ZeroTier kuelekea LAN: kanuni za njia za UFW, si ruhusa ya bandari

Kufikia kichapishi kwenye LAN ya ofisi kupitia mwanachama wa ZeroTier kunaonekana kama kanuni moja, lakini kwa kweli ni maamuzi matatu katika sehemu tatu tofauti. Overlay inapaswa kujua LAN iko wapi, mwenyeji wa Linux anapaswa kuwa tayari kusambazia pakiti, na LAN inapaswa kujua jinsi ya kurudisha jibu. Kanuni ya kuingia inayofungua bandari kwenye lango haigusi yoyote ya hayo. Ni chombo kisichofaa kwa mwenyeji anayefaa.

Kazi tatu, wamiliki watatu

Njia inayosimamiwa ni ya usanidi wa mtandao wa ZeroTier. Inawaambia wanachama kwamba kiambishi awali kinafikiwa kupitia anwani mahususi ya mwanachama.

Usambazaji ni wa kiini cha Linux na yeyote anayemiliki sera ya firewall yake. Huamua kama pakiti inayofika kwenye overlay itatoka tena kupitia kiolesura halisi. Mwenyeji asiyesambazia ataitupa pakiti kimya kimya baada ya kuipokea. Mtumaji anaona muda umeisha na hakuna kinachoonekana kwenye kumbukumbu ya huduma.

Njia ya kurudi ni ya LAN. Wenyeji wake na kipanga njia chake wanapaswa kujua kwamba kiambishi awali cha overlay kinafikiwa kupitia anwani ya LAN ya lango lako, au kitu kinapaswa kutafsiri trafiki ili swali hilo lisitokee kamwe.

Kila kimoja cha haya kinaweza kuwa sahihi wakati vingine vinashindikana, na ndiyo sababu jaribio linalopiga ping kwenye lango pekee haliwezi kuthibitisha chochote kuhusu huduma iliyo nyuma yake.

Elekeza njia inayosimamiwa kwa mwanachama

Ongeza njia kwa kiambishi awali cha LAN kinachokusudiwa kupitia anwani ya overlay ya lango, si kupitia anwani yake ya LAN. Anwani ya overlay ndiyo ambayo wanachama wengine wanaweza kufikia; anwani ya LAN ina maana tu kwenye waya.

Wanachama wanapaswa kukubali njia zinazosimamiwa ili muundo ufanye kazi, na mitandao yao ya ndani haipaswi kuwa tayari inatumia kiambishi awali unachokitangaza. Kompyuta ya mkononi ya mbali iliyo nyumbani kwenye 192.168.60.0/24 pia haiwezi kuelekeza 192.168.60.0/24 kupitia overlay.

Weka kiambishi awali kilichotangazwa kiwe chembamba kadri kazi inavyoruhusu. Kutangaza mkusanyiko mkubwa zaidi ili kuathiri upendeleo kunaweza pia kudai nafasi ya anwani ambayo si yako, na mgongano unaotokana unaonekana kwenye vifaa vinavyounganishwa na mitandao yote miwili. Kunaweza pia kumfanya mwanachama apendelee njia isiyoelekea popote. Weka njia iwe ya uaminifu na uache sera ifanye mengine.

Andika kiambishi awali na anwani ya mwanachama kwenye kumbuka moja na kanuni za firewall, kwa sababu hitilafu inayojulikana zaidi ni njia inayoelekeza kwa mwanachama asiye sahihi.

Washa upitishaji kwenye kiini

Soma thamani ya usambazaji inayoendelea kabla ya kubadilisha chochote, kisha fanya mpangilio kuwa wa kudumu kupitia mfumo ambao mfumo wako tayari unatumia, si kwa amri ya mara moja inayotoweka wakati wa kuwasha upya.

Ikiwa sera inamilikiwa na UFW, kanuni zake za njia zinaeleza usambazaji kwa jozi ya chanzo, lengwa na kiolesura. Hizi ni tofauti na kanuni za kuingia zinazofungua huduma kwenye lango lenyewe:

sysctl net.ipv4.ip_forward
sudo ufw route allow in on zt3f2a1c9d out on eth0 proto tcp to 192.168.60.20 port 443
sudo ufw status verbose

Jina la kiolesura ni kifaa halisi cha overlay kwenye mwenyeji huyo, ambacho unaweza kukisoma kutoka ip link; si mfuatano usiobadilika katika usanidi wote. Ikiwa mwenyeji anasambazia kwa chaguo-msingi na UFW haiko njiani, kanuni ya njia itapuuzwa na mipangilio ya kiini ndiyo muhimu.

Chagua jinsi majibu yanavyorudi

Kwa kuhifadhi chanzo, huduma ya LAN inaona anwani halisi ya overlay na inajibu hiyo. Hilo linahitaji njia kwenye mwenyeji wa LAN au kipanga njia chake inayoelekeza kiambishi awali cha overlay kwenye lango lako, na hilo ni badiliko nje ya sanduku la Linux.

Wakati njia hiyo haiwezi kuongezwa, tafsiri ndogo ya chanzo hufanya ombi lionekane kama limetoka kwenye lango lililo kwenye LAN. Majibu hurudi ndani ya nchi na hakuna badiliko la uelekezaji wa LAN linalohitajika, kwa gharama ya kupoteza chanzo asilia kwenye kumbukumbu za huduma.

Weka tafsiri kwa chanzo cha overlay na lengwa mahususi la LAN. Kutafsiri kila kitu kinachotoka kwenye kiolesura cha LAN ni toleo pana ambalo baadaye huwashangaza wote wanaosoma kanuni, na pia huficha trafiki ambayo ilipaswa kuzuiwa.

Hakuna chaguo lolote linalotoa ufikiaji usioombwa kutoka LAN kurudi kwa wanachama wowote wa overlay. Ikiwa hilo linahitajika, ni kanuni tofauti yenye ukaguzi wake.

Jaribu kutoka kwa mwanachama halisi

Unganisha kutoka kwa mwanachama mwingine, si kutoka kwenye lango, na omba huduma moja inayoruhusiwa. Kisha jaribu huduma inayopaswa kubaki imefungwa, na urudie majaribio yote mawili baada ya kuunganisha tena na baada ya kuwasha upya lango.

Mwanachama anayeripoti ONLINE, au ping iliyofanikiwa kwenye anwani ya overlay ya lango, haithibitishi njia, kanuni ya usambazaji au njia ya kurudi:

zerotier-cli listnetworks
ip -4 route get 192.168.60.20
sudo ufw status numbered

Amri ya pili inaonyesha kiolesura ambacho pakiti ingetumia kwa mwenyeji wa LAN, na ya tatu inaonyesha kama kanuni ya njia ipo katika umbo ulilokusudia. Ikiwa zote zinaonekana sahihi na huduma bado inaisha kwa muda, mtuhumiwa aliyebaki ni njia ya kurudi.