Vichujio vya mnara wa Nebula dhidi ya firewall: kila kimoja huzuia nini

Tazama handshake ya Nebula kutoka upande usiofaa na mifumo hiyo miwili inaonekana kubadilishana. Mmoja huamua ni anwani zipi node inamjulisha mnara na anwani zipi za mbali itajaribu; mwingine huamua ni nini kinaweza kupita baada ya handaki kuwepo. Kichujio kinaweza kusimamisha muunganisho kabla ya kanuni yoyote ya firewall kutathminiwa, na kanuni ya firewall haiwezi kufufua kiishilio ambacho ugunduzi uliondoa. Tabaka hizo mbili hujibu maswali tofauti, na mpangilio wa utendaji wao ndio ufunguo.

Fuatilia muunganisho mmoja kupitia hatua nne: anwani ya ndani iliyotangazwa, kiishilio cha mbali kinachozingatiwa, handshake na trafiki katika overlay. Kila hatua ina usanidi wake na alama yake ya kushindwa.

Anza na anwani ya ndani ambayo node inatangaza

local_allow_list huchuja anwani za ndani za mwenyeji huyu kabla ya kuripotiwa kwa minara. Maingizo yanaweza kuwa safu za anwani, na usanidi pia unaunga mkono mifumo ya jina la kiolesura. Hilo ni muhimu wakati mwenyeji ana madaraja ya kontena au violesura vya handaki vya ziada ambavyo havipaswi kuwa viishilio vya rika.

Pitia violesura vya mwenyeji na uulize ni vipi rika la mbali linaweza kufikia kwa kweli. Anwani ya daraja la Docker ni ya ndani kwa mwenyeji huyo na haina maana kwa rika katika mtandao mwingine. Kuitangaza kunapoteza ugunduzi na kunaweza kumtuma rika kwenye anwani isiyojibu kamwe. Kila kitu ambacho rika haliwezi kuelekeza kwacho ni kelele katika jibu la mnara.

Orodha nyembamba ya ruhusa ni salama zaidi hapa kuliko orodha pana ya marufuku. Ikiwa kuna maingizo ya ruhusa pekee, sehemu isiyobainishwa hutengwa; kuongeza ingizo la marufuku baadaye hubadilisha mantiki chaguo-msingi na kunahitaji ukaguzi wake. Mabadiliko hayo yanastahili mtazamo wa pili kwa chaguo-msingi.

Kisha angalia uteuzi wa kiishilio cha mbali

remote_allow_list huchuja anwani ambazo mwenyeji huyu atazingatia kwa rika la mbali wakati wa handshake. Inahusika na anwani ya tabaka la chini, si anwani ya overlay ambayo rika litatumia baada ya handaki kuinuka.

Safu ya kibinafsi inaweza kuwa na manufaa kamili katika mtandao wa ofisi unaoshirikiwa na kuwa haina maana wakati wenyeji wawili wako katika mitandao isiyohusiana ambayo yote hutumia 10.0.0.0/8. Kichujio hukuruhusu kupendelea njia inayoweza kuelekezwa na kupuuza bahati mbaya.

Rika linaposhindwa kuunganisha, linganisha anwani inayojaribiwa na kanuni inayolingana nayo. Washa kumbukumbu za handshake na usome anwani ya mbali iliyochaguliwa; mstari wa kumbukumbu hutaja kiishilio kilichopita kuchujwa, jambo ambalo lina manufaa zaidi kuliko orodha ya anwani alizo nazo rika.

Kichujio cha jina la kiolesura upande wa kutangaza kinaweza kuondoa kiishilio kabla upande wa kupokea kuona. Angalia node zote mbili wakati mwelekeo mmoja pekee unashindwa.

Baada ya handshake kanuni za ufikiaji za overlay hutumika

Kanuni za firewall za Nebula hufanya kazi ndani ya overlay, baada ya handaki kuwekwa. Zinalinganisha wenyeji, vikundi, bandari na itifaki, na huamua kama pakiti inaweza kuingia au kutoka kwa mwenyeji wa ndani. Hazichagui kiishilio katika tabaka la chini.

Utengano huu unaeleza utambuzi mbaya wa kawaida. Mwendeshaji anaongeza kanuni ya firewall kwa bandari na bado hawezi kuunganisha, kwa sababu kichujio cha mnara kiliondoa kiishilio kimoja pekee kinachoweza kufikiwa. Mwendeshaji mwingine anafungua kichujio cha anwani na bado hafiki kwa huduma, kwa sababu firewall ya overlay inakataa bandari.

Soma kushindwa katika tabaka sahihi. Handshake isiyokamilika kamwe inaelekeza kwa ugunduzi, uchujaji wa viishilio au njia ya mtandao. Handshake iliyokamilika ikifuatiwa na muunganisho wa huduma uliokataliwa au kutupwa inaelekeza kwa firewall ya overlay au programu.

Soma chaguo-msingi unapochanganya ruhusa na marufuku

Usanidi wa mnara unaunga mkono orodha za ruhusa-pekee, marufuku-pekee na mchanganyiko, na chaguo-msingi kwa sehemu isiyobainishwa hutofautiana kati ya maumbo hayo. Orodha mchanganyiko inahitaji chaguo-msingi wazi kwa familia ya anwani; kudhani kwamba sehemu iliyobaki inafanya kama usanidi uliopita ndio njia ambayo kiishilio kinachofanya kazi hutoweka kimyakimya.

lighthouse:
  local_allow_list:
    interfaces:
      docker0: false
  remote_allow_list:
    192.168.0.0/16: true
    default: false

Chukulia chaguo-msingi kama sehemu ya kanuni, si maandishi ya kiolezo. Ikiwa chaguo-msingi cha familia ni marufuku, kila anwani isiyoorodheshwa hutengwa, ikiwa ni pamoja na safu mpya ya ofisi iliyoongezwa baada ya usanidi kuandikwa.

Rekodi ni anwani zipi zilikusudiwa kufikiwa na jaribu kutoka pande zote mbili. Kichujio kinachofanya kazi kwa jozi moja ya rika kinaweza kushindwa kwa jozi nyingine ambayo njia yake moja ya kawaida hutumia anwani ambayo orodha inatenga.

Tumia relay wakati hakuna kiishilio cha moja kwa moja kinachoweza kufikiwa

Ikiwa kila kiishilio cha mteule kimechujwa au hakiwezi kufikiwa, jibu si orodha pana ya ruhusa inayokaribisha tena anwani usizoziamini. Usanidi wa relay wa Nebula hutoa njia mbadala ya rika wakati muunganisho wa moja kwa moja hauwezekani.

Relay hutatua usafirishaji na ugunduzi, si uidhinishaji, na haipanui firewall. Firewall ya overlay bado huamua ni huduma zipi zinaweza kutumika, na relay haigeuzi uchujaji wa mnara kuwa utaratibu wa udhibiti wa ufikiaji.

Jaribu njia ya relay huku viishilio vya moja kwa moja vimezimwa na uthibitishe kwamba huduma inayokusudiwa bado inafanya kazi wakati isiyokusudiwa haifanyi. Jaribio hilo moja hutenganisha marekebisho ya usafirishaji na mabadiliko ya sera na huweka tabaka mbili kuwa waaminifu.