Nebula mayoq filtrlari va tarmoq devori: har biri nimani to’sadi

Nebula qo’l siqishiga noto’g’ri tomondan qarasangiz, ikki mexanizm bir-birining o’rnini bosadigandek ko’rinadi. Biri tugun mayoqqa qaysi manzillarni bildirishini va qaysi uzoq manzillarni sinab ko’rishini belgilaydi; ikkinchisi tunnel mavjud bo’lgach, nima o’tishi mumkinligini belgilaydi. Filtr har qanday tarmoq devori qoidasi baholanmasidan oldin ulanishni to’xtatishi mumkin, tarmoq devori qoidasi esa kashfiyot olib tashlagan oxirgi nuqtani qayta tiklay olmaydi. Ikki qatlam turli savollarga javob beradi va ularning ishlash tartibi kalitdir.

Bitta ulanishni to’rt bosqichda kuzatib boring: e’lon qilingan mahalliy manzil, ko’rib chiqilayotgan uzoq oxirgi nuqta, qo’l siqish va overlay trafigi. Har bir bosqichning o’z konfiguratsiyasi va o’z nosozlik belgisi bor.

Tugun e’lon qiladigan mahalliy manzildan boshlang

local_allow_list bu xostning mahalliy manzillarini mayoqlarga bildirishdan oldin filtrlaydi. Yozuvlar manzil diapazonlari bo’lishi mumkin, konfiguratsiya interfeys nomi shablonlarini ham qo’llab-quvvatlaydi. Bu xostda konteyner ko’prigi yoki hamkor oxirgi nuqtasi bo’lmasligi kerak bo’lgan qo’shimcha tunnel interfeyslari bo’lganda foydalidir.

Xost interfeyslarini ko’rib chiqing va uzoq hamkor haqiqatan qaysilariga yetib borishini so’rang. Docker ko’prigi manzili o’sha xost uchun mahalliy va boshqa tarmoqdagi hamkor uchun foydasiz. Uni e’lon qilish kashfiyotni boy beradi va hamkorni hech qachon javob bermaydigan manzilga yuborishi mumkin. Hamkor marshrutlay olmaydigan hamma narsa mayoq javobidagi shovqin.

Bu yerda tor ruxsat ro’yxati keng taqiq ro’yxatidan xavfsizroq. Agar faqat ruxsat yozuvlari bo’lsa, ko’rsatilmagan qolgan qism chiqarib tashlanadi; keyin taqiq yozuvini qo’shish standart mantiqni o’zgartiradi va alohida ko’rib chiqishni talab qiladi. Bu o’zgarish standart qiymatga ikkinchi nazarni loyiq.

So’ngra uzoq oxirgi nuqta tanlanishini kuzating

remote_allow_list qo’l siqish paytida bu xost uzoq hamkor uchun ko’rib chiqadigan manzillarni filtrlaydi. Bu pastki qatlam manziliga taalluqli, hamkor tunnel ko’tarilgach ishlatadigan overlay manziliga emas.

Xususiy diapazon umumiy ofis tarmog’ida to’liq foydali bo’lishi mumkin va ikki xost ham 10.0.0.0/8 ishlatadigan bog’lanmagan tarmoqlarda bo’lsa, ma’nosiz bo’ladi. Filtr marshrutlanadigan yo’lni afzal ko’rish va tasodifni e’tiborsiz qoldirish imkonini beradi.

Hamkor ulana olmasa, sinab ko’rilayotgan manzilni unga mos keladigan qoida bilan solishtiring. Qo’l siqish jurnallarini yoqing va tanlangan uzoq manzilni o’qing; jurnal satri filtrlashdan o’tgan oxirgi nuqtani nomlaydi va bu hamkor egalik qiladigan manzillar ro’yxatidan foydaliroq.

E’lon qiluvchi tomondagi interfeys nomi filtri oxirgi nuqtani qabul qiluvchi tomon uni ko’rmasidan oldin olib tashlashi mumkin. Faqat bir yo’nalish muvaffaqiyatsiz bo’lsa, ikkala tugunni tekshiring.

Qo’l siqishdan keyin overlay kirish qoidalari amal qiladi

Nebula tarmoq devori qoidalari overlay ichida, tunnel o’rnatilgach ishlaydi. Ular xostlar, guruhlar, portlar va protokollarni moslashtiradi va paket mahalliy xostga kirishi yoki undan chiqishi mumkinligini hal qiladi. Ular pastki qatlamda oxirgi nuqtani tanlamaydi.

Bu ajratish keng tarqalgan noto’g’ri tashxisni tushuntiradi. Operator port uchun tarmoq devori qoidasini qo’shadi va baribir ulana olmaydi, chunki mayoq filtri yagona yetib boradigan oxirgi nuqtani olib tashlagan. Boshqa operator manzil filtrini ochadi va baribir xizmatga yetib bormaydi, chunki overlay tarmoq devori portni rad etadi.

Nosozlikni to’g’ri qatlamda o’qing. Hech qachon tugamaydigan qo’l siqish kashfiyotga, oxirgi nuqtalarni filtrlashga yoki tarmoq yo’liga ishora qiladi. Tugallangan qo’l siqishdan keyin xizmat ulanishi rad etilsa yoki tashlansa, bu overlay tarmoq devoriga yoki ilovaga ishora qiladi.

Ruxsat va taqiqni aralashtirganda standart qiymatni o’qing

Mayoq konfiguratsiyasi faqat-ruxsat, faqat-taqiq va aralash ro’yxatlarni qo’llab-quvvatlaydi, ko’rsatilmagan qolgan qism uchun standart qiymat bu shakllar orasida farq qiladi. Aralash ro’yxat manzil oilasi uchun aniq standartni talab qiladi; qolgan qism oldingi konfiguratsiya kabi ishlaydi deb o’ylash ishlayotgan oxirgi nuqtaning jimgina yo’qolish yo’lidir.

lighthouse:
  local_allow_list:
    interfaces:
      docker0: false
  remote_allow_list:
    192.168.0.0/16: true
    default: false

Standartni qoidaning qismi deb biling, shablon matni emas. Agar oila standarti taqiq bo’lsa, ro’yxatda yo’q har bir manzil chiqarib tashlanadi, konfiguratsiya yozilgandan keyin qo’shilgan yangi ofis diapazoni ham.

Qaysi manzillar yetib borish uchun mo’ljallanganini yozib oling va ikki tomondan sinang. Bir hamkor juftligi uchun ishlaydigan filtr, yagona umumiy yo’li ro’yxat chiqarib tashlagan manzildan foydalanadigan boshqa juftlik uchun muvaffaqiyatsiz bo’lishi mumkin.

To’g’ridan-to’g’ri oxirgi nuqta yetib bo’lmasa, relaydan foydalaning

Har bir nomzod oxirgi nuqta filtrlangan yoki yetib bo’lmas bo’lsa, javob siz ishonmaydigan manzillarni qayta qabul qiladigan kengroq ruxsat ro’yxati emas. To’g’ridan-to’g’ri ulanish amalga oshirilmasa, Nebula relay konfiguratsiyasi muqobil hamkor yo’lini taqdim etadi.

Relay transport va kashfiyotni hal qiladi, avtorizatsiyani emas, va u tarmoq devorini kengaytirmaydi. Overlay tarmoq devori qaysi xizmatlardan foydalanish mumkinligini hali ham belgilaydi, relay esa mayoq filtrlashni kirishni boshqarish mexanizmiga aylantirmaydi.

To’g’ridan-to’g’ri oxirgi nuqtalarni o’chirib, relay yo’lini sinang va mo’ljallangan xizmat hali ham ishlashini, mo’ljallanmagani esa ishlamasligini tasdiqlang. O’sha bitta sinov transport tuzatishini siyosat o’zgarishidan ajratadi va ikki qatlamni halol saqlaydi.