🥇Powered by ZeroTier. Praktiline juhend virtuaalsete võrkude ehitamiseks. Osa 1

Jätkates juttu ZeroTier'ist, teooriast, mis on esitatud artiklis „Intelligentne Ethernet lüliti Maa planeedile”, liigun praktika juurde, kus:

Loome ja seadistame privaatse võrgu kontrolleri
Loome virtuaalse võrgu
Seadistame ja ühendame sõlmed
Kontrollime nende vahelise võrguühenduse
Piirame juurdepääsu võrgu kontrolleri GUI-le väljastpoolt

Võrgu kontroller

Nagu eelnevalt mainitud, et luua virtuaalseid võrke, hallata neid ning ühendada sõlmi, on kasutajal vajalik võrgu kontroller, millel on graafiline kasutajaliides (GUI), mis esineb kahes vormis:

ZeroTier GUI variandid

Üks on ZeroTier'i arendajatelt, mis on saadaval avaliku pilvelahendusena, mis pakub neli tellimisplaani, sealhulgas tasuta, kuid piiratud haldatud seadmete arvu ja toetuse taseme poolest
Teine — sõltumatult arendajalt, funktsionaalselt veidi lihtsustatud, kuid privaatse avatud lähtekoodiga lahendusena, et kasutada seda kohapeal või pilveressurssides.

Oma praktikas olen kasutanud mõlemaid ja lõpuks otsustasin ikkagi teise kasuks. Selle põhjuseks olid arendaja hoiakud.

„Võrgukontrollerid toimivad ZeroTieri virtuaalsete võrkude sertifitseerimiskeskustena. Failid, mis sisaldavad kontrolleri salajasi võtmeid, tuleks hoolikalt kaitsta ja usaldusväärselt arhiveerida. Nende kompromiteerimine võimaldab volitamata ründajatel luua petturlikke võrgu konfiguratsioone, samas kui nende kadumine toob endaga kaasa võimetuse võrku kontrollida ja hallata, muutes selle tegelikult kasutuskõlbmatuks.”

→ Link dokumentatsioonile

Ja ka, omaduse IBS-paranoia tunnused 🙂

Isegi kui tuleb Chebur net, peab mul olema juurdepääs oma võrgukontrollerile;
Võrgukontrollerit peaks kasutama ainult mina. Vajadusel, pakkudes juurdepääsu oma usaldusväärsetele isikutele;
Peab olema võimalus piirata juurdepääsu võrgukontrollerile välistest allikatest.

Miks ma peaksin peatuma, et kirjeldada, kuidas paigaldada võrgu kontrollerit ja selle GUI-d on kohapeal füüsilistel või virtuaalsetel ressurssidel, ei näe ma erilist mõtet. Sellel on kolm põhjust:

tähestikku tuleb rohkem kui planeeritud
sellest on juba räägitud GitHubis GUI arendaja poolt
artikli teema on muu

Seetõttu, valides väiksema vastupanu tee, kasutan selles jutustuses võrgu kontrollerit koos GUI-ga, mis põhineb VDS, loodud mallist, mille on lahkelt välja töötanud minu kolleegid ProHosterist.

Algse seadistamise

Pärast loomist serverile antud mallist, pääseb kasutaja kontrolleri Web-GUI juurde brauseri kaudu, minnes aadressile httрs://:3443

Vaikimisi server sisaldab juba eelnevalt loodud enesetalitatavat TLS/SSL sertifikaati. Minu jaoks on seda piisavalt, kuna piiran sellele juurdepääsu väljastpoolt. Nende jaoks, kes soovivad kasutada muid sertifikaaditüüpe, on paigaldusjuhend GitHubis GUI arendaja poolt.

Kasutaja esmakordsel sisenemisel süsteemi Logi sisse vaikimisi sisselogimisnime ja parooliga — admin ja password:

Pakub võimalust vahetada vaikimisi parooli isikupärastatud vastu

Ma lähen veidi teisiti — ei muuda olemasoleva kasutaja parooli, vaid loon uue — Loo kasutaja.

Määran uue kasutaja nime — Kasutajanimi:
Määran uue parooli — Sisestage uus parool:
Kinnitan uue parooli — Sisestage parool uuesti:

Sisestatud sümbolid on suuruse suhtes tundlikud — olge ettevaatlikud!

Parooli vahetamise kinnituskarbik sisselogimise järgsel korral — Muuda parooli järgmisel sisselogimisel: ei märgi.

Sisestatud andmete kinnitamiseks vajutan Sea parool:

Hiljem: login välja — Logi välja / Logi sisse, juba uue kasutaja andmetega:

Edasi liigun kasutajad vahekaardile — Kasutajad ja kustutan kasutaja admin, klikkides prügikasti ikoonile, mis asub tema nime vasakul poolel.

Edaspidi saab kasutaja parooli muuta, klõpsates kas tema nimel või 'set password'.

Virtuaalse võrgu loomine

Virtuaalse võrgu loomiseks peab kasutaja minema vahekaardile Lisa võrk. Punktist Kasutaja saab seda teha lehe kaudu Avaleht — Web-GUI peamine leht, kus kuvatakse ZeroTier aadress selle võrgu kontrolleri jaoks ning on olemas link loetelu lehele, mille kaudu võrke on loodud.

Lehe peal Lisa võrk kasutaja määrab uuesti loodud võrgu nime.

Sisestatud andmete kasutamisel — Loo võrk kasutaja suunatakse võrkude loendi lehele, kus on näidatud:

Võrgu nimi — võrgu nimi linkina, millele klikkides saab selle muuta
Võrgu ID — võrgu identifikaator
detail — link lehele võrgu üksikasjalike parameetritega
lihtne seadistus — link lehele lihtsaks seadistamiseks
liikmed — link lehele sõlmede haldamiseks

Edasi seadistamiseks liikuge lingile lihtne seadistus. Avatud lehel määrab kasutaja IPv4 vahemiku — aadresse loodavalevõrgule. Seda saab teha automaatselt, vajutades nuppu Generaadi võrgu aadress või käsitsi, sisestades vastavasse välja võrgu maski CIDR.

Eduka andmesisestuse kinnitamisel on soovitatav naasta võrkude loendi lehele nupu Tagasi abil. Sellega saab võrgu põhiseadistuse lõpetatuks pidada.

Võrgu sõlmede ühendamine

Käivitamiseks tuleb kasutaja valitud sõlme, mille ta soovib võrku ühendada, installida teenus ZeroTier One.Mis on ZeroTier One?ZeroTier One — teenindus, mis töötab sülearvutites, lauaarvutites, serverites, virtuaalmasinates ja konteinerites, mis tagab ühendused virtuaalsesse võrku läbi virtuaalse võrgupordi, sarnaselt VPN-kliendiga. Pärast teenuse installimist ja käivitamist on võimalik virtuaalsetesse võrkudesse ühenduda nende 16-kohaliste aadresside abil. Iga võrk näeb välja nagu süsteemis virtuaalne võrgupord, mis käitub nagu tavaline Etherneti port.
Jagatud ja installimise käsud leiate tootja lehelt. Installitud teenuse haldamine on võimalik läbi administraatori/ruti käsurea terminali (CLI). Windows/MacOS süsteemides ka graafilise kasutajaliidese kaudu. Android/iOS seadmetes ainult GUI kaudu.
Teenuse edukuse kontrollimine:CLI:
```
zerotier-cli status
```
Tulemus:
200 info ebf416fac1 1.4.6 ONLINE
GUI:
Rakenduse töö fakt ja Node ID olemasolu, millel on sõlm aadress.
Sõlme ühendamine võrku:CLI:
```
zerotier-cli join
```
Tulemus:
200 join OK
GUI:
Windows: parema hiirekliki tegemine ikoonil ZeroTier One süsteemi tray's ja valik — Join Network.

MacOS: Käivitage rakendus ZeroTier One menüü baaris, kui see pole veel käivitunud. Klõpsake ikoonil ⏁ ja valige Join Network.
Android/iOS: + (plussikoon) rakenduses

Ilma välja, sisestage GUI võrgukontrolleris näidatud Võrgu ID, ja klõpsate Liitu / Lisa Võrk.
IP-aadressi määramine sõlmele
Nüüd naaseme võrgukontrollerisse ja loendilehelt valime lingi liikmed. Kui ekraanil on pilt, mis on sarnane sellele — tähendab, et teie võrgukontroller sai ühenduse loomise kinnitamise päringu ühendatud sõlmelt.
Sellel lehel jätame seni kõik nii nagu on ja minema lingile IP määramine liigume IP-aadressi määramise lehele:
Pärast aadressi määramist klikime nupul Tagasi naaseme ühendatud sõlmede loendi lehele ja anname nime — Liikme nimi ja märkime ruudu sõlme volitamiseks võrgus — Volitatud. Üheksas, see ruut on väga mugav asi sõlme ühendamiseks või katkestamiseks võrgus hiljem.
Salvesta muudatused nupuga Käivita.
Kontrollige sõlme ühenduse staatust võrgus:
Ühenduse staatuse kontrollimiseks sõlmel teeme järgmist:
CLI:
```
zerotier-cli listnetworks
```
Tulemus:
200 listnetworks 200 listnetworks 2da06088d9f863be My_1st_VLAN be:88:0c:cf:72:a1 OK PRIVATE ethernet_32774 10.10.10.2/24
GUI:
Võrgu staatus peab olema OK
Ülejäänud sõlmede ühendamiseks kordame samme 1-5 igaühe jaoks.

Sõlmede võrguühenduse kontrollimine

Teen seda, sooritades käsu ping ühendatud seadmel, millega ma hetkel töötan.

Web-GUI kontrolleri ekraanipildilt võib näha kolme võrku ühendatud sõlme:

ZTNCUI — 10.10.10.1 — minu võrgu kontroller GUI-ga — VDS ühes ProHosteri andmekeskuses. Tavalise töö jaoks pole selle lisamine võrku vajalik, kuid tegin seda, sest soovin sulgeda juurdepääsu veebiliidesele väljastpoolt. Sellest räägin hiljem.
MyComp — 10.10.10.2 — minu tööarvuti — füüsiline PC
Backup — 10.10.10.3 — VDS teises andmekeskuses.

Seetõttu kontrollin oma tööarvutist teiste sõlmede ligipääsetavust käskudega:

ping 10.10.10.1

Pinging 10.10.10.1 32 baiti andmete saamiseks: Vastus 10.10.10.1: bait=32 aeg=14ms TTL=64 Vastus 10.10.10.1: bait=32 aeg=4ms TTL=64 Vastus 10.10.10.1: bait=32 aeg=7ms TTL=64 Vastus 10.10.10.1: bait=32 aeg=2ms TTL=64

Pingistatistika 10.10.10.1 jaoks:
Pakettide arv: Saadetud = 4, Vastuvõetud = 4, Kaotatud = 0 (0% kaotus),
Ligikaudsed ümmargused reisiajad millisekundites:
Minimaalne = 2ms, Maksimaalne = 14ms, Keskmine = 6ms

ping 10.10.10.3

Pinging 10.10.10.3 32 baitse andmete saatmisega: Vastus aadressilt 10.10.10.3: baitse=32 aeg=15ms TTL=64 Vastus aadressilt 10.10.10.3: baitse=32 aeg=4ms TTL=64 Vastus aadressilt 10.10.10.3: baitse=32 aeg=8ms TTL=64 Vastus aadressilt 10.10.10.3: baitse=32 aeg=4ms TTL=64

Pingistatistika 10.10.10.3 jaoks:
Pakettide arv: Saadetud = 4, Vastuvõetud = 4, Kaotatud = 0 (0% kaotus),
Ligikaudsed ümmargused reisiajad millisekundites:
Minimaalne = 4ms, Maksimaalne = 15ms, Keskmine = 7ms

Kasutajal on õigus kasutada muid võrgu sõlmede ligipääsetavuse kontrollimise tööriistu, sealhulgas operatsioonisüsteemis sisalduvaid või selliseid nagu NMAP, Advanced IP Scanner jne.

Peidame juurdepääsu võrgu kontrolleri GUI-le väljastpoolt.

Üldiselt saan ma vähendada volitamata juurdepääsu tõenäosust VDS-ile, millel asub minu võrgukontroller, kasutades ProHosteri iseteeninduskeskkonna tulemüürifunktsiooni. See teema väärib pigem eraldi artiklit. Seetõttu näitan ma siin, kuidas tagada juurdepääs kontrolleri GUI-le ainult loodu võrgu kaudu.

Selleks tuleb SSH kaudu ühenduda VDS-iga, millel kontroller asub, ja avada konfiguratsioonifail järgmise käsuga:

nano /opt/key-networks/ztncui/.env

Avatud failis tuleb pärast rida „HTTPS_PORT=3443”, mis sisaldab aadressi, mille kaudu GUI avaneb, lisada lisarida aadressiga, mille kaudu GUI avatakse — minu puhul on see HTTPS_HOST=10.10.10.1.

Seejärel salvestan faili

Ctrl+C Y Enter

ja täidan käsu:

systemctl restart ztncui

Ja kõik, nüüd on minu võrgukontrolleri GUI saadaval ainult võrgu 10.10.10.0/24 sõlmede jaoks.

Kokkuvõtte asemel

Sellega lõpetan esimese osa praktilisest juhendist virtuaalsete võrkude loomise kohta ZeroTieri põhjal. Ootan teie kommentaare.

Kuna aega ootame järgmise osa avaldamist, kus räägin, kuidas ühendada virtuaalvõrk füüsilisega, korraldada «road warrior» režiim ja veel mõnest asjast, soovitan teil proovida korraldada oma virtuaalvõrk privaatse võrgu kontrolleri abil, millel on GUI ja mis põhineb VDS-l turul veebilehel ProHoster. Eriti kuna kõikidele uutele klientidele kehtib tasuta prooviperiood – 3 päeva!

P.S. Jah! Peaaegu unustasin! Võrgust nodi eemaldamiseks võib kasutada selle nodi CLI käsku.