Filtrat e farit të Nebula kundrejt firewall-it: çfarë bllokon secili

Shikoni një handshake të Nebula nga ana e gabuar dhe dy mekanizmat duken të këmbyeshëm. Njëri vendos cilat adresa një nyje i raporton farit dhe cilat adresa të largëta do të provojë; tjetri vendos çfarë mund të kalojë pasi tuneli ekziston. Një filtër mund të ndalojë një lidhje përpara se të vlerësohet çdo rregull firewall-i, dhe një rregull firewall-i nuk mund të ringjallë një pikë fundore që zbulimi e hoqi. Dy shtresat u përgjigjen pyetjeve të ndryshme, dhe radha në të cilën veprojnë është çelësi.

Ndjekni një lidhje përmes katër fazave: adresa lokale e shpallur, pika fundore e largët e shqyrtuar, handshake-i dhe trafiku në shtresën e sipërme. Secila fazë ka konfigurimin e vet dhe gjurmën e vet të dështimit.

Filloni nga adresa lokale që shpall nyja

local_allow_list filtron adresat lokale të këtij hosti përpara se të raportohen te farët. Zërat mund të jenë diapazone adresash, dhe konfigurimi mbështet edhe modele emrash ndërfaqeje. Kjo është e dobishme kur një host ka ura kontejnerësh ose ndërfaqe tuneli shtesë që nuk duhet të bëhen pika fundore partnerësh.

Kaloni nëpër ndërfaqet e hostit dhe pyesni se cilave një partner i largët mund t’u arrijë vërtet. Një adresë ure Docker është lokale për atë host dhe e padobishme për një partner në një rrjet tjetër. Shpallja e saj shpërdoron zbulimin dhe mund të dërgojë një partner drejt një adrese që nuk përgjigjet kurrë. Çdo gjë që një partner nuk mund të rutojë është zhurmë në përgjigjen e farit.

Një listë e ngushtë lejimesh është këtu më e sigurt se një listë e gjerë bllokimesh. Nëse ka vetëm zëra lejeje, pjesa e mbetur e paspecifikuar përjashtohet; shtimi më vonë i një zëri bllokimi ndryshon logjikën e parazgjedhur dhe kërkon rishikimin e vet. Ai ndryshim meriton një vështrim të dytë mbi vlerën e parazgjedhur.

Më pas vëzhgoni zgjedhjen e pikës fundore të largët

remote_allow_list filtron adresat që ky host do të shqyrtojë për një partner të largët gjatë një handshake. Zbatohet për adresën e shtresës bazë, jo për adresën e shtresës së sipërme që partneri do të përdorë pasi tuneli të jetë ngritur.

Një diapazon privat mund të jetë plotësisht i përdorshëm në një rrjet zyre të përbashkët dhe pa kuptim kur të dy hostet ndodhen në rrjete të palidhura që të dy përdorin 10.0.0.0/8. Filtri ju lejon të preferoni rrugën e rutueshme dhe të injoroni rastësinë.

Kur një partner nuk arrin të lidhet, krahasoni adresën që po provohet me rregullin që i përputhet. Aktivizoni regjistrat e handshake-ut dhe lexoni adresën e largët të zgjedhur; rreshti i regjistrit emërton pikën fundore që i mbijetoi filtrimit, gjë që është më e dobishme se lista e adresave që zotëron partneri.

Një filtër emrash ndërfaqeje në anën shpallëse mund ta heqë pikën fundore përpara se ana pritëse ta shohë atë. Kontrolloni të dy nyjet kur dështon vetëm një drejtim.

Pas handshake-ut zbatohen rregullat e aksesit të shtresës së sipërme

Rregullat e firewall-it të Nebula veprojnë brenda shtresës së sipërme, pasi tuneli është vendosur. Ato përputhin hoste, grupe, porta dhe protokolle, dhe vendosin nëse një paketë mund të hyjë në hostin lokal ose të dalë prej tij. Ato nuk zgjedhin një pikë fundore në shtresën bazë.

Ky ndarje shpjegon një diagnozë të gabuar të zakonshme. Një operator shton një rregull firewall-i për një port dhe ende nuk lidhet, sepse filtri i farit hoqi pikën e vetme fundore të arritshme. Një operator tjetër hap filtrin e adresave dhe ende nuk e arrin shërbimin, sepse firewall-i i shtresës së sipërme e refuzon portin.

Lexojeni dështimin në shtresën e duhur. Një handshake që nuk përfundon kurrë tregon zbulimin, filtrimin e pikave fundore ose rrugën e rrjetit. Një handshake i përfunduar i ndjekur nga një lidhje shërbimi e refuzuar ose e hedhur tregon firewall-in e shtresës së sipërme ose aplikacionin.

Lexoni vlerën e parazgjedhur kur përzieni lejen dhe bllokimin

Konfigurimi i farit mbështet lista vetëm-leje, vetëm-bllokim dhe të përziera, dhe vlera e parazgjedhur për pjesën e mbetur të paspecifikuar ndryshon midis këtyre formave. Një listë e përzier kërkon një parazgjedhje të qartë për familjen e adresave; supozimi se pjesa e mbetur sillet si konfigurimi i mëparshëm është rruga me të cilën një pikë fundore funksionale zhduket në heshtje.

lighthouse:
  local_allow_list:
    interfaces:
      docker0: false
  remote_allow_list:
    192.168.0.0/16: true
    default: false

Trajtojeni parazgjedhjen si pjesë e rregullit, jo si tekst shablloni. Nëse parazgjedhja e familjes është bllokim, çdo adresë e palistuar përjashtohet, përfshirë një diapazon të ri zyre të shtuar pasi konfigurimi u shkrua.

Shënoni cilat adresa ishin menduar të arritshme dhe testoni nga të dyja anët. Një filtër që funksionon për një çift partnerësh mund të dështojë për një çift tjetër, rruga e vetme e përbashkët e të cilit përdor një adresë që lista e përjashton.

Përdorni relay kur asnjë pikë fundore e drejtpërdrejtë nuk është e arritshme

Nëse çdo pikë fundore kandidate filtrohet ose është e paarritshme, përgjigjja nuk është një listë lejimesh më e gjerë që ripranon adresa në të cilat nuk keni besim. Konfigurimi i relay-t i Nebula ofron një rrugë alternative partneri kur lidhshmëria e drejtpërdrejtë nuk është e zbatueshme.

Relay zgjidh transportin dhe zbulimin, jo autorizimin, dhe nuk e zgjeron firewall-in. Firewall-i i shtresës së sipërme vendos ende cilat shërbime mund të përdoren, dhe relay nuk e kthen filtrimin e farit në mekanizëm kontrolli aksesi.

Testoni rrugën e relay-t me pikat fundore të drejtpërdrejta të çaktivizuara dhe konfirmoni se shërbimi i synuar vazhdon të funksionojë ndërsa një i pasynuar nuk funksionon. Ai test i vetëm ndan një rregullim transporti nga një ndryshim politike dhe i mban të dy shtresat të sinqerta.