ZeroTier üzerinden HTTP şifreli mi? Overlay'in nerede bittiğini kontrol edin

Bu kontrolleri sırayla yapın ve ilk başarısız olanda durun, çünkü her yanıt bir sonraki adımın anlamını değiştirir. Gerçek soru dar: bir ZeroTier ağındaki düz HTTP internette açık olarak mı yol alıyor? İki ZeroTier eşi arasında genellikle hayır, çünkü overlay o atlamayı şifreler. Ancak bu, iki uç nokta hakkında bir ifadedir; bir isteğin geçtiği her segment hakkında değil. Bir yönlendirici, köprü veya ters proxy uç noktayı taşır ve onun diğer tarafında düz metin yeniden başlar.

Kontrol 1: tarayıcının çevirdiği adresi bulun

URL'yi makinenin gerçekte sahip olduğu şeyle karşılaştırın. ip -brief addr show, zt arayüzünü ve ağ denetleyicisinin atadığı overlay adresini listeler; URL bu adresi kullanıyorsa tarayıcının soketi overlay'e girer.

Ad bunun yerine bir LAN adresine çözümlendiğinde, istemcinin durum göstergesi ne önerirse önersin overlay hiç devrede olmayabilir. ip route get 10.147.20.5, çekirdeğin seçeceği arayüzü ve kaynak adresi yazdırır; orada bir zt arayüzü paketin overlay'e girdiği, fiziksel NIC'inizin adı ise girmediği anlamına gelir. Adlar bir katman daha ekler: bir overlay adresine işaret eden kayıt, bir LAN adresine işaret edenden farklı davranır ve bir arama soneki ya da hosts dosyası girdisi hangisini alacağınıza sessizce karar verebilir.

Kontrol 2: iki ucun da eş olduğunu, şifre çözen bir aktarıcı olmadığını doğrulayın

ZeroTier eşler arasında şifreler ve doğrudan bir yol yoksa paketler, onları hâlâ şifreli olarak ileten bir kök üzerinden aktarılır. zerotier-cli peers, her eşin yolunu DIRECT veya RELAY olarak bir gecikme değeriyle işaretler. Aktarılan bir yol gidiş dönüşlere mal olur, gizliliğe değil.

Yanıtı değiştiren şey, gerçekte uç nokta olmayan bir üyedir. Karşı taraf fiziksel bir LAN'a yönlendiren veya köprüleyen bir ZeroTier üyesiyse overlay o üyede biter ve sonraki atlama sıradan Ethernet'tir.

Kontrol 3: isteğin nerede okunabilir hâle geldiğini izleyin

Sayfayı sunduğuna inandığınız ana bilgisayarda, yeniden yüklerken overlay arayüzünü yakalayın: sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'. O çıktıdaki okunabilir bir istek satırı, trafiğin o ana bilgisayara şifresi çözülmüş olarak vardığını kanıtlar ve aradığınız sınır budur.

Ardından LAN'ın geri kalanına bakan arayüzde yakalayın. Aynı istek orada açık olarak görünüyorsa uygulamaya ulaşmadan overlay'den çıkmıştır ve o segmentteki her cihaz onu okuyabilir. LAN tarafında hiçbir şey görünmüyor ve sayfa yine de yükleniyorsa uygulama ZeroTier ana bilgisayarının kendisinde sonlanıyor.

Önde bir ters proxy varken loopback'i yakalamak da önemlidir, çünkü HTTPS kabul edip HTTP ileten bir proxy sınırı kendi arka ucuna taşır.

Kontrol 4: bir yönlendirici veya köprünün arkasındaki her atlamayı hesaba katın

Overlay ile bir LAN arasında yönlendirme yapacak şekilde yapılandırılmış bir üye olağan bir tasarımdır ve bu varsayımların çoğunun kırıldığı yerdir. Overlay, tarayıcıdan yönlendiriciye kadar olan bacağı korur ve sonrasında hiçbir şeyi korumaz. Bir köprü aynı hikâyeyi başka bir mekanizmayla anlatır: overlay ve fiziksel segment tek bir yayın alanı hâline gelir, böylece köprülenmiş bir dizüstü bilgisayardan gelen istek, o dizüstü ZeroTier ağında otursa bile sıradan Ethernet üzerinden geçer.

Varsaymak yerine izleyin. İstemciden hizmet adresine kadar traceroute ile ağ geçidi üyesindeki yönlendirme tablosu birlikte, son atlamanın zt mi yoksa eth mu olduğunu gösterir.

ZeroTier ayrıca performans için belirlenmiş yerel yollarda taşıma güvenliğini bırakabilen bir trusted-path modu sunar. Onu kullanan bir ağ olağan şifreli yol varsayımını devralmaz, bu yüzden birinden alıntı yapmadan önce ağ yapılandırmasını okuyun. Protokol belgeleri hem eşler arası şifrelemeyi hem de o istisnayı açıklar.

Kontrol 5: uygulamanın hâlâ ne yapması gerektiğine karar verin

Overlay üyeliği bir cihazı bir ağa doğrular ve karşı taraftaki hizmetin ulaşmak istediğiniz hizmet olup olmadığı hakkında hiçbir şey söylemez. HTTPS, bir ana bilgisayar adını bir anahtara bağlayarak farklı bir soruyu yanıtlar, bu yüzden iki koruma birbirinin yerini almadan örtüşür. Yetkili bir eş yine de yanlış hizmet olabilir ve ele geçirilmiş bir uç nokta isteği hem şifrelemeden önce hem de şifre çözüldükten sonra okur. Hiçbir mekanizma uygulamanın ne kaydettiğini denetlemez.

Yeniden kullanılabilir bir oturumu veya parolası olan her şey için TLS'i uygulamada ya da kontrol ettiğiniz bir proxy'de sonlandırın ve sertifika doğrulamasını açık bırakın. Eski bir hizmetin düz HTTP'de kalması gerekiyorsa, kullanmasına izin verilen tam ana bilgisayardan ana bilgisayara yolu, ona kimin erişebileceğini ve hangi segmentin korumasız kaldığını yazın; gelecekteki bir gözden geçirenin ihtiyaç duyduğu not odur.

"VPN bağlı" bunların hiçbirinin değerlendirmesi değildir. Dürüst sürüm iki uç noktayı, aralarındaki yolu ve kapsanmayan ilk atlamayı adlandırır.

Yakalama çıktısını ve eş listesini hizmet belgelerinin yanında tutun, böylece bir rotayı değiştiren veya bir köprü ekleyen herkes hangi varsayımı kırmak üzere olduğunu görsün.