oddaljeni partner res pride. Naslov mostu Docker je lokalen za tega gostitelja in neuporaben za partnerja v drugem omrežju. Njegovo objavljanje zapravlja odkritje in lahko pošlje partnerja na naslov, ki nikoli ne odgovori. Vse, kamor partner ne more usmeriti, je šum v odgovoru svetilnika.

Ozek seznam dovoljenj je tu varnejši od širokega seznama prepovedi. Če so prisotni le vnosi dovoljenja, je nedoločeni ostanek izključen; poznejše dodajanje vnosa prepovedi spremeni privzeto logiko in zahteva lasten pregled. Ta sprememba si zasluži drug pogled na privzeto vrednost.

Nato opazujte izbiro oddaljene končne točke

remote_allow_list filtrira naslove, ki jih bo ta gostitelj upošteval za oddaljenega partnerja med rokovanjem. Velja za naslov spodnjega sloja, ne za naslov v nadgrajenem sloju, ki ga bo partner uporabil po dvigu tunela.

Zasebni razpon je lahko povsem uporaben v skupnem pisarniškem omrežju in nesmiseln, ko sta gostitelja v nepovezanih omrežjih, ki oba uporabljata 10.0.0.0/8. Filter vam omogoča, da imate raje usmerljivo pot in naključje prezrete.

Ko se partner ne more povezati, primerjajte poskusni naslov s pravilom, ki se z njim ujema. Vklopite dnevnike rokovanja in preberite izbrani oddaljeni naslov; vrstica dnevnika navede končno točko, ki je preživela filtriranje, kar je koristneje od seznama naslovov, ki jih ima partner.

Filter imen vmesnikov na strani objave lahko odstrani končno točko, preden jo sprejemna stran sploh vidi. Preverite obe vozlišči, ko ne uspeva le ena smer.

Po rokovanju veljajo pravila dostopa nadgrajenega sloja

Pravila požarnega zidu Nebula delujejo znotraj nadgrajenega sloja, po vzpostavitvi tunela. Ujemajo gostitelje, skupine, vrata in protokole ter odločajo, ali paket sme v lokalnega gostitelja ali iz njega. Ne izbirajo končne točke v spodnjem sloju.

Ta ločitev pojasnjuje pogosto napačno diagnozo. Upravljavec doda pravilo požarnega zidu za vrata in se še vedno ne more povezati, ker je filter svetilnika odstranil edino dosegljivo končno točko. Drug upravljavec odpre filter naslovov in še vedno ne doseže storitve, ker požarni zid nadgrajenega sloja zavrača vrata.

Berite okvaro na pravi plasti. Rokovanje, ki se nikoli ne konča, kaže na odkritje, filtriranje končnih točk ali omrežno pot. Končano rokovanje, ki mu sledi zavrnjena ali spuščena povezava s storitvijo, kaže na požarni zid nadgrajenega sloja ali na aplikacijo.

Berite privzeto vrednost, ko mešate dovoljenje in prepoved

Konfiguracija svetilnika podpira sezname samo z dovoljenji, samo s prepovedmi in mešane, privzeta vrednost za nedoločeni ostanek pa se med temi oblikami razlikuje. Mešani seznam potrebuje izrecno privzeto vrednost za družino naslovov; domneva, da se ostanek obnaša kot prejšnja konfiguracija, je pot, po kateri delujoča končna točka tiho izgine.

lighthouse:
  local_allow_list:
    interfaces:
      docker0: false
  remote_allow_list:
    192.168.0.0/16: true
    default: false

Obravnavajte privzeto vrednost kot del pravila, ne kot predlogo. Če je privzeta vrednost družine prepoved, je vsak nenavedeni naslov izključen, tudi nov pisarniški razpon, dodan po pisanju konfiguracije.

Zabeležite, kateri naslovi naj bi bili dosegljivi, in preizkusite z obeh strani. Filter, ki deluje za en par partnerjev, lahko zataji pri drugem paru, katerega edina skupna pot uporablja naslov, ki ga seznam izključuje.

Uporabite relay, ko ni dosegljiva nobena neposredna končna točka

Če je vsaka kandidatna končna točka odfiltrirana ali nedosegljiva, odgovor ni širši seznam dovoljenj, ki znova sprejme naslove, ki jim ne zaupate. Konfiguracija relay v Nebula ponuja alternativno pot partnerja, ko neposredna povezljivost ni izvedljiva.

Relay rešuje prenos in odkritje, ne avtorizacije, in ne širi požarnega zidu. Požarni zid nadgrajenega sloja še vedno odloča, katere storitve se smejo uporabljati, in relay ne spremeni filtriranja svetilnika v mehanizem nadzora dostopa.

Preizkusite pot relay z izklopljenimi neposrednimi končnimi točkami in potrdite, da želena storitev še deluje, neželena pa ne. Ta en sam preizkus loči popravek prenosa od spremembe politike in ohrani oba sloja poštena.