Да ли је HTTP преко ZeroTier-а шифрован? Проверите где се overlay завршава

Прођите ове провере редом и зауставите се на првој која не успе, јер сваки одговор мења шта значи следећи корак. Право питање је уско: да ли обичан HTTP на ZeroTier мрежи путује отворено преко интернета? Између два ZeroTier peer-а обично не, јер overlay шифрује тај скок. Али то је тврдња о две крајње тачке, не о сваком сегменту кроз који захтев пролази. Рутер, мост или обрнути прокси помера крајњу тачку, а чисти текст поново почиње са његове друге стране.

Провера 1: пронађите адресу на коју browser зове

Упоредите URL са оним што машина заиста има. ip -brief addr show приказује zt интерфејс и overlay адресу коју је доделио контролер мреже; ако URL користи ту адресу, socket browser-а улази у overlay.

Када се име уместо тога разреши у LAN адресу, overlay можда уопште није укључен, шта год сугерисао индикатор стања клијента. ip route get 10.147.20.5 исписује интерфејс и изворну адресу коју би kernel изабрао, па zt интерфејс тамо значи да пакет улази у overlay, а име ваше физичке NIC значи да не улази. Имена додају још један слој: запис који показује на overlay адресу понаша се другачије од оног који показује на LAN адресу, а суфикс претраге или унос у hosts датотеци може тихо да одлучи који ћете добити.

Провера 2: потврдите да су оба краја peer-ови, а не relay који дешифрује

ZeroTier шифрује између peer-ова, а где не постоји директна путања пакети се преносе кроз root који их прослеђује још шифроване. zerotier-cli peers означава путању сваког peer-а као DIRECT или RELAY уз број кашњења. Прослеђена путања кошта повратна путовања, не поверљивост.

Оно што мења одговор је члан који заправо није крајња тачка. Када је друга страна ZeroTier члан који рутира или мости у физички LAN, overlay се завршава на том члану и следећи скок је обичан Ethernet.

Провера 3: гледајте где захтев постаје читљив

На хосту за који верујете да служи страницу, снимите overlay интерфејс док је поново учитавате: sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'. Читљива линија захтева у том излазу доказује да је саобраћај стигао дешифрован на тај хост, и то је граница коју тражите.

Затим снимите на интерфејсу окренутом ка остатку LAN-а. Ако се исти захтев појави тамо отворено, напустио је overlay пре него што је стигао до апликације и сваки уређај на том сегменту може да га прочита. Ако се ништа не појави на LAN страни а страница се ипак учита, апликација се завршава на самом ZeroTier хосту.

Снимање loopback-а је такође важно када је обрнути прокси испред, јер прокси који прихвата HTTPS и прослеђује HTTP помера границу на сопствени backend.

Провера 4: узмите у обзир сваки скок иза рутера или моста

Члан конфигурисан да рутира између overlay-а и LAN-а је уобичајен дизајн и место где се већина ових претпоставки ломи. Overlay штити деоницу од browser-а до рутера и ништа после ње. Мост прича исту причу другим механизмом: overlay и физички сегмент постају један broadcast домен, па захтев са лаптопа повезаног преко моста пролази обичним Ethernet-ом чак и ако тај лаптоп седи на ZeroTier мрежи.

Пратите то уместо да претпостављате. traceroute од клијента до адресе сервиса плус табела рутирања на gateway члану показује да ли је последњи скок zt или eth.

ZeroTier нуди и режим trusted-path који може да одбаци транспортну безбедност на одређеним локалним путањама ради перформанси. Мрежа која га користи не наслеђује уобичајену претпоставку о шифрованој путањи, па прочитајте конфигурацију мреже пре него што је цитирате. Документација протокола описује и шифровање између peer-ова и тај изузетак.

Провера 5: одлучите шта апликација још мора да уради

Чланство у overlay-у аутентификује уређај на мрежи и не говори ништа о томе да ли је сервис на другој страни онај који сте хтели да достигнете. HTTPS одговара на друго питање повезујући име хоста са кључем, па се те две заштите преклапају без замене једне другом. Овлашћени peer и даље може бити погрешан сервис, а компромитована крајња тачка чита захтев и пре шифровања и после дешифровања. Ниједан механизам не ревидира шта апликација бележи.

За све са сесијом која се може поново користити или лозинком, завршите TLS на апликацији или на проксију који контролишете и оставите валидацију сертификата укључену. Где старији сервис мора да остане на обичном HTTP-у, запишите тачну путању од хоста до хоста коју сме да користи, ко јој може приступити и који сегмент остаје незаштићен; та белешка је оно што је потребно будућем рецензенту.

"VPN је повезан" није процена ниједне од ових ствари. Искрена верзија именује оба краја, путању између њих и први скок који није покривен.

Држите излаз снимања и листу peer-ова уз документацију сервиса, како би свако ко промени руту или дода мост видео коју претпоставку намерава да сломи.