Филтери светионика Nebula наспрам заштитног зида: шта сваки блокира

Спискови дозвола светионика бирају које крајње тачке доње мреже партнер објављује или покушава. Правила заштитног зида уређују саобраћај у overlay-у након руковања.

Погледајте руковање Nebula са погрешне стране и два механизма изгледају заменљиво. Један одлучује које адресе чвор саопштава светионику и које удаљене адресе ће покушати; други одлучује шта може проћи када тунел постоји. Филтер може зауставити везу пре него што се оцени било које правило заштитног зида, а правило заштитног зида не може оживети крајњу тачку коју је откривање уклонило. Два слоја одговарају на различита питања, а редослед којим делују је кључ.

Пратите једну везу кроз четири фазе: објављена локална адреса, разматрана удаљена крајња тачка, руковање и саобраћај у overlay-у. Свака фаза има своју конфигурацију и свој потпис квара.

Почните од локалне адресе коју чвор објављује

local_allow_list филтрира локалне адресе овог хоста пре него што се пријаве светионицима. Уноси могу бити опсези адреса, а конфигурација подржава и шаблоне имена интерфејса. То је корисно када хост има контејнерске мостове или додатне тунелске интерфејсе који не треба да постану крајње тачке партнера.

Прођите кроз интерфејсе хоста и питајте до којих удаљени партнер заиста може да стигне. Адреса моста Docker је локална за тај хост и бескорисна за партнера у другој мрежи. Њено објављивање троши откривање и може послати партнера ка адреси која никада не одговара. Све до чега партнер не може да рутира је шум у одговору светионика.

Узак списак дозвола је овде безбеднији од широког списка забрана. Ако постоје само уноси дозволе, неодређени остатак се искључује; касније додавање уноса забране мења подразумевану логику и захтева посебан преглед. Та промена заслужује други поглед на подразумевану вредност.

Затим посматрајте избор удаљене крајње тачке

remote_allow_list филтрира адресе које ће овај хост размотрити за удаљеног партнера током руковања. Односи се на адресу доњег слоја, а не на overlay адресу коју ће партнер користити након подизања тунела.

Приватни опсег може бити потпуно употребљив у дељеној канцеларијској мрежи и бесмислен када се два хоста налазе у неповезаним мрежама које обе користе 10.0.0.0/8. Филтер вам омогућава да преферирате рутирану путању и игноришете случајност.

Када партнер не може да се повеже, упоредите адресу која се покушава са правилом које јој одговара. Укључите дневнике руковања и прочитајте изабрану удаљену адресу; линија дневника именује крајњу тачку која је преживела филтрирање, што је корисније од списка адреса које партнер поседује.

Филтер имена интерфејса на страни објављивања може уклонити крајњу тачку пре него што је страна примања уопште види. Проверите оба чвора када не успева само један смер.

Након руковања важе правила приступа overlay-а

Правила заштитног зида Nebula делују унутар overlay-а, након успостављања тунела. Она повезују хостове, групе, портове и протоколе и одлучују да ли пакет може ући у локални хост или га напустити. Не бирају крајњу тачку у доњем слоју.

Ово раздвајање објашњава честу погрешну дијагнозу. Оператер дода правило заштитног зида за порт и још увек не може да се повеже, јер је филтер светионика уклонио једину достижну крајњу тачку. Други оператер отвара филтер адреса и још увек не стиже до услуге, јер заштитни зид overlay-а одбија порт.

Читајте квар на правом слоју. Руковање које се никада не заврши указује на откривање, филтрирање крајњих тачака или мрежну путању. Завршено руковање после којег следи одбијена или одбачена веза са услугом указује на заштитни зид overlay-а или на апликацију.

Читајте подразумевану вредност када мешате дозволу и забрану

Конфигурација светионика подржава спискове само са дозволом, само са забраном и мешовите, а подразумевана вредност за неодређени остатак разликује се међу тим облицима. Мешовити списак захтева изричиту подразумевану вредност за фамилију адреса; претпоставка да се остатак понаша као претходна конфигурација је пут којим радна крајња тачка тихо нестаје.

lighthouse:
  local_allow_list:
    interfaces:
      docker0: false
  remote_allow_list:
    192.168.0.0/16: true
    default: false

Третирајте подразумевану вредност као део правила, а не као шаблонски текст. Ако је подразумевана вредност фамилије забрана, свака ненаведена адреса се искључује, укључујући нови канцеларијски опсег додат након писања конфигурације.

Забележите које адресе је требало да буду достижне и тестирајте са обе стране. Филтер који ради за један пар партнера може да закаже за други пар чија једина заједничка путања користи адресу коју списак искључује.

Користите relay када ниједна директна крајња тачка није достижна

Ако је свака кандидат-крајња тачка филтрирана или недоступна, одговор није шири списак дозвола који поново прихвата адресе којима не верујете. Relay конфигурација Nebula пружа алтернативну путању партнера када директна повезаност није изводљива.

Relay решава транспорт и откривање, не ауторизацију, и не проширује заштитни зид. Заштитни зид overlay-а и даље одлучује које услуге смеју да се користе, а relay не претвара филтрирање светионика у механизам контроле приступа.

Тестирајте relay путању са искљученим директним крајњим тачкама и потврдите да предвиђена услуга и даље ради, а непредвиђена не. Тај један тест одваја транспортну поправку од промене политике и држи два слоја чесним.

Повезани чланци