ZeroTier papunta sa LAN: mga patakaran ng ruta ng UFW, hindi permiso ng port

Ang maabot ang isang printer sa LAN ng opisina sa pamamagitan ng isang miyembro ng ZeroTier ay parang isang patakaran lamang, ngunit talagang tatlong desisyon ito sa tatlong magkaibang lugar. Kailangang malaman ng overlay kung nasaan ang LAN, kailangang pumayag ang host ng Linux na magpasa ng mga packet, at kailangang malaman ng LAN kung paano ipapadala pabalik ang sagot. Ang isang papasok na patakaran na nagbubukas ng port sa gateway ay hindi humahawak sa alinman sa mga iyon. Ito ang maling kasangkapan sa tamang host.

Tatlong trabaho, tatlong may-ari

Ang pinamamahalaang ruta ay pag-aari ng kompigurasyon ng network ng ZeroTier. Sinasabi nito sa mga miyembro na ang isang unlapi ay maaabot sa pamamagitan ng isang partikular na address ng miyembro.

Ang pagpapasa ay pag-aari ng kernel ng Linux at ng nagmamay-ari ng patakaran ng firewall nito. Ito ang nagpapasya kung ang isang packet na dumarating sa overlay ay lalabas muli sa pisikal na interface. Ang isang host na hindi nagpapasa ay tahimik na itatapon ang packet pagkatapos nitong tanggapin ito. Nakikita ng nagpadala ang paglipas ng oras at walang lumalabas sa log ng serbisyo.

Ang daan pabalik ay pag-aari ng LAN. Ang mga host nito at ang router nito ay kailangang malaman na ang unlapi ng overlay ay maaabot sa pamamagitan ng LAN address ng iyong gateway, o kailangang may magsalin ng trapiko upang hindi na bumangon ang tanong na iyon.

Ang bawat isa sa mga ito ay maaaring tama habang nabibigo ang iba, at iyon ang dahilan kung bakit ang isang pagsubok na ping lamang sa gateway ay walang pinatutunayan tungkol sa serbisyo sa likod nito.

Itutok ang pinamamahalaang ruta sa miyembro

Magdagdag ng ruta para sa nilalayong unlapi ng LAN sa pamamagitan ng overlay address ng gateway, hindi sa pamamagitan ng LAN address nito. Ang overlay address ang naaabot ng ibang miyembro; ang LAN address ay may kahulugan lamang sa kable.

Kailangang tanggapin ng mga miyembro ang mga pinamamahalaang ruta upang gumana ang disenyo, at ang kanilang sariling mga lokal na network ay hindi dapat gumagamit na ng unlaping iyong inaanunsyo. Ang isang malayong laptop na nasa 192.168.60.0/24 sa bahay ay hindi rin maaaring mag-ruta ng 192.168.60.0/24 sa pamamagitan ng overlay.

Panatilihing kasing kitid ng pinapayagan ng gawain ang inaanunsyong unlapi. Ang pag-anunsyo ng mas malaking pinagsama-samang upang maimpluwensyahan ang kagustuhan ay maaari ring mag-angkin ng puwang ng address na hindi sa iyo, at ang resultang salungatan ay lumalabas sa mga device na konektado sa parehong network. Maaari rin nitong gawing mas gusto ng isang miyembro ang isang daang hindi patungo saanman. Panatilihing tapat ang ruta at hayaang gawin ng patakaran ang natitira.

Isulat ang unlapi at ang address ng miyembro sa parehong tala kung saan naroon ang mga patakaran ng firewall, dahil ang pinakakaraniwang sira ay isang rutang tumuturo sa maling miyembro.

Paganahin ang pagpapasa sa kernel

Basahin ang kasalukuyang halaga ng pagpapasa bago baguhin ang anuman, pagkatapos ay gawing permanente ang setting sa pamamagitan ng mekanismong ginagamit na ng iyong sistema, hindi sa pamamagitan ng isang beses na utos na nawawala kapag nag-reboot.

Kung ang UFW ang may-ari ng patakaran, ang mga patakaran ng ruta nito ay nagpapahayag ng pagpapasa para sa isang pares ng pinagmulan, destinasyon at interface. Ang mga ito ay hiwalay sa mga papasok na patakaran na nagbubukas ng serbisyo sa gateway mismo:

sysctl net.ipv4.ip_forward
sudo ufw route allow in on zt3f2a1c9d out on eth0 proto tcp to 192.168.60.20 port 443
sudo ufw status verbose

Ang pangalan ng interface ay ang aktwal na device ng overlay sa host na iyon, na mababasa mo mula sa ip link; hindi ito isang nakapirming string sa lahat ng pag-install. Kung ang host ay nagpapasa bilang default at ang UFW ay wala sa landas, ang patakaran ng ruta ay papansinin at ang mga setting ng kernel ang mahalaga.

Pumili kung paano bumabalik ang mga sagot

Sa pagpapanatili ng pinagmulan, nakikita ng serbisyo sa LAN ang tunay na overlay address at tumutugon dito. Kailangan nito ng ruta sa host ng LAN o sa router nito na itinuturo ang unlapi ng overlay sa iyong gateway, at iyon ay pagbabago sa labas ng kahon ng Linux.

Kapag hindi maidagdag ang rutang iyon, ginagawang parang nagmula sa gateway sa LAN ang kahilingan ng limitadong pagsasalin ng pinagmulan. Bumabalik noon ang mga sagot nang lokal at hindi na kailangan ang pagbabago sa routing ng LAN, kapalit ng pagkawala ng orihinal na pinagmulan sa mga log ng serbisyo.

Limitahan ang pagsasalin sa pinagmulan ng overlay at sa partikular na destinasyon ng LAN. Ang pagsasalin ng lahat ng lumalabas sa interface ng LAN ay ang malawak na bersyon na paglaon ay nagugulat sa sinumang nagbabasa ng mga patakaran, at itinatago rin nito ang trapikong dapat na hinarangan.

Wala sa dalawang pagpipilian ang nagbibigay ng hindi hinihinging pag-access mula sa LAN pabalik sa mga di-makatwirang miyembro ng overlay. Kung iyon ang nais, ito ay hiwalay na patakaran na may sariling pagsusuri.

Subukan mula sa isang tunay na miyembro

Kumonekta mula sa ibang miyembro, hindi mula sa gateway, at humiling ng isang pinapayagang serbisyo. Pagkatapos ay subukan ang isang serbisyong dapat manatiling sarado, at ulitin ang dalawang pagsubok pagkatapos ng muling pagkonekta at pagkatapos ng pag-reboot ng gateway.

Ang isang miyembrong nag-uulat ng ONLINE, o isang matagumpay na ping sa overlay address ng gateway, ay hindi nagpapatunay sa ruta, sa patakaran ng pagpapasa o sa daan pabalik:

zerotier-cli listnetworks
ip -4 route get 192.168.60.20
sudo ufw status numbered

Ipinapakita ng ikalawang utos kung aling interface ang gagamitin ng packet para sa host ng LAN, at ng ikatlo kung ang patakaran ng ruta ay umiiral sa anyong nilayon mo. Kung ang dalawa ay mukhang tama at ang serbisyo ay nag-expire pa rin, ang daan pabalik ang natitirang pinaghihinalaan.