Nebula లైట్హౌస్ ఫిల్టర్లు మరియు ఫైర్వాల్: ప్రతి ఒక్కటి ఏమి నిరోధిస్తుంది

తప్పు చివర నుండి Nebula హ్యాండ్షేక్ను చూస్తే రెండు యంత్రాంగాలు పరస్పరం మార్చుకోగలిగినట్లు కనిపిస్తాయి. ఒకటి నోడ్ లైట్హౌస్కు ఏ చిరునామాలను తెలియజేస్తుంది, ఏ దూర చిరునామాలను ప్రయత్నిస్తుంది అని నిర్ణయిస్తుంది; మరొకటి సొరంగం ఉన్నప్పుడు ఏమి దాటవచ్చు అని నిర్ణయిస్తుంది. ఏదైనా ఫైర్వాల్ నియమం మూల్యాంకనం కాకముందే ఫిల్టర్ కనెక్షన్ను ఆపగలదు, మరియు ఆవిష్కరణ తొలగించిన ముగింపు బిందువును ఫైర్వాల్ నియమం తిరిగి బ్రతికించలేదు. రెండు పొరలు వేర్వేరు ప్రశ్నలకు సమాధానమిస్తాయి, అవి పనిచేసే క్రమమే కీలకం.

ఒక కనెక్షన్ను నాలుగు దశల్లో అనుసరించండి: ప్రకటించిన స్థానిక చిరునామా, పరిగణించిన దూర ముగింపు బిందువు, హ్యాండ్షేక్ మరియు overlay ట్రాఫిక్. ప్రతి దశకు దాని స్వంత కాన్ఫిగరేషన్ మరియు దాని స్వంత వైఫల్య సంకేతం ఉంది.

నోడ్ ప్రకటించే స్థానిక చిరునామా నుండి ప్రారంభించండి

local_allow_list లైట్హౌస్లకు నివేదించే ముందు ఈ హోస్ట్ స్థానిక చిరునామాలను ఫిల్టర్ చేస్తుంది. నమోదులు చిరునామా పరిధులు కావచ్చు, మరియు కాన్ఫిగరేషన్ ఇంటర్ఫేస్ పేరు నమూనాలను కూడా మద్దతిస్తుంది. హోస్ట్లో కంటైనర్ వంతెనలు లేదా పీర్ ముగింపు బిందువులు కాకూడని అదనపు సొరంగ ఇంటర్ఫేస్లు ఉన్నప్పుడు ఇది ఉపయోగకరం.

హోస్ట్ ఇంటర్ఫేస్లను పరిశీలించి దూర పీర్ నిజంగా ఏవి చేరుకోగలదో అడగండి. Docker వంతెన చిరునామా ఆ హోస్ట్కు స్థానికం మరియు మరొక నెట్వర్క్లోని పీర్కు నిష్ప్రయోజనం. దాన్ని ప్రకటించడం ఆవిష్కరణను వృథా చేస్తుంది మరియు ఎప్పుడూ స్పందించని చిరునామా వైపు పీర్ను పంపవచ్చు. పీర్ మార్గనిర్దేశం చేయలేని ప్రతిదీ లైట్హౌస్ ప్రతిస్పందనలో శబ్దం.

ఇక్కడ సన్నని అనుమతి జాబితా విశాల నిషేధ జాబితా కంటే సురక్షితం. అనుమతి నమోదులు మాత్రమే ఉంటే, పేర్కొనని మిగిలిన భాగం మినహాయించబడుతుంది; తర్వాత నిషేధ నమోదు జోడించడం డిఫాల్ట్ తర్కాన్ని మారుస్తుంది మరియు దానికి ప్రత్యేక సమీక్ష అవసరం. ఆ మార్పు డిఫాల్ట్ను మరోసారి చూడదగినది.

తర్వాత దూర ముగింపు బిందువు ఎంపికను గమనించండి

remote_allow_list హ్యాండ్షేక్ సమయంలో ఈ హోస్ట్ దూర పీర్ కోసం పరిగణించే చిరునామాలను ఫిల్టర్ చేస్తుంది. ఇది అండర్లే చిరునామాకు వర్తిస్తుంది, సొరంగం లేచిన తర్వాత పీర్ ఉపయోగించే overlay చిరునామాకు కాదు.

ఒక ప్రైవేట్ పరిధి భాగస్వామ్య కార్యాలయ నెట్వర్క్లో పూర్తిగా ఉపయోగకరంగా ఉండవచ్చు మరియు రెండు హోస్ట్లు 10.0.0.0/8 ఉపయోగించే సంబంధం లేని నెట్వర్క్లలో ఉన్నప్పుడు అర్థరహితం అవుతుంది. ఫిల్టర్ మార్గనిర్దేశం చేయగల మార్గానికి ప్రాధాన్యం ఇవ్వడానికి మరియు యాదృచ్ఛికతను విస్మరించడానికి అనుమతిస్తుంది.

పీర్ కనెక్ట్ కాలేనప్పుడు, ప్రయత్నిస్తున్న చిరునామాను దానికి సరిపోయే నియమంతో పోల్చండి. హ్యాండ్షేక్ లాగ్లను ప్రారంభించి ఎంచుకున్న దూర చిరునామాను చదవండి; లాగ్ లైన్ ఫిల్టరింగ్ దాటిన ముగింపు బిందువును పేర్కొంటుంది, ఇది పీర్ వద్ద ఉన్న చిరునామాల జాబితా కంటే ఉపయోగకరం.

ప్రకటన వైపు ఇంటర్ఫేస్ పేరు ఫిల్టర్ స్వీకరించే వైపు చూడకముందే ముగింపు బిందువును తొలగించగలదు. ఒక దిశ మాత్రమే విఫలమైనప్పుడు రెండు నోడ్లను తనిఖీ చేయండి.

హ్యాండ్షేక్ తర్వాత overlay యాక్సెస్ నియమాలు వర్తిస్తాయి

Nebula ఫైర్వాల్ నియమాలు overlay లోపల, సొరంగం స్థాపించిన తర్వాత పనిచేస్తాయి. అవి హోస్ట్లు, సమూహాలు, పోర్టులు మరియు ప్రోటోకాల్లను సరిపోల్చి, ప్యాకెట్ స్థానిక హోస్ట్లోకి ప్రవేశించవచ్చా లేదా నిష్క్రమించవచ్చా అని నిర్ణయిస్తాయి. అవి అండర్లే ముగింపు బిందువును ఎంచుకోవు.

ఈ విభజన సాధారణ తప్పు నిర్ధారణను వివరిస్తుంది. ఒక నిర్వాహకుడు పోర్ట్ కోసం ఫైర్వాల్ నియమాన్ని జోడించినా ఇంకా కనెక్ట్ కాలేడు, ఎందుకంటే లైట్హౌస్ ఫిల్టర్ చేరుకోగల ఏకైక ముగింపు బిందువును తొలగించింది. మరొక నిర్వాహకుడు చిరునామా ఫిల్టర్ను తెరిచినా సేవను చేరుకోలేడు, ఎందుకంటే overlay ఫైర్వాల్ పోర్ట్ను తిరస్కరిస్తుంది.

వైఫల్యాన్ని సరైన పొరలో చదవండి. ఎప్పుడూ పూర్తికాని హ్యాండ్షేక్ ఆవిష్కరణ, ముగింపు బిందువుల ఫిల్టరింగ్ లేదా నెట్వర్క్ మార్గాన్ని సూచిస్తుంది. పూర్తయిన హ్యాండ్షేక్ తర్వాత సేవ కనెక్షన్ తిరస్కరించబడినా లేదా పడవేయబడినా అది overlay ఫైర్వాల్ లేదా అప్లికేషన్ను సూచిస్తుంది.

అనుమతి మరియు నిషేధం కలిపినప్పుడు డిఫాల్ట్ను చదవండి

లైట్హౌస్ కాన్ఫిగరేషన్ అనుమతి-మాత్రమే, నిషేధం-మాత్రమే మరియు మిశ్రమ జాబితాలను మద్దతిస్తుంది, పేర్కొనని మిగిలిన భాగానికి డిఫాల్ట్ ఈ ఆకారాల మధ్య భిన్నంగా ఉంటుంది. మిశ్రమ జాబితాకు చిరునామా కుటుంబానికి స్పష్టమైన డిఫాల్ట్ అవసరం; మిగిలినది మునుపటి కాన్ఫిగరేషన్లా ప్రవర్తిస్తుందని ఊహించడమే పనిచేస్తున్న ముగింపు బిందువు నిశ్శబ్దంగా మాయమయ్యే మార్గం.

lighthouse:
  local_allow_list:
    interfaces:
      docker0: false
  remote_allow_list:
    192.168.0.0/16: true
    default: false

డిఫాల్ట్ను నియమంలో భాగంగా పరిగణించండి, టెంప్లేట్ పాఠ్యంగా కాదు. కుటుంబం డిఫాల్ట్ నిషేధం అయితే, జాబితాలో లేని ప్రతి చిరునామా మినహాయించబడుతుంది, కాన్ఫిగరేషన్ రాసిన తర్వాత జోడించిన కొత్త కార్యాలయ పరిధితో సహా.

ఏ చిరునామాలు చేరుకోగలిగేవి అయి ఉండాలో నమోదు చేసి రెండు వైపులా పరీక్షించండి. ఒక పీర్ జతకు పనిచేసే ఫిల్టర్, దాని ఏకైక సాధారణ మార్గం జాబితా మినహాయించిన చిరునామాను ఉపయోగించే మరొక జతకు విఫలమవచ్చు.

నేరుగా ముగింపు బిందువు ఏదీ చేరుకోలేనప్పుడు relay ఉపయోగించండి

ప్రతి అభ్యర్థి ముగింపు బిందువు ఫిల్టర్ అయినా లేదా చేరుకోలేనిదైనా, సమాధానం మీరు నమ్మని చిరునామాలను తిరిగి అంగీకరించే విశాల అనుమతి జాబితా కాదు. నేరుగా కనెక్టివిటీ సాధ్యం కానప్పుడు Nebula relay కాన్ఫిగరేషన్ ప్రత్యామ్నాయ పీర్ మార్గాన్ని అందిస్తుంది.

Relay రవాణా మరియు ఆవిష్కరణను పరిష్కరిస్తుంది, అధికారాన్ని కాదు, మరియు అది ఫైర్వాల్ను విస్తరించదు. overlay ఫైర్వాల్ ఏ సేవలు ఉపయోగించవచ్చో ఇంకా నిర్ణయిస్తుంది, relay లైట్హౌస్ ఫిల్టరింగ్ను యాక్సెస్ నియంత్రణ యంత్రాంగంగా మార్చదు.

నేరుగా ముగింపు బిందువులను నిలిపివేసి relay మార్గాన్ని పరీక్షించి, ఉద్దేశించిన సేవ ఇంకా పనిచేస్తుందని, ఉద్దేశించనిది పనిచేయదని నిర్ధారించండి. ఆ ఒకే పరీక్ష రవాణా సరిదిద్దును విధాన మార్పు నుండి వేరుచేస్తుంది మరియు రెండు పొరలను నిజాయితీగా ఉంచుతుంది.