Nebula کے لائٹ ہاؤس فلٹرز اور فائر وال: ہر ایک کیا روکتا ہے

Nebula کے ہینڈ شیک کو غلط سرے سے دیکھیں تو دونوں طریقے ایک دوسرے کی جگہ لینے والے لگتے ہیں۔ ایک طے کرتا ہے کہ نوڈ لائٹ ہاؤس کو کون سے پتے بتاتا ہے اور کون سے دور دراز پتے آزمانے ہیں؛ دوسرا طے کرتا ہے کہ سرنگ موجود ہونے کے بعد کیا گزر سکتا ہے۔ فلٹر کسی بھی فائر وال قاعدے کے جانچے جانے سے پہلے رابطہ روک سکتا ہے، اور فائر وال قاعدہ اس اینڈ پوائنٹ کو دوبارہ زندہ نہیں کر سکتا جسے دریافت نے ہٹا دیا ہو۔ دونوں تہیں مختلف سوالوں کے جواب دیتی ہیں، اور ان کے کام کرنے کی ترتیب ہی کلید ہے۔

ایک رابطے کو چار مراحلوں میں دیکھیں: اعلان شدہ مقامی پتہ، زیرِ غور دور دراز اینڈ پوائنٹ، ہینڈ شیک اور overlay میں ٹریفک۔ ہر مرحلے کی اپنی ترتیب اور اپنی ناکامی کی نشانی ہے۔

اس مقامی پتے سے شروع کریں جو نوڈ اعلان کرتا ہے

local_allow_list اس ہوسٹ کے مقامی پتوں کو لائٹ ہاؤسز کو رپورٹ کرنے سے پہلے فلٹر کرتا ہے۔ اندراج پتوں کی حدود ہو سکتے ہیں، اور ترتیب انٹرفیس نام کے نمونوں کو بھی سپورٹ کرتی ہے۔ یہ تب مفید ہے جب ہوسٹ میں کنٹینر پل یا اضافی سرنگ انٹرفیس ہوں جو پیر اینڈ پوائنٹ نہیں بننے چاہئیں۔

ہوسٹ کے انٹرفیس دیکھیں اور پوچھیں کہ دور دراز پیر حقیقت میں کن تک پہنچ سکتا ہے۔ Docker پل کا پتہ اسی ہوسٹ کے لیے مقامی ہے اور دوسرے نیٹ ورک کے پیر کے لیے بیکار ہے۔ اس کا اعلان کرنا دریافت ضائع کرتا ہے اور پیر کو ایسے پتے کی طرف بھیج سکتا ہے جو کبھی جواب نہیں دیتا۔ جو کچھ پیر راستہ نہیں کر سکتا وہ لائٹ ہاؤس کے جواب میں شور ہے۔

یہاں تنگ اجازت فہرست وسیع پابندی فہرست سے زیادہ محفوظ ہے۔ اگر صرف اجازت کے اندراج ہوں تو غیر متعین باقی حصہ خارج ہو جاتا ہے؛ بعد میں پابندی کا اندراج شامل کرنا طے شدہ منطق بدل دیتا ہے اور اس کا الگ جائزہ ضروری ہے۔ وہ تبدیلی طے شدہ قدر پر دوسری نظر کے لائق ہے۔

پھر دور دراز اینڈ پوائنٹ کے انتخاب کو دیکھیں

remote_allow_list ہینڈ شیک کے دوران یہ ہوسٹ دور دراز پیر کے لیے جن پتوں پر غور کرے گا انہیں فلٹر کرتا ہے۔ یہ نچلی تہہ کے پتے پر لاگو ہوتا ہے، overlay کے اس پتے پر نہیں جو پیر سرنگ اٹھنے کے بعد استعمال کرے گا۔

نجی حدود مشترکہ دفتری نیٹ ورک میں مکمل کارآمد ہو سکتی ہیں اور بے معنی ہو جاتی ہیں جب دونوں ہوسٹ ایسے غیر متعلق نیٹ ورک میں ہوں جو دونوں 10.0.0.0/8 استعمال کرتے ہیں۔ فلٹر آپ کو راستہ پزیر راستے کو ترجیح دینے اور اتفاق کو نظر انداز کرنے دیتا ہے۔

جب پیر جڑ نہ سکے تو جو پتہ آزمایا جا رہا ہے اس کا موازنہ اس سے ملنے والے قاعدے سے کریں۔ ہینڈ شیک لاگ فعال کریں اور منتخب دور دراز پتہ پڑھیں؛ لاگ لائن اس اینڈ پوائنٹ کا نام بتاتی ہے جو فلٹرنگ سے بچا، اور یہ پیر کے پتوں کی فہرست سے زیادہ مفید ہے۔

اعلان کرنے والی طرف کا انٹرفیس نام فلٹر وصول کرنے والی طرف کے دیکھنے سے پہلے ہی اینڈ پوائنٹ ہٹا سکتا ہے۔ جب صرف ایک سمت ناکام ہو تو دونوں نوڈ جانچیں۔

ہینڈ شیک کے بعد overlay کے رسائی قواعد لاگو ہوتے ہیں

Nebula کے فائر وال قواعد overlay کے اندر، سرنگ قائم ہونے کے بعد کام کرتے ہیں۔ وہ ہوسٹ، گروپ، پورٹ اور پروٹوکول ملاقاتے ہیں اور طے کرتے ہیں کہ پیکٹ مقامی ہوسٹ میں داخل ہو سکتا ہے یا اس سے نکل سکتا ہے۔ وہ نچلی تہہ میں اینڈ پوائنٹ منتخب نہیں کرتے۔

یہ علیحدگی ایک عام غلط تشخیص کی وضاحت کرتی ہے۔ آپریٹر کسی پورٹ کے لیے فائر وال قاعدہ شامل کرتا ہے اور پھر بھی جڑ نہیں سکتا، کیونکہ لائٹ ہاؤس فلٹر نے واحد قابلِ رسائی اینڈ پوائنٹ ہٹا دیا تھا۔ دوسرا آپریٹر پتہ فلٹر کھولتا ہے اور پھر بھی سروس تک نہیں پہنچتا، کیونکہ overlay کا فائر وال پورٹ مسترد کرتا ہے۔

ناکامی کو درست تہہ میں پڑھیں۔ جو ہینڈ شیک کبھی مکمل نہیں ہوتا وہ دریافت، اینڈ پوائنٹ فلٹرنگ یا نیٹ ورک راستے کی طرف اشارہ کرتا ہے۔ مکمل ہوا ہینڈ شیک اور پھر مسترد یا گرا دیا گیا سروس رابطہ overlay کے فائر وال یا ایپلیکیشن کی طرف اشارہ کرتا ہے۔

اجازت اور پابندی ملانے پر طے شدہ قدر پڑھیں

لائٹ ہاؤس ترتیب صرف اجازت، صرف پابندی اور ملی جلی فہرستیں سپورٹ کرتی ہے، اور غیر متعین باقی حصے کی طے شدہ قدر ان شکلوں میں مختلف ہے۔ ملی جلی فہرست کو پتہ خاندان کے لیے واضح طے شدہ قدر درکار ہے؛ یہ سمجھنا کہ باقی حصہ پچھلی ترتیب کی طرح برتاؤ کرے گا، وہی راستہ ہے جس سے کام کرنے والا اینڈ پوائنٹ خاموشی سے غائب ہو جاتا ہے۔

lighthouse:
  local_allow_list:
    interfaces:
      docker0: false
  remote_allow_list:
    192.168.0.0/16: true
    default: false

طے شدہ قدر کو قاعدے کا حصہ سمجھیں، ٹیمپلیٹ متن نہیں۔ اگر خاندان کی طے شدہ قدر پابندی ہو تو فہرست میں نہ ہونے والا ہر پتہ خارج ہو جاتا ہے، بشمول وہ نیا دفتری دائرہ جو ترتیب لکھنے کے بعد شامل کیا گیا۔

جو پتے قابلِ رسائی ہونے چاہئیں تھے وہ نوٹ کریں اور دونوں اطراف سے جانچیں۔ جو فلٹر ایک پیر جوڑی کے لیے کام کرتا ہے وہ دوسری جوڑی کے لیے ناکام ہو سکتا ہے جس کا واحد مشترکہ راستہ ایسا پتہ استعمال کرتا ہے جسے فہرست خارج کرتی ہے۔

جب کوئی براہِ راست اینڈ پوائنٹ قابلِ رسائی نہ ہو تو relay استعمال کریں

اگر ہر امیدوار اینڈ پوائنٹ فلٹر ہو جائے یا ناقابلِ رسائی ہو تو جواب وہ وسیع اجازت فہرست نہیں ہے جو ان پتوں کو دوبارہ قبول کرے جن پر آپ بھروسہ نہیں کرتے۔ جب براہِ راست رابطہ ممکن نہ ہو تو Nebula کی relay ترتیب متبادل پیر راستہ فراہم کرتی ہے۔

Relay نقل و حمل اور دریافت حل کرتا ہے، اجازت نہیں، اور یہ فائر وال کو وسیع نہیں کرتا۔ overlay کا فائر وال اب بھی طے کرتا ہے کہ کون سی سروسز استعمال ہو سکتی ہیں، اور relay لائٹ ہاؤس فلٹرنگ کو رسائی کنٹرول کا طریقہ کار نہیں بناتا۔

براہِ راست اینڈ پوائنٹ بند رکھ کر relay راستے کی جانچ کریں اور تصدیق کریں کہ مطلوبہ سروس اب بھی کام کرتی ہے جبکہ غیر مطلوبہ نہیں۔ وہی ایک جانچ نقل و حمل کی درستگی کو پالیسی تبدیلی سے الگ کرتی ہے اور دونوں تہوں کو دیانت دار رکھتی ہے۔