ZeroTier'dan LAN'ga: UFW marshrut qoidalari, port ruxsati emas

Ofis LAN'idagi printerga ZeroTier a'zosi orqali yetib borish bitta qoidadek tuyuladi, ammo aslida bu uch xil joyda uchta qaror. Overlay LAN qayerda ekanini bilishi kerak, Linux xosti paketlarni uzatishga tayyor bo'lishi kerak, LAN esa javobni qanday qaytarishni bilishi kerak. Shlyuzda port ochadigan kiruvchi qoida bularning hech biriga tegmaydi. Bu to'g'ri xostda qo'llangan noto'g'ri asbob.

Uch ish, uch egasi

Boshqariladigan marshrut ZeroTier tarmoq konfiguratsiyasiga tegishli. U a'zolarga prefiks ma'lum bir a'zo manzili orqali yetib borish mumkinligini aytadi.

Uzatish Linux yadrosiga va uning tarmoq himoyasi siyosatiga ega bo'lgan tomonga tegishli. U overlay orqali kelgan paket jismoniy interfeysdan yana chiqadimi-yo'qmi, shuni hal qiladi. Uzatmaydigan xost paketni qabul qilgandan keyin jimgina tashlab yuboradi. Yuboruvchi vaqt tugaganini ko'radi va xizmat jurnalida hech narsa ko'rinmaydi.

Qaytish yo'li LAN'ga tegishli. Uning xostlari va routeri overlay prefiksi sizning shlyuzingizning LAN manzili orqali yetib borish mumkinligini bilishi kerak, aks holda bu savol umuman tug'ilmasligi uchun nimadir trafikni o'girishi kerak.

Ularning har biri to'g'ri bo'lishi mumkin, qolganlari esa muvaffaqiyatsiz bo'lishi mumkin; shuning uchun faqat shlyuzni ping qiladigan sinov uning orqasidagi xizmat haqida hech narsani isbotlamaydi.

Boshqariladigan marshrutni a'zoga yo'naltiring

Kerakli LAN prefiksi uchun marshrutni shlyuzning overlay manzili orqali qo'shing, uning LAN manzili orqali emas. Overlay manzili boshqa a'zolar yetib boradigan manzil; LAN manzili faqat simda ma'noga ega.

Dizayn ishlashi uchun a'zolar boshqariladigan marshrutlarni qabul qilishi kerak, va ularning o'z mahalliy tarmoqlari siz e'lon qilayotgan prefiksni allaqachon ishlatmasligi kerak. Uyda 192.168.60.0/24 da turgan masofaviy noutbuk ham overlay orqali 192.168.60.0/24 ni marshrutlay olmaydi.

E'lon qilingan prefiksni vazifa ruxsat berganicha tor tuting. Afzallikka ta'sir qilish uchun kattaroq agregat e'lon qilish sizga tegishli bo'lmagan manzil maydoniga ham da'vo qilishi mumkin, va yuzaga kelgan ziddiyat ikkala tarmoqqa ulangan qurilmalarda ko'rinadi. Bu a'zoni hech qayerga olib bormaydigan yo'lni afzal ko'rishga ham majbur qilishi mumkin. Marshrutni halol tuting, qolganini siyosat qilsin.

Prefiks va a'zo manzilini tarmoq himoyasi qoidalari bilan bir xil eslatmaga yozing, chunki eng ko'p uchraydigan nosozlik noto'g'ri a'zoga ishora qiluvchi marshrutdir.

Yadroda tranzitni yoqing

Biror narsani o'zgartirishdan oldin joriy uzatish qiymatini o'qing, so'ngra sozlamani qayta ishga tushirishda yo'qoladigan bir martalik buyruq bilan emas, tizimingiz allaqachon ishlatadigan mexanizm orqali doimiy qiling.

Agar siyosat UFW ga tegishli bo'lsa, uning marshrut qoidalari manba, manzil va interfeys juftligi uchun uzatishni ifodalaydi. Ular shlyuzning o'zida xizmat ochadigan kiruvchi qoidalardan alohida:

sysctl net.ipv4.ip_forward
sudo ufw route allow in on zt3f2a1c9d out on eth0 proto tcp to 192.168.60.20 port 443
sudo ufw status verbose

Interfeys nomi o'sha xostdagi haqiqiy overlay qurilmasi bo'lib, uni ip link orqali o'qish mumkin; bu barcha o'rnatishlarda qat'iy satr emas. Agar xost sukut bo'yicha uzatsa va UFW yo'lda bo'lmasa, marshrut qoidasi e'tiborga olinmaydi va yadro sozlamalari muhim bo'ladi.

Javoblar qanday qaytishini tanlang

Manba saqlanganda LAN xizmati haqiqiy overlay manzilini ko'radi va unga javob beradi. Buning uchun LAN xostida yoki uning routerida overlay prefiksini sizning shlyuzingizga yo'naltiruvchi marshrut kerak, va bu Linux qutisidan tashqaridagi o'zgarish.

O'sha marshrutni qo'shib bo'lmaganda, cheklangan manba tarjimasi so'rovni LAN dagi shlyuzdan kelgandek ko'rsatadi. Shunda javoblar mahalliy ravishda qaytadi va LAN marshrutini o'zgartirish shart emas, ammo evaziga xizmat jurnallarida asl manba yo'qoladi.

Tarjimani overlay manbasi va aniq LAN manzili bilan cheklang. LAN interfeysidan chiqadigan hamma narsani tarjima qilish keyinchalik qoidalarni o'qigan har kimni hayratga soladigan keng variant bo'lib, u to'silishi kerak bo'lgan trafikni ham yashiradi.

Ikkala variant ham LAN dan ixtiyoriy overlay a'zolariga so'ralmagan kirish bermaydi. Agar bu kerak bo'lsa, bu o'z ko'rib chiqishiga ega alohida qoida.

Haqiqiy a'zodan sinang

Shlyuzdan emas, boshqa a'zodan ulanib, ruxsat etilgan bitta xizmatni so'rang. So'ngra yopiq qolishi kerak bo'lgan xizmatni sinab ko'ring va ikkala sinovni qayta ulangandan keyin hamda shlyuz qayta ishga tushirilgandan keyin takrorlang.

ONLINE haqida xabar beradigan a'zo yoki shlyuzning overlay manziliga muvaffaqiyatli ping marshrutni, uzatish qoidasini yoki qaytish yo'lini tasdiqlamaydi:

zerotier-cli listnetworks
ip -4 route get 192.168.60.20
sudo ufw status numbered

Ikkinchi buyruq paket LAN xostiga qaysi interfeysdan borishini, uchinchisi esa marshrut qoidasi siz o'ylagan shaklda mavjudligini ko'rsatadi. Ikkalasi ham to'g'ri ko'rinsa-yu xizmat hali ham vaqt tugashi bilan tugasa, qolgan gumondor — qaytish yo'li.