ZeroTier வெளியேறும் முனை வேலை செய்யவில்லையா? பாதை, NAT மற்றும் கிளையண்டைச் சரிபார்க்கவும்
கிளையண்டில் 0.0.0.0/0 பாதை இருப்பது வெளியேறுதல் அல்ல. முனை அனுப்பி மொழிபெயர்க்க வேண்டும், நெட்வொர்க் பாதையை அறிவிக்க வேண்டும், கிளையண்ட் அதை ஏற்க வேண்டும்.
பாதை அட்டவணை ZeroTier இடைமுகம் வழியாக ஒரு இயல்புநிலை பாதையைக் காட்டுகிறது, நெட்வொர்க் ஆன்லைன் என்று தெரிவிக்கிறது, இருப்பினும் உலாவி உள்ளூர் ISP முகவரியிலிருந்தே வெளியேறுகிறது. இந்தக் கலவை பொதுவானது மற்றும் இது கிளையண்டின் பிழை அல்ல. இயல்புநிலை பாதை பாக்கெட்டுகள் எங்கு செல்ல வேண்டும் என்று மட்டுமே சொல்கிறது; மறுமுனையில் ஏதோ அவற்றை அனுப்பி மொழிபெயர்க்க வேண்டும். வெளியேறும் முனை வேலை செய்வதற்கு முன் மூன்று தனித்தனி பகுதிகள் உண்மையாக இருக்க வேண்டும்.
பாதை உள்ளது ஆனால் எதுவும் வெளியேறவில்லை
முதலில் கிளையண்டின் பாதை அட்டவணையைச் சரிபார்க்கவும். default via 10.147.20.5 dev zt0 போன்ற ஒரு வரி பாதை நிறுவப்பட்டதை நிரூபிக்கிறது, இலக்கு போக்குவரத்தை ஏற்கும் என்பதை அல்ல. அடுத்த ஹாப் அதை அனுப்பத் தயாராகவும் திறனுடனும் உள்ள உறுப்பினராக இருக்க வேண்டும்.
அதே கோரிக்கை இன்னும் இயற்பியல் இடைமுகம் வழியாக வெளியேறினால், கிளையண்ட் பாதையை நிறுவவில்லை, அல்லது உள்ளூர் இயல்புநிலையிடம் தோற்ற அளவீட்டுடன் நிறுவியது. பாதை நிறுவப்பட்ட பிறகு கோரிக்கை மறைந்தால், வெளியேறும் உறுப்பினர் பாக்கெட்டுகளைப் பெறுகிறது, ஆனால் அவற்றை அனுப்பவோ மொழிபெயர்க்கவோ தவறுகிறது. இயற்பியல் இயல்புநிலையை வைத்திருக்கும் கிளையண்ட் வெளியேற்றத்திற்கு ஒரு பாக்கெட்டும் அனுப்பாது.
இந்த வேறுபாடு எங்கு வேலை செய்ய வேண்டும் என்பதை தீர்மானிக்கிறது. மாற்றத்திற்கு முன்னும் பின்னும் ஒரு பொது முகவரியை ஒப்பிடுவது ஒருபோதும் பயன்படுத்தப்படாத பாதையைப் பயன்படுத்தி கைவிடப்பட்ட பாதையிலிருந்து பிரிக்கிறது, முழு உள்ளமைவையும் மதிப்பாய்வு செய்வதற்குப் பதிலாக ஒரு கட்டளையே தேவைப்படுகிறது. வேறு எதையும் மாற்றுவதற்கு முன் ஒப்பீட்டைச் செய்யுங்கள், இரு முடிவுகளும் ஒரே தொடக்க நிலையிலிருந்து வரட்டும்.
அனைத்தும் உண்மையாக இருக்க வேண்டிய மூன்று பகுதிகள்
வெளியேற்றம் ஒரு சங்கிலி, மிகவும் பலவீனமான இணைப்பு அறிகுறியைத் தீர்மானிக்கிறது. கீழே உள்ள அட்டவணை இணைப்புகளை அவை பொதுவாகத் தோல்வியடையும் வரிசையில் பட்டியலிடுகிறது.
| Part | Where it lives | What a failure looks like |
|---|---|---|
| Forwarding and NAT | Exit node kernel and firewall | Traffic arrives, no reply |
| Managed default route | ZeroTier network controller | No default via the tunnel on the member |
| Client acceptance | Member's per-network setting | Route offered but not installed |
| DNS behavior | Client resolver configuration | Pages fail by name, IP works |
முதல் வரி விருப்பத்தின் பெயர் மறைக்கும் வரி. ஒரு உறுப்பினர் அதன் கர்னல் ZeroTier இடைமுகத்திற்கும் இணையத்தை நோக்கிய இடைமுகத்திற்கும் இடையே பாக்கெட்டுகளை அனுப்பும்போது, பதில் பாதை சுரங்கப்பாதைக்குத் திரும்ப மொழிபெயர்க்கப்படும்போது மட்டுமே வெளியேற்றமாகிறது. அந்த அனுப்புதல் இல்லாமல், உறுப்பினர் ஒரு சகாவாக இருக்கிறார், நுழைவாயில் அல்ல.
கட்டுப்படுத்தியின் வரி அங்கீகாரம், உள்ளமைவு அல்ல. ஒரு உறுப்பினர் வழியாக 0.0.0.0/0 அறிவிப்பது ஒவ்வொரு கிளையண்டிற்கும் வெளியேற்றம் எங்கே என்று சொல்கிறது; அது அந்த உறுப்பினரைப் போக்குவரத்தைச் சுமக்கும் திறன் கொண்டதாக ஆக்காது. உறுப்பினருக்கு இணையத்திற்கு வேலை செய்யும் பாதை உள்ளதா என்பதையும் அது சரிபார்க்காது. ZeroTier இன் வெளியேறும் முனை ஆவணம் முனை, பாதை மற்றும் கிளையண்ட் இடையேயான அதே பிரிவை உள்ளடக்குகிறது.
வெளியேறும் முனையை அனுப்பவும் மொழிபெயர்க்கவும் அமைக்கவும்
IPv4 அனுப்புதலை நிரந்தரமாக இயக்கி, பின்னர் WAN இடைமுகத்தை விட்டு வெளியேறும் போக்குவரத்திற்கு மூல NAT ஐச் சேர்க்கவும். வடிகட்டி விதிகள் அனுப்பப்பட்ட ஓட்டத்தை இரு திசைகளிலும் அனுமதிக்க வேண்டும், ஏனெனில் அனுப்புதலும் மொழிபெயர்ப்பும் அனுமதியிலிருந்து தனித்தவை:
sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -A FORWARD -i zt0 -o eth0 -j ACCEPT
iptables -A FORWARD -i eth0 -o zt0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPTzt0 மற்றும் eth0 ஐ ஹோஸ்ட்டில் உள்ள பெயர்களால் மாற்றவும்; மாதிரி இடைமுகத்திற்காகச் சேமிக்கப்பட்ட விதி உண்மையான ஒன்றில் பாக்கெட்டுகளைப் பின்தொடராது. விதிகளைக் கொண்ட ஃபயர்வால் மேலாளர் வழியாக மாற்றங்களை நிரந்தரமாக்கவும், ஏனெனில் ஊடாடும் ஷெல்லில் உள்ள கட்டளை அடுத்த மறுதொடக்கத்தில் மறைந்துவிடும்.
ஹோஸ்ட் UFW அல்லது firewalld போன்ற ஃபயர்வால் மேலாளரை இயக்கினால், பக்கத்தில் iptables வரிகளைக் குவிப்பதற்குப் பதிலாக அந்த மேலாளர் வழியாகவே விதிகளைச் சேர்க்கவும். ஒரே சங்கிலிகளைத் திருத்தும் இரு உரிமையாளர்கள் துவக்க வரிசையைச் சார்ந்த கொள்கையை உருவாக்குகிறார்கள். மேலாளர் தன் சொந்தச் சங்கிலிகளை உருவாக்கும்போது வரிசை முக்கியம். மேலாளரை மீண்டும் ஏற்றிய பிறகு கிளையண்டிலிருந்து சோதிக்கவும், முன்பு அல்ல.
பாதையை அறிவித்து கிளையண்டில் ஏற்கவும்
நெட்வொர்க் கட்டுப்படுத்தியில் 0.0.0.0/0 க்கு நிர்வகிக்கப்பட்ட பாதையைச் சேர்க்கவும், அதன் அடுத்த ஹாப் வெளியேறும் உறுப்பினரின் ZeroTier முகவரி. பின்னர் அதைப் பயன்படுத்த வேண்டிய உறுப்பினரில் அந்த நெட்வொர்க்கிற்கான மேலெழுதலை அனுமதிக்கவும். அனுமதி உள்ளூர்: அது மற்ற உறுப்பினர்களை மறுகட்டமைக்காது, கட்டுப்படுத்தியையும் மாற்றாது.
zerotier-cli listnetworks
zerotier-cli set <network-id> allowDefault=1
ip route get 1.1.1.1கடைசிக் கட்டளை ZeroTier இடைமுகத்தையும் வெளியேறும் உறுப்பினரின் முகவரியையும் தெரிவிக்க வேண்டும். அது இன்னும் இயற்பியல் இடைமுகத்தைத் தெரிவித்தால், பாதை இல்லை அல்லது போட்டி இயல்புநிலைக்கு சிறந்த அளவீடு உள்ளது.
அமைப்பை அது தேவைப்படும் நெட்வொர்க்கிற்கு மட்டும் வரம்பிடவும். இயல்புநிலை பாதை ஏற்பை உலகளவில் இயக்குவது, அல்லது தனியார் துணைநெட்வொர்க்கை மட்டும் வழங்க வேண்டிய நெட்வொர்க்கில் இயக்குவது, போக்குவரத்தை அதற்காக ஒருபோதும் அளவிடப்படாத வெளியேற்றம் வழியாக அனுப்புகிறது.
வெளியேற்றத்தைச் சரிபார்த்து மற்ற முகவரி குடும்பங்களைப் பார்க்கவும்
மூலத்தைத் தெரிவிக்கும் சேவையிடம் பொது முகவரியைக் கேட்டு, அதை வெளியேறும் முனையின் WAN முகவரியுடன் ஒப்பிடவும். பின்னர் DNS இன்னும் தீர்க்கிறதா என உறுதிப்படுத்த பெயரில் ஒரு தளத்தை ஏற்றி, உலாவி மட்டுமல்லாமல் முக்கியமான ஒரு பயன்பாட்டையும் சோதிக்கவும்.
இரட்டை அடுக்கு கிளையண்ட் IPv4 ZeroTier வழியாக வெளியேறும்போது தன் சொந்த IPv6 பாதையைத் தொடர்ந்து பயன்படுத்தலாம். இலக்கு அனைத்துப் போக்குவரத்தையும் மறைப்பதோ கட்டுப்படுத்துவதோ என்றால், தனி ::/0 பாதையும் வெளியேற்றத்தில் IPv6 அனுப்புதலும் தேவை, IPv4 சோதனை அவற்றைப் பற்றி எதுவும் சொல்லாது.
Linux இன் தலைகீழ் பாதை வடிகட்டல் கிளையண்டில் செல்லுபடியாகும் வெளியேற்ற போக்குவரத்தையும் வீழ்த்தலாம். ZeroTier பங்கேற்கும் உறுப்பினர்களுக்கு rp_filter பரிசீலனையை ஆவணப்படுத்துகிறது; அந்த அமைப்பை வேண்டுமென்றே, பாதையும் NAT உம் உறுதிப்படுத்தப்பட்ட பிறகு மட்டுமே மாற்றவும், முதல் பரிசோதனையாக அல்ல.
தேவை NAS அல்லது ஒரு அலுவலக துணைநெட்வொர்க்கிற்கான அணுகல் என்றால், அந்த முன்னொட்டிற்கான நிர்வகிக்கப்பட்ட பாதை முழு வெளியேற்றத்தை விடச் சிறியதும் பாதுகாப்பானதுமான மாற்றம். அனைத்து உலாவலையும் வேறு சாதனம் வழியாக அனுப்புவது ஒரு தனியார் வளத்தை அடைவதிலிருந்து வேறுபட்ட முடிவு, அது தனி மதிப்பாய்வுக்குத் தகுதியானது.