A është HTTP mbi ZeroTier i kriptuar? Kontrolloni ku mbaron overlay-i

Kryejini këto kontrolle me radhë dhe ndaloni te e para që dështon, sepse çdo përgjigje ndryshon kuptimin e hapit tjetër. Pyetja e vërtetë është e ngushtë: a udhëton HTTP i thjeshtë në një rrjet ZeroTier hapur përmes internetit? Mes dy peer-ëve ZeroTier zakonisht jo, pasi overlay-i e kripton atë kërcim. Por kjo është një deklaratë për dy pika fundore, jo për çdo segment që kalon një kërkesë. Një router, një urë ose një proxy i kundërt e zhvendos pikën fundore, dhe në anën tjetër të saj teksti i thjeshtë rifillon.

Kontrolli 1: gjeni adresën që thërret shfletuesi

Krahasoni URL-në me atë që makina mban në të vërtetë. ip -brief addr show liston ndërfaqen zt dhe adresën e overlay-it që caktoi kontrolluesi i rrjetit; nëse URL-ja përdor atë adresë, socket-i i shfletuesit hyn në overlay.

Kur emri përkundrazi zgjidhet në një adresë LAN, overlay-i mund të mos jetë fare i përfshirë, çfarëdo që sugjeron treguesi i statusit të klientit. ip route get 10.147.20.5 shtyp ndërfaqen dhe adresën burimore që do të zgjidhte kerneli, pra një ndërfaqe zt atje do të thotë që paketa hyn në overlay, dhe emri i NIC-it tuaj fizik do të thotë që nuk hyn. Emrat shtojnë një shtresë tjetër: një regjistrim që tregon një adresë overlay sillet ndryshe nga ai që tregon një adresë LAN, dhe një prapashtesë kërkimi ose një zë në skedarin hosts mund të vendosë në heshtje cilën merrni.

Kontrolli 2: konfirmoni se të dy skajet janë peer, jo një relay që dekripton

ZeroTier kripton mes peer-ëve, dhe ku nuk ekziston një rrugë e drejtpërdrejtë paketat përçohen përmes një rrënje që i dërgon tutje ende të kriptuara. zerotier-cli peers shënon rrugën e çdo peer si DIRECT ose RELAY bashkë me një shifër vonese. Një rrugë e përçuar kushton udhëtime vajtje-ardhje, jo konfidencialitet.

Ajo që ndryshon përgjigjen është një anëtar që nuk është vërtet pikë fundore. Kur ana tjetër është një anëtar ZeroTier që ruton ose urëzon në një LAN fizike, overlay-i mbaron te ai anëtar dhe kërcimi tjetër është Ethernet i zakonshëm.

Kontrolli 3: vëzhgoni ku kërkesa bëhet e lexueshme

Në hostin që mendoni se shërben faqen, kapni ndërfaqen e overlay-it ndërsa ringarkoni: sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'. Një rresht kërkese i lexueshëm në atë dalje provon që trafiku mbërriti i dekriptuar në atë host, dhe ajo është kufiri që po kërkoni.

Më pas kapni në ndërfaqen që shikon nga pjesa tjetër e LAN-it. Nëse e njëjta kërkesë shfaqet atje hapur, ajo e la overlay-in përpara se të arrinte aplikacionin dhe çdo pajisje në atë segment mund ta lexojë. Nëse nuk shfaqet asgjë në anën e LAN-it dhe faqja prapë ngarkohet, aplikacioni po përfundon në vetë hostin ZeroTier.

Kapja e loopback-ut ka rëndësi edhe kur përpara qëndron një proxy i kundërt, pasi një proxy që pranon HTTPS dhe përçon HTTP e zhvendos kufirin në backend-in e vet.

Kontrolli 4: merrni parasysh çdo kërcim pas një routeri ose ure

Një anëtar i konfiguruar të rutojë mes overlay-it dhe një LAN është një dizajn i zakonshëm dhe vendi ku shumica e këtyre supozimeve thyhen. Overlay-i mbron pjesën nga shfletuesi te routeri dhe asgjë pas saj. Një urë tregon të njëjtën histori përmes një mekanizmi tjetër: overlay-i dhe segmenti fizik bëhen një domen transmetimi, pra një kërkesë nga një laptop i urëzuar kalon përmes Ethernet-it të zakonshëm edhe pse ai laptop ndodhet në rrjetin ZeroTier.

Gjurmojeni në vend që ta supozoni. traceroute nga klienti në adresën e shërbimit plus tabela e rutimit te anëtari gateway tregon nëse kërcimi i fundit është zt apo eth.

ZeroTier ofron gjithashtu një modalitet trusted-path që mund të heqë sigurinë e transportit në rrugë të caktuara lokale për performancë. Një rrjet që e përdor nuk trashëgon supozimin e zakonshëm të rrugës së kriptuar, pra lexoni konfigurimin e rrjetit përpara se të citoni një të tillë. Dokumentacioni i protokollit përshkruan si kriptimin mes peer-ëve ashtu edhe atë përjashtim.

Kontrolli 5: vendosni çfarë duhet të bëjë ende aplikacioni

Anëtarësia në overlay autentikon një pajisje në një rrjet dhe nuk thotë asgjë nëse shërbimi në anën tjetër është ai që kishit ndërmend të arrinit. HTTPS i përgjigjet një pyetjeje tjetër duke lidhur një emër hosti me një çelës, pra dy mbrojtjet mbivendosen pa zëvendësuar njëra-tjetrën. Një peer i autorizuar mund të jetë ende shërbimi i gabuar, dhe një pikë fundore e komprometuar e lexon kërkesën si përpara kriptimit ashtu edhe pas dekriptimit. Asnjëri mekanizëm nuk auditon atë që regjistron aplikacioni.

Për çdo gjë me një sesion të ripërdorshëm ose një fjalëkalim, përfundoni TLS në aplikacion ose në një proxy që e kontrolloni dhe lini validimin e certifikatës të ndezur. Kur një shërbim i vjetër duhet të mbetet në HTTP të thjeshtë, shkruani rrugën e saktë host-më-host që mund të përdorë, kush mund ta arrijë dhe cili segment mbetet i pambrojtur; ai shënim është ajo që i duhet një rishikuesi të ardhshëm.

"VPN-i është i lidhur" nuk është vlerësim i asnjërës prej këtyre. Versioni i ndershëm emërton të dy skajet, rrugën mes tyre dhe kërcimin e parë që nuk është i mbuluar.

Mbajini daljen e kapjes dhe listën e peer-ëve pranë dokumentacionit të shërbimit, që kushdo që ndryshon një rrugë ose shton një urë të shohë cilën supozim është duke thyer.