ZeroTier drejt një LAN: rregulla rruge të UFW, jo leje porte

Të arrish një printer në LAN-in e zyrës përmes një anëtari të ZeroTier tingëllon si një rregull i vetëm, por në fakt janë tre vendime në tre vende të ndryshme. Overlay-i duhet të dijë ku është LAN-i, hosti Linux duhet të jetë i gatshëm të përcjellë paketat, dhe LAN-i duhet të dijë si ta kthejë përgjigjen. Një rregull hyrës që hap një portë në portën hyrëse nuk prek asnjërën prej tyre. Është mjeti i gabuar në hostin e duhur.

Tre punë, tre pronarë

Rruga e menaxhuar i përket konfigurimit të rrjetit ZeroTier. Ajo u thotë anëtarëve se një prefiks është i arritshëm përmes një adrese të caktuar anëtari.

Përcjellja i përket kernelit të Linux dhe atij që zotëron politikën e murit të tij të zjarrit. Ajo vendos nëse një paketë që arrin në overlay del përsëri nga ndërfaqja fizike. Një host që nuk përcjell do ta hedhë paketën në heshtje pasi ta pranojë. Dërguesi sheh një skadim kohe dhe në regjistrin e shërbimit nuk shfaqet asgjë.

Rruga e kthimit i përket LAN-it. Hostet dhe ruteri i tij duhet të dinë se prefiksi i overlay-it është i arritshëm përmes adresës LAN të portës hyrëse tuaj, ose diçka duhet ta përkthejë trafikun që pyetja të mos lindë kurrë.

Secila prej tyre mund të jetë e saktë ndërsa të tjerat dështojnë, dhe për këtë arsye një test që bën vetëm ping te porta hyrëse nuk provon asgjë për shërbimin pas saj.

Drejtojeni rrugën e menaxhuar te anëtari

Shtoni një rrugë për prefiksin e synuar të LAN-it përmes adresës overlay të portës hyrëse, jo përmes adresës së saj LAN. Adresa overlay është ajo që anëtarët e tjerë mund të arrijnë; adresa LAN ka kuptim vetëm në kabllo.

Anëtarët duhet të pranojnë rrugët e menaxhuara që dizajni të funksionojë, dhe rrjetet e tyre lokale nuk duhet ta përdorin tashmë prefiksin që ju shpallni. Një laptop në distancë që në shtëpi ndodhet në 192.168.60.0/24 nuk mund të drejtojë gjithashtu 192.168.60.0/24 përmes overlay-it.

Mbajeni prefiksin e shpallur sa më të ngushtë që lejon detyra. Shpallja e një agregati më të madh për të ndikuar në preferencë mund të kërkojë gjithashtu hapësirë adresash që nuk është e juaja, dhe konflikti që rezulton shfaqet në pajisjet e lidhura me të dy rrjetet. Mund gjithashtu ta shtyjë një anëtar të preferojë një rrugë që nuk të çon askund. Mbajeni rrugën të ndershme dhe lëreni politikën të bëjë pjesën tjetër.

Shkruani prefiksin dhe adresën e anëtarit në të njëjtin shënim me rregullat e murit të zjarrit, sepse defekti më i shpeshtë është një rrugë që tregon anëtarin e gabuar.

Aktivizoni tranzitin në kernel

Lexoni vlerën e përcjelljes në punë përpara se të ndryshoni diçka, më pas bëjeni cilësimin të përhershëm përmes mekanizmit që sistemi juaj përdor tashmë, jo përmes një komande të vetme që zhduket në rinisje.

Nëse politika i përket UFW, rregullat e tij të rrugës shprehin përcjelljen për një çift burimi, destinacioni dhe ndërfaqeje. Ato janë të ndara nga rregullat hyrëse që hapin një shërbim në vetë portën hyrëse:

sysctl net.ipv4.ip_forward
sudo ufw route allow in on zt3f2a1c9d out on eth0 proto tcp to 192.168.60.20 port 443
sudo ufw status verbose

Emri i ndërfaqes është pajisja reale e overlay-it në atë host, të cilën mund ta lexoni me ip link; nuk është një varg fiks në të gjitha instalimet. Nëse hosti përcjell si parazgjedhje dhe UFW nuk është në rrugë, rregulli i rrugës do të injorohet dhe cilësimet e kernelit janë ato që kanë rëndësi.

Zgjidhni si kthehen përgjigjet

Me ruajtjen e burimit, shërbimi në LAN sheh adresën reale të overlay-it dhe i përgjigjet asaj. Kjo kërkon një rrugë në hostin e LAN-it ose në ruterin e tij që e drejton prefiksin e overlay-it te porta hyrëse tuaj, dhe ky është një ndryshim jashtë kutisë Linux.

Kur ajo rrugë nuk mund të shtohet, një përkthim i kufizuar i burimit e bën kërkesën të duket sikur vjen nga porta hyrëse në LAN. Përgjigjet kthehen atëherë lokalisht dhe nuk nevojitet asnjë ndryshim në drejtimin e LAN-it, me koston e humbjes së burimit origjinal në regjistrat e shërbimit.

Kufizojeni përkthimin te burimi i overlay-it dhe destinacioni i caktuar i LAN-it. Përkthimi i gjithçkaje që del nga ndërfaqja LAN është versioni i gjerë që më vonë befason këdo që lexon rregullat, dhe gjithashtu fsheh trafikun që duhej të ishte bllokuar.

Asnjëra prej dy zgjedhjeve nuk jep akses të pakërkuar nga LAN-i përsëri te anëtarë arbitrarë të overlay-it. Nëse kjo dëshirohet, është një rregull i veçantë me rishikimin e vet.

Testoni nga një anëtar i vërtetë

Lidhuni nga një anëtar tjetër, jo nga porta hyrëse, dhe kërkoni një shërbim të lejuar. Më pas provoni një shërbim që duhet të mbetet i mbyllur, dhe përsëritini të dy testet pas një rilidhjeje dhe pas një rinisjeje të portës hyrëse.

Një anëtar që raporton ONLINE, ose një ping i suksesshëm në adresën overlay të portës hyrëse, nuk vërteton rrugën, rregullin e përcjelljes apo rrugën e kthimit:

zerotier-cli listnetworks
ip -4 route get 192.168.60.20
sudo ufw status numbered

Komanda e dytë tregon cilën ndërfaqe do të përdorte paketa për hostin e LAN-it, dhe e treta tregon nëse rregulli i rrugës ekziston në formën që kishit ndërmend. Nëse të dyja duken të sakta dhe shërbimi ende skadon, rruga e kthimit është i dyshuari i mbetur.