ZeroTier v lokalno omrežje: pravila poti UFW, ne dovoljenje vrat

Doseči tiskalnik v pisarniškem lokalnem omrežju prek člana ZeroTier se sliši kot eno pravilo, v resnici pa so to tri odločitve na treh različnih mestih. Overlay mora vedeti, kje je lokalno omrežje, gostitelj Linux mora biti pripravljen posredovati pakete, lokalno omrežje pa mora vedeti, kako poslati odgovor nazaj. Vhodno pravilo, ki odpre vrata na prehodu, se ne dotakne nobenega od tega. To je napačno orodje na pravem gostitelju.

Tri opravila, trije lastniki

Upravljana pot pripada konfiguraciji omrežja ZeroTier. Članom pove, da je predpona dosegljiva prek določenega naslova člana.

Posredovanje pripada jedru Linux in tistemu, ki ima politiko njegovega požarnega zidu. Odloča, ali paket, ki prispe na overlay, spet zapusti fizični vmesnik. Gostitelj, ki ne posreduje, bo paket po sprejemu tiho zavrgel. Pošiljatelj vidi potek časa, v dnevniku storitve pa se ne pojavi nič.

Pot nazaj pripada lokalnemu omrežju. Njegovi gostitelji in njegov usmerjevalnik morajo vedeti, da je predpona overlaya dosegljiva prek naslova prehoda v lokalnem omrežju, ali pa mora nekaj prevesti promet, da se to vprašanje sploh ne pojavi.

Vsako od tega je lahko pravilno, medtem ko druga odpovedo, in zato preizkus, ki samo pinga prehod, ne dokaže ničesar o storitvi za njim.

Usmerite upravljano pot na člana

Dodajte pot za želeno predpono lokalnega omrežja prek overlay naslova prehoda, ne prek njegovega naslova v lokalnem omrežju. Overlay naslov je tisti, ki ga dosežejo drugi člani; naslov v lokalnem omrežju ima pomen le na kablu.

Da bi zasnova delovala, morajo člani sprejeti upravljane poti, njihova lastna lokalna omrežja pa ne smejo že uporabljati predpone, ki jo oglašujete. Tudi oddaljeni prenosnik, ki je doma na 192.168.60.0/24, ne more usmerjati 192.168.60.0/24 prek overlaya.

Oglašeno predpono držite tako ozko, kot naloga dopušča. Oglaševanje večjega agregata za vpliv na prednost lahko zahteva tudi naslovni prostor, ki ni vaš, in nastali konflikt se pokaže na napravah, povezanih z obema omrežjema. Lahko tudi povzroči, da član raje izbere pot, ki nikamor ne vodi. Pot držite pošteno, ostalo pa naj opravi politika.

Predpono in naslov člana zapišite v isto opombo kot pravila požarnega zidu, ker je najpogostejša okvara pot, ki kaže na napačnega člana.

Omogočite prehod v jedru

Preden karkoli spremenite, preberite trenutno vrednost posredovanja, nato nastavitev trajno shranite z mehanizmom, ki ga vaš sistem že uporablja, ne z enkratnim ukazom, ki ob ponovnem zagonu izgine.

Če politiko ima UFW, njegova pravila poti izražajo posredovanje za par vira, cilja in vmesnika. Ta so ločena od vhodnih pravil, ki odprejo storitev na samem prehodu:

sysctl net.ipv4.ip_forward
sudo ufw route allow in on zt3f2a1c9d out on eth0 proto tcp to 192.168.60.20 port 443
sudo ufw status verbose

Ime vmesnika je dejanska overlay naprava na tem gostitelju, ki jo lahko preberete z ip link; to ni fiksna besedilna vrednost v vseh namestitvah. Če gostitelj posreduje privzeto in UFW ni na poti, bo pravilo poti prezrto in pomembne so nastavitve jedra.

Izberite, kako se odgovori vračajo

Ob ohranitvi vira storitev v lokalnem omrežju vidi pravi overlay naslov in nanj odgovori. To zahteva pot na gostitelju lokalnega omrežja ali na njegovem usmerjevalniku, ki usmerja overlay predpono na vaš prehod, in to je sprememba zunaj škatle Linux.

Ko te poti ni mogoče dodati, omejen prevod vira naredi, da je zahteva videti, kot da prihaja s prehoda v lokalnem omrežju. Odgovori se nato vrnejo lokalno in sprememba usmerjanja lokalnega omrežja ni potrebna, a za ceno izgube izvirnega vira v dnevnikih storitve.

Prevod omejite na overlay vir in določen cilj v lokalnem omrežju. Prevesti vse, kar zapusti vmesnik lokalnega omrežja, je široka različica, ki pozneje preseneti vsakogar, ki bere pravila, in tudi skrije promet, ki bi moral biti blokiran.

Nobena izbira ne daje neželenega dostopa iz lokalnega omrežja nazaj do poljubnih overlay članov. Če je to želeno, je to ločeno pravilo z lastnim pregledom.

Preizkusite s pravega člana

Povežite se z drugega člana, ne s prehoda, in zahtevajte eno dovoljeno storitev. Nato poskusite storitev, ki mora ostati zaprta, in oba preizkusa ponovite po ponovni povezavi in po ponovnem zagonu prehoda.

Član, ki poroča ONLINE, ali uspešen ping na overlay naslov prehoda ne potrdi poti, pravila posredovanja ali poti nazaj:

zerotier-cli listnetworks
ip -4 route get 192.168.60.20
sudo ufw status numbered

Drugi ukaz pokaže, kateri vmesnik bi paket uporabil za gostitelja v lokalnem omrežju, tretji pa, ali pravilo poti obstaja v obliki, kot ste jo nameravali. Če oboje izgleda pravilno in storitev še vedno poteče, je preostali osumljenec pot nazaj.