🥇Powered by ZeroTier. Praktischer Leitfaden zur Erstellung virtueller Netzwerke. Teil 1

In der Fortsetzung der Erzählung über ZeroTier, von der in dem Artikel "Intelligenter Ethernet-Switch für den Planeten Erde" beschriebenen Theorie, komme ich zur Praxis, in der:

Wir erstellen und konfigurieren einen privaten Netzwerkcontroller
Wir erstellen ein virtuelles Netzwerk
Wir konfigurieren und verbinden Knoten damit
Wir überprüfen die Netzwerkverbindung zwischen ihnen
Wir schließen den Zugriff auf das GUI des Netzwerkcontrollers von außen aus

Netzwerkcontroller

Wie bereits zuvor erwähnt, benötigt der Benutzer zum Erstellen virtueller Netzwerke, zur Verwaltung dieser sowie zur Verbindung von Knoten einen Netzwerkcontroller, dessen grafische Benutzeroberfläche (GUI) in zwei Varianten existiert:

Varianten von ZeroTier GUI

Die erste stammt vom Entwickler von ZeroTier und ist als öffentliches Cloud-Lösung erhältlich, die im SaaS-Modell angeboten wird, mit vier Abonnementplänen, einschließlich eines kostenlosen, aber in der Anzahl der verwalteten Geräte und des Supportniveaus eingeschränkten Plans.
Die zweite ist von einem unabhängigen Entwickler, die funktional etwas einfacher ist, jedoch als privates Open-Source-Lösung für den Einsatz vor Ort oder in Cloud-Ressourcen verfügbar ist.

In meiner Praxis habe ich beide genutzt und mich letztendlich für die zweite entschieden. Der Grund dafür waren die Warnungen des Entwicklers.

„Netzwerkcontroller dienen als Zertifizierungszentren für virtuelle ZeroTier-Netzwerke. Dateien, die die geheimen Schlüssel des Controllers enthalten, müssen sorgfältig geschützt und sicher archiviert werden. Ihre Kompromittierung ermöglicht es unbefugten Angreifern, betrügerische Netzwerk Konfigurationen zu erstellen, während der Verlust zu einem Verlust der Fähigkeit führt, das Netzwerk zu kontrollieren und zu verwalten, was es faktisch unbrauchbar macht.“

→ Link zur Dokumentation

Und auch Anzeichen eigener IT-Paranoia 🙂

Selbst wenn Cheburlnet kommt – ich muss Zugang zu meinem Netzwerkcontroller haben;
Der Netzwerkcontroller sollte nur von mir verwendet werden, wobei ich bei Bedarf meinen vertrauenswürdigen Personen Zugang gewähren kann;
Es muss die Möglichkeit bestehen, den Zugriff auf den Netzwerkcontroller von außen einzuschränken.

Es hat wenig Sinn, in diesem Artikel auf die Bereitstellung eines Netzwerkcontrollers und dessen GUI auf physischen oder virtuellen Ressourcen vor Ort einzugehen. Dafür gibt es auch drei Gründe:

Es werden mehr Buchstaben sein als geplant
darüber wurde bereits berichtet auf GitHab des GUI-Entwicklers
das Thema des Artikels geht über etwas anderes

Deshalb werde ich, indem ich den Weg des geringsten Widerstands wähle, in dieser Erzählung den Netzcontroller mit GUI auf Basis von VDS, erstellt aus der Vorlage, die freundlicherweise von meinen Kollegen bei ProHoster entwickelt wurde.

Ersteinrichtung

Nach der Erstellung kann er bei Bedarf erweitert werden. Für Server aus der angegebenen Vorlage erhält der Benutzer über den Browser Zugang zum Web-GUI des Controllers, indem er die Adresse httрs://:3443 aufruft

Standardmäßig Server bereits ein selbstsigniertes TLS/SSL-Zertifikat enthält. Für mich reicht das aus, da ich den Zugriff von außen einschränke. Für diejenigen, die andere Arten von Zertifikaten verwenden möchten, gibt es Installationsanleitung auf GitHab des GUI-Entwicklers.

Bei der ersten Anmeldung des Benutzers in das System Anmelden mit den standardmäßig festgelegten Anmeldedaten — admin und passwort:

wird angeboten, das Standardpasswort in ein benutzerdefiniertes zu ändern

Ich mache es ein wenig anders — ich ändere das Passwort des vorhandenen Benutzers nicht, sondern erstelle einen neuen — Benutzer erstellen.

Ich lege den Namen des neuen Benutzers fest — Benutzername:
Ich lege das neue Passwort fest — Neues Passwort eingeben:
Bestätige das neue Passwort — Passwort erneut eingeben:

Die eingegebenen Zeichen sind groß-/kleinschreibungsempfindlich — seien Sie vorsichtig!

Das Kontrollkästchen zur Bestätigung der Änderung des Passworts bei der nächsten Anmeldung — Ändere Passwort bei der nächsten Anmeldung: lasse ich unausgewählt.

Um die eingegebenen Daten zu bestätigen, klicke ich auf Passwort festlegen:

Danach: melde ich mich erneut an — Abmelden / Anmelden, bereits mit den Anmeldedaten des neuen Benutzers:

Dann gehe ich zum Tab Benutzer — Users und lösche den Benutzer admin, indem ich auf das Mülleimer-Icon klicke, das sich links neben seinem Namen befindet.

In Zukunft kann das Passwort des Benutzers geändert werden, indem entweder auf seinen Namen oder auf Passwort festlegen geklickt wird.

Erstellung eines virtuellen Netzwerks

Um ein virtuelles Netzwerk zu erstellen, muss der Benutzer zum Tab Netzwerk hinzufügenwechseln. Dies kann über die Seite User — die Startseite des Web-GUI, auf der die ZeroTier-Adresse dieses Netzcontrollers angezeigt wird und ein Link zur Seite mit der Liste der über ihn erstellten Netzwerke vorhanden ist. Home legt der Benutzer den Namen des neu zu erstellenden Netzwerks fest.

Auf der Seite Netzwerk hinzufügen Bei der Anwendung der eingegebenen Daten —

Netzwerk erstellen gelangt der Benutzer zur Seite mit der Liste der Netzwerke, auf der angegeben ist: Netzwerkname

— der Netzwerkname als Link, über den er geändert werden kann Netzwerk-ID
— die Netzwerkkennung detail
— Link zur Seite mit den Detailparametern des Netzwerks einfache Einrichtung
— Link zur Seite für einfache Einstellungen Mitglieder
Mitglieder — Link zur Seite zur Verwaltung der Knoten

Für die weitere Konfiguration gehen wir über den Link — Link zur Seite für einfache Einstellungen. Auf der sich öffnenden Seite gibt der Benutzer den Bereich von IPv4-Adressen für das zu erstellende Netzwerk an. Dies kann automatisch durch Klicken auf die Schaltfläche erfolgen Netzwerkadresse generieren oder manuell, indem die Netzmaske in das entsprechende Feld eingegeben wird CIDR.

Nach erfolgreicher Eingabe der Daten muss man mit der Schaltfläche Zurück auf die Seite mit der Liste der Netzwerke zurückkehren. Damit kann die grundlegende Netzwerkkonfiguration als abgeschlossen betrachtet werden.

Verbindung der Netzwerk-Knoten

Zuerst muss auf dem Knoten, den der Benutzer mit dem Netzwerk verbinden möchte, der Dienst ZeroTier One installiert werden.Was ist ZeroTier One?ZeroTier One — ein Dienst, der auf Laptops, Desktop-Computern, Servern, virtuellen Maschinen und Containern läuft und Verbindungen zu einem virtuellen Netzwerk über einen virtuellen Netzwerkport ermöglicht, ähnlich einem VPN-Client. Nach der Installation und dem Start des Dienstes kann man sich mit virtuellen Netzwerken verbinden, indem man ihre 16-stelligen Adressen verwendet. Jedes Netzwerk sieht aus wie ein virtueller Netzwerkport im System, der sich wie ein gewöhnlicher Ethernet-Port verhält.
Links zu den Distributionen sowie Installationsbefehle finden Sie auf der Herstellerseite. Der installierte Dienst kann über die Eingabeaufforderung (CLI) mit Administrator-/Root-Rechten verwaltet werden. In Windows/MacOS auch über eine grafische Benutzeroberfläche. In Android/iOS nur über die GUI.
Überprüfung des Erfolgs der Installationsdienstes:CLI:
```
zerotier-cli status
```
Ergebnis:
200 info ebf416fac1 1.4.6 ONLINE
GUI:
Der tatsächliche Betrieb der Anwendung und das Vorhandensein einer Zeile mit der Node-ID mit der Adresse des Knotens.
Verbindung des Knotens mit dem Netzwerk:CLI:
```
zerotier-cli join
```
Ergebnis:
200 join OK
GUI:
Unterstützung von AV1-Videos auf Systemen mit ARM-Prozessoren (wurde vor 5 Jahren deaktiviert, da ARM-Prozessoren zu schwach waren, um dieses Format mit ausreichender Leistung zu decodieren). mit einem Rechtsklick auf das Symbol ZeroTier One im System-Tray und Auswahl des Punkts — Netzwerk beitreten.

MacOS: Starten Sie die Anwendung ZeroTier One im Menüleiste, falls noch nicht gestartet. Klicken Sie auf das Symbol ⏁ und wählen Sie Netzwerk beitreten.
Android/iOS: + (plus Symbol) in der Anwendung

Geben Sie im angezeigten Feld die im GUI des Netzwerkcontrollers angegebene ID ein — die Netzwerkkennung, und klicken Sie auf Beitreten / Netzwerk hinzufügen.
Zuweisung einer IP-Adresse an den Knoten
Jetzt kehren wir zum Netzwerkcontroller zurück und navigieren auf der Seite mit der Liste der Netzwerke über den Link Mitglieder. Wenn Sie auf dem Bildschirm ein ähnliches Bild wie dieses sehen — bedeutet es, dass Ihr Netzwerkcontroller die Anfrage zur Bestätigung der Verbindung mit dem Netzwerk vom verbundenen Knoten erhalten hat.
Auf dieser Seite lassen wir vorläufig alles wie es ist und klicken auf den Link IP-Zuweisung wir gehen zur Zielseite des IP-Adressknotens:
Nach der Zuweisung der Adresse, auf die Schaltfläche Hinten kehren wir zur Seite mit der Liste der verbundenen Knoten zurück und geben einen Namen an — Mitgliedsname und aktivieren das Kontrollkästchen zur Autorisierung des Knotens im Netzwerk — Autorisierte. Übrigens ist dieses Kontrollkästchen ein sehr praktisches Tool zum Trennen/Vernetzen des Knotens mit dem Netzwerk in Zukunft.
Änderungen speichern mit der Schaltfläche Aktualisieren.
Überprüfung des Verbindungsstatus des Knotens im Netzwerk:
Um den Verbindungsstatus am Knoten zu überprüfen, führen wir aus:
CLI:
```
zerotier-cli listnetworks
```
Ergebnis:
200 listnetworks 200 listnetworks 2da06088d9f863be Mein_1st_VLAN be:88:0c:cf:72:a1 OK PRIVAT ethernet_32774 10.10.10.2/24
GUI:
Der Netzwerkstatus sollte OK sein
Um die anderen Knoten zu verbinden, wiederholen wir die Schritte 1-5 für jeden von ihnen.

Überprüfung der Netzwerkverbindung der Knoten

Ich mache das, indem ich den Befehl ausführe ping auf dem mit dem Netzwerk verbundenen Gerät, das ich gerade steuere.

Auf dem Screenshot des Web-GUI des Controllers sind drei zum Netzwerk verbundene Knoten zu sehen:

ZTNCUI — 10.10.10.1 — mein Netzwerkcontroller mit GUI — VDS in einem der Rechenzentren von ProHoster. Für den normalen Betrieb ist es nicht notwendig, ihn mit dem Netzwerk zu verbinden, aber ich habe es getan, da ich den Zugriff auf die Weboberfläche von außen einschränken möchte. Dazu später mehr.
MyComp — 10.10.10.2 — mein Arbeitscomputer — physischer PC
Backup — 10.10.10.3 — VDS in einem anderen Rechenzentrum.

Deshalb überprüfe ich die Verfügbarkeit der anderen Knoten von meinem Arbeitscomputer aus mit den Befehlen:

ping 10.10.10.1

Ping von 10.10.10.1 mit 32 Bytes Daten: Antwort von 10.10.10.1: Bytes=32 Zeit=14ms TTL=64 Antwort von 10.10.10.1: Bytes=32 Zeit=4ms TTL=64 Antwort von 10.10.10.1: Bytes=32 Zeit=7ms TTL=64 Antwort von 10.10.10.1: Bytes=32 Zeit=2ms TTL=64

Ping-Statistiken für 10.10.10.1:
Pakete: Gesendet = 4, Empfangen = 4, Verloren = 0 (0% Verlust),
Ungefähre Rundreisezeiten in Millisekunden:
Minimum = 2ms, Maximum = 14ms, Durchschnitt = 6ms

ping 10.10.10.3

Ping 10.10.10.3 mit 32 Bytes Daten: Antwort von 10.10.10.3: Bytes=32 Zeit=15ms TTL=64 Antwort von 10.10.10.3: Bytes=32 Zeit=4ms TTL=64 Antwort von 10.10.10.3: Bytes=32 Zeit=8ms TTL=64 Antwort von 10.10.10.3: Bytes=32 Zeit=4ms TTL=64

Ping-Statistiken für 10.10.10.3:
Pakete: Gesendet = 4, Empfangen = 4, Verloren = 0 (0% Verlust),
Ungefähre Rundreisezeiten in Millisekunden:
Minimum = 4ms, Maximum = 15ms, Durchschnitt = 7ms

Der Benutzer hat das Recht, andere Tools zur Überprüfung der Erreichbarkeit von Knoten im Netzwerk zu verwenden, sowohl solche, die in das Betriebssystem integriert sind, als auch solche wie NMAP, Advanced IP Scanner usw.

Sperren Sie den Zugriff auf die GUI des Netzwerkcontrollers von außen.

Um die Wahrscheinlichkeit eines unbefugten Zugriffs auf den VDS, auf dem sich mein Netzwerkcontroller befindet, zu verringern, kann ich die Firewall im persönlichen Bereich von ProHoster nutzen. Dieses Thema wäre eher für einen separaten Artikel geeignet. Deshalb werde ich hier zeigen, wie man den Zugriff auf die GUI des Controllers nur aus dem Netzwerk ermöglicht, das ich in diesem Artikel erstellt habe.

Dafür muss ich mich per SSH mit dem VDS verbinden, auf dem sich der Controller befindet, und die Konfigurationsdatei mit dem Befehl öffnen:

nano /opt/key-networks/ztncui/.env

In der geöffneten Datei, nach der Zeile „HTTPS_PORT=3443“, die die Adresse des Ports enthält, über den das GUI geöffnet wird, muss eine zusätzliche Zeile mit der Adresse hinzugefügt werden, über die das GUI geöffnet werden soll — in meinem Fall ist das HTTPS_HOST=10.10.10.1.

Dann speichere ich die Datei

Strg+C Y Enter

und führe den Befehl aus:

systemctl restart ztncui

Und das war's, jetzt ist das GUI meines Netzwerkcontrollers nur für Knoten im Netzwerk 10.10.10.0/24 verfügbar.

Zum Abschluss

Damit möchte ich den ersten Teil des praktischen Leitfadens zur Erstellung virtueller Netzwerke auf Basis von ZeroTier abschließen. Ich freue mich auf eure Kommentare.

Um die Zeit bis zur Veröffentlichung des nächsten Teils zu überbrücken, in dem ich erzählen werde, wie man ein virtuelles Netzwerk mit einem physischen verbindet, wie man den ‚Road Warrior‘-Modus organisiert und noch einiges mehr, lade ich euch ein, euer eigenes virtuelles Netzwerk mithilfe eines privaten Netzwerkcontrollers mit GUI, basierend auf VDS vom Marktplatz, zu erstellen. Website ProHoster. Zudem gilt für alle neuen Kunden eine kostenlose Testphase von 3 Tagen!

P.S. Ja! Ich hätte es fast vergessen! Einen Knoten aus dem Netzwerk kann man mit einem Befehl in der CLI dieses Knotens entfernen.