ZeroTier ustidagi HTTP shifrlanganmi? Overlay qayerda tugashini tekshiring

Bu tekshiruvlarni tartib bilan bajaring va birinchi muvaffaqiyatsiz bo‘lganida to‘xtang, chunki har bir javob keyingi qadamning ma’nosini o‘zgartiradi. Haqiqiy savol tor: ZeroTier tarmog‘idagi oddiy HTTP internet bo‘ylab ochiq holda yura boshlaydimi? Ikki ZeroTier peer o‘rtasida odatda yo‘q, chunki overlay o‘sha o‘tishni shifrlaydi. Lekin bu ikki so‘nggi nuqta haqidagi bayonot, so‘rov o‘tadigan har bir segment haqida emas. Router, ko‘prik yoki teskari proksi so‘nggi nuqtani ko‘chiradi va uning narigi tomonida ochiq matn yana boshlanadi.

Tekshiruv 1: brauzer qo‘ng‘iroq qiladigan manzilni toping

URLni mashina haqiqatan tutgan narsa bilan solishtiring. ip -brief addr show zt interfeysi va tarmoq kontrolleri bergan overlay manzilini ko‘rsatadi; agar URL o‘sha manzildan foydalansa, brauzer soketi overlayga kiradi.

Nom buning o‘rniga LAN manziliga yechilsa, mijozning holat ko‘rsatkichi nima taklif qilmasin, overlay umuman ishtirok etmasligi mumkin. ip route get 10.147.20.5 yadro tanlaydigan interfeys va manba manzilini chiqaradi, shuning uchun u yerda zt interfeysi paket overlayga kirishini, jismoniy NIC nomingiz esa kirmasligini bildiradi. Nomlar yana bir qatlam qo‘shadi: overlay manziliga ishora qiluvchi yozuv LAN manziliga ishora qiluvchidan boshqacha ishlaydi va qidiruv suffiksi yoki hosts faylidagi yozuv qaysi birini olishingizni jimgina hal qilishi mumkin.

Tekshiruv 2: ikkala uch ham peer ekanini, shifrni ochuvchi relay emasligini tasdiqlang

ZeroTier peerlar o‘rtasida shifrlaydi va to‘g‘ridan-to‘g‘ri yo‘l bo‘lmasa paketlar ularni hali shifrlangan holda uzatadigan ildiz orqali relay qilinadi. zerotier-cli peers har bir peerning yo‘lini DIRECT yoki RELAY deb kechikish raqami bilan belgilaydi. Relay qilingan yo‘l aylanma safarlarga tushadi, maxfiylikka emas.

Javobni o‘zgartiradigan narsa aslida so‘nggi nuqta bo‘lmagan a’zo. Narigi tomon jismoniy LANga yo‘naltiruvchi yoki ko‘prik qiluvchi ZeroTier a’zosi bo‘lsa, overlay o‘sha a’zoda tugaydi va keyingi sakrash oddiy Ethernet bo‘ladi.

Tekshiruv 3: so‘rov qayerda o‘qiladigan bo‘lishini kuzating

Sahifani taqdim etadi deb o‘ylagan xostingizda qayta yuklash paytida overlay interfeysini tutib oling: sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'. O‘sha chiqishdagi o‘qiladigan so‘rov satri trafik o‘sha xostga shifr ochilgan holda yetib kelganini isbotlaydi va bu siz izlayotgan chegara.

So‘ngra LANning qolgan qismiga qaragan interfeysda tutib oling. Agar o‘sha so‘rov u yerda ochiq ko‘rinsa, u ilovaga yetib borishdan oldin overlaydan chiqqan va o‘sha segmentdagi har bir qurilma uni o‘qiy oladi. Agar LAN tomonida hech narsa ko‘rinmasa-yu, sahifa baribir yuklansa, ilova ZeroTier xostining o‘zida tugayapti.

Oldinda teskari proksi bo‘lsa, loopbackni tutib olish ham muhim, chunki HTTPSni qabul qilib HTTPni uzatuvchi proksi chegarani o‘z backendiga ko‘chiradi.

Tekshiruv 4: router yoki ko‘prik ortidagi har bir sakrashni hisobga oling

Overlay va LAN o‘rtasida yo‘naltirish uchun sozlangan a’zo oddiy loyiha va bu taxminlarning ko‘pchiligi buziladigan joy. Overlay brauzerdan routergacha bo‘lgan qismni himoya qiladi va undan keyin hech narsani. Ko‘prik xuddi shu voqeani boshqa mexanizm bilan aytadi: overlay va jismoniy segment bitta translyatsiya domeniga aylanadi, shuning uchun ko‘priklangan noutbukdan kelgan so‘rov o‘sha noutbuk ZeroTier tarmog‘ida bo‘lsa ham oddiy Ethernet orqali o‘tadi.

Taxmin qilish o‘rniga uni kuzatib boring. Mijozdan xizmat manziligacha traceroute va shlyuz a’zosidagi marshrutlash jadvali birgalikda oxirgi sakrash zt yoki eth ekanini ko‘rsatadi.

ZeroTier, shuningdek, unumdorlik uchun belgilangan mahalliy yo‘llarda transport xavfsizligidan voz kechishi mumkin bo‘lgan ishonchli yo‘l rejimini taklif qiladi. Undan foydalanadigan tarmoq odatdagi shifrlangan yo‘l taxminini meros qilib olmaydi, shuning uchun bittasini iqtibos qilishdan oldin tarmoq konfiguratsiyasini o‘qing. Protokol hujjati peerlar orasidagi shifrlashni ham, o‘sha istisnoni ham tavsiflaydi.

Tekshiruv 5: ilova hali nima qilishi kerakligini hal qiling

Overlayga a’zolik qurilmani tarmoqqa autentifikatsiya qiladi va narigi tomondagi xizmat siz yetib bormoqchi bo‘lgan xizmat ekanligi haqida hech narsa demaydi. HTTPS xost nomini kalitga bog‘lab boshqa savolga javob beradi, shuning uchun bu ikki himoya bir-birini almashtirmasdan ustma-ust tushadi. Ruxsat etilgan peer ham noto‘g‘ri xizmat bo‘lishi mumkin va buzilgan so‘nggi nuqta so‘rovni shifrlashdan oldin ham, shifr ochilgandan keyin ham o‘qiydi. Hech bir mexanizm ilova nima yozishini audit qilmaydi.

Qayta ishlatiladigan sessiya yoki parolga ega har qanday narsa uchun TLSni ilovada yoki o‘zingiz boshqaradigan proksida tugating va sertifikat tekshiruvini yoqilgan holda qoldiring. Eski xizmat oddiy HTTPda qolishi kerak bo‘lsa, u foydalanishi mumkin bo‘lgan aniq xostdan xostga yo‘lni, unga kim yetib borishini va qaysi segment himoyasiz qolishini yozib qo‘ying; kelajakdagi taqrizchiga aynan shu eslatma kerak.

"VPN ulangan" bu hech birining bahosi emas. Halol versiya ikkala so‘nggi nuqtani, ular orasidagi yo‘lni va qoplanmagan birinchi sakrashni nomlaydi.

Tutib olish chiqishini va peerlar ro‘yxatini xizmat hujjati yonida saqlang, toki yo‘lni o‘zgartiruvchi yoki ko‘prik qo‘shuvchi kim bo‘lsa ham qaysi taxminni buzayotganini ko‘rsin.