🥇Powered by ZeroTier. Gyakorlati útmutató virtuális hálózatok építéséhez. 1. rész

Folytatva a ZeroTier történetét, az elméletből, amely a „Intelligens Ethernet kapcsoló a Föld bolygón”, áttérek a gyakorlatra, amelyben:

Hozzunk létre és állítsuk be a magánhálózati vezérlőt
Hozzunk létre virtuális hálózatot
Állítsuk be és csatlakoztassuk hozzá a csomópontokat
Ellenőrizzük a hálózati kapcsolatot közöttük
Zárjuk le a hálózati vezérlő GUI-jának elérését kívülről

Hálózati vezérlő

Ahogyan már korábban említettem, virtuális hálózatok létrehozásához, azok kezeléséhez, valamint a csomópontok csatlakoztatásához szükség van egy hálózati vezérlőre, amelynek grafikus felülete (GUI) két formában létezik:

ZeroTier GUI lehetőségek

Az egyik a ZeroTier fejlesztőjétől, amely nyilvános felhőmegoldásként érhető el SaaS modell keretein belül, négy előfizetési csomaggal, beleértve az ingyenest is, amely azonban korlátozott a kezelhető eszközök számára és a támogatás szintjére
A másik - független fejlesztőtől, valamivel egyszerűbb funkciókkal, de privát open source megoldásként érhető el, helyben vagy felhőalapú erőforrásokon való használatra.

A gyakorlatomban mindkettőt használtam és végül mégis a második mellett döntöttem. Ennek oka a fejlesztő figyelmeztetése volt.

„A hálózati vezérlők tanúsítványkezelő központként szolgálnak a ZeroTier virtuális hálózatokhoz. A vezérlő titkos kulcsait tartalmazó fájlokat gondosan védeni és biztonságosan archiválni kell. Ezek kompromittálása lehetővé teszi a jogosulatlan támadók számára csaló konfigurációk létrehozását, míg elvesztésük a hálózat irányításának és kezelésének képességét veszélyezteti, gyakorlatilag használhatatlanná téve azt.”

→ Dokumentációs hivatkozás

Valamint, a saját IT-paranoia jelei 🙂

Még ha a CheburNet érkezik is - hozzáférésem kell maradjon a hálózati vezérlőmhöz;
A hálózati vezérlő használatára csak nekem kell jogot adnom. Szükség esetén biztosítva a hozzáférést megbízható személyeknek;
Lehetőséget kell adni a hálózati vezérlőhöz való külső hozzáférés korlátozására.

Nem látom különösen értelmét annak, hogy részletesen foglalkozzak azzal, hogyan lehet a hálózati vezérlőt és annak GUI-ját on-premise fizikai vagy virtuális erőforrásokon telepíteni. Ennek három oka van:

a karakterek száma több lesz, mint amit terveztem
erről már beszéltem a GitHubon fejlesztő GUI
a cikk témája más

Ezért, választva a kisebb ellenállás útját, egy olyan hálózati vezérlőt fogok használni a történetben, amely GUI alapú VDS, amelyet sablonból készült, kedves kollégáim a ProHostertől fejlesztettek.

Kezdeti beállítás

A megadott sablonból való létrehozás után a felhasználó a böngészőn keresztül érheti el a vezérlő Web-GUI-ját a következő címen: httрs://:3443 a szerver Alapértelmezés szerint

már tartalmaz egy előre létrehozott önaláírt TLS/SSL tanúsítványt. Ennyi nekem elegendő, mivel zárva tartom a külső hozzáférést. Azoknak, akik más típusú tanúsítványokat szeretnének használni, van szerver a GitHubon fejlesztő GUI. az új frissítések. Az első belépéskor a felhasználót

az alapértelmezett felhasználónévvel és jelszóval — Bejelentkezés Felajánlja, hogy módosítsa az alapértelmezett jelszót egyedi jelszóra. admin és password:

Én kicsit másképp járok el — nem módosítom a meglévő felhasználó jelszavát, hanem létrehozok egy újat —

Felhasználó létrehozása Megadom az új felhasználó nevét —.

Megadom az új jelszót — Felhasználónév:
Adja meg az új jelszót Megerősítem az új jelszót —:
Adja meg újra a jelszót A beírt karakterek kis- és nagybetű érzékenyek — legyen óvatos!:

Jelszóváltás következő belépéskor megerősítő jelölőnégyzet —

Jelszó megváltoztatása a következő bejelentkezéskor: nem jelölöm be. Az adatbevitel megerősítéséhez rákattintok

Jelszó beállítása Ezután: újra bejelentkezem —:

Kijelentkezés , már az új felhasználó adataival: / BejelentkezésEzután a Felhasználók fülre lépek —

és törlöm a felhasználót Felhasználók , rákattintva a nevét balra kinéző szemétkosár ikonra. adminA felhasználó jelszavát később meg lehet változtatni, ha rákattint a nevére vagy a jelszó beállítására.

Virtuális hálózat létrehozása

A virtuális hálózat létrehozásához a felhasználónak a

Hálózat hozzáadása főfülre kell lépnie. Ezt aFelhasználó oldalon lehet végrehajtani Fő — a Web-GUI főoldalán, ahol megjelenik a ZeroTier címe ennek a hálózati vezérlőnek, és van egy hivatkozás a hálózatok listájának oldalára, amelyen keresztül létrehozták. Az oldalon a felhasználó megadja az újonnan létrehozott hálózat nevét.

Az alkalmazott adatokkal — főfülre kell lépnie. Ezt a Hálózat létrehozása

a felhasználó egy olyan oldalra kerül, amely a hálózatok listáját tartalmazza, ahol látható: Hálózat neve — a hálózat neve hivatkozásként, amelyre kattintva meg tudja változtatni

Hálózatazonosító — a hálózat azonosítója
részletek — a hálózat részletes paramétereinek oldalára mutató hivatkozás
egyszerű beállítás — amellyel a hálózat egyszerűen beállítható
a felhasználók számára. — link to the page for easy configuration
members — link to the node management page

To continue configuring, proceed to the link a felhasználók számára.. On the opened page, the user sets the range of IPv4 addresses for the created network. This can be done automatically by clicking the button Generate network address or manually by entering the network mask into the corresponding field CIDR.

Upon confirming the successful entry of data, you must return to the network list page using the Back button. At this point, the main network configuration can be considered complete.

Connecting network nodes

First, on the node that the user wishes to connect to the network, it is necessary to install the ZeroTier One service.What is ZeroTier One?ZeroTier One — a service that runs on laptops, desktops, servers, virtual machines, and containers, providing connections to a virtual network through a virtual network port, similar to a VPN client. After installation and running the service, you can connect to virtual networks using their 16-digit addresses. Each network appears as a virtual network port in the system, behaving like a regular Ethernet port.
Links to distributions and installation commands can be found on the manufacturer's page. The installed service can be managed through the command line terminal (CLI) with admin/root rights. On Windows/MacOS also via a graphical interface. On Android/iOS only via GUI.
Checking the success of the service installation:CLI:
```
zerotier-cli status
```
Eredmény:
200 info ebf416fac1 1.4.6 ONLINE
GUI:
The very fact of the application working and the presence of a line with Node ID containing the node's address.
Connecting a node to the network:CLI:
```
zerotier-cli join
```
Eredmény:
200 join OK
GUI:
Az about:support oldalra by right-clicking the icon ZeroTier One in the system tray and selecting the item — Join Network.

MacOS: Launch the application ZeroTier One from the bar menu, if it is not already running. Click on the icon ⏁ and select Join Network.
Android/iOS: + (plus image) in the application

In the field that appears, enter the network controller specified in the GUI részletek, and click Join / Add Network.
Assigning an IP address to the node
Now return to the network controller and on the networks list page follow the link members. If you see an image similar to this on the screen, it means your network controller has received a confirmation request to connect to the network from the connecting node.
On this page, leave everything as is for now and follow the link IP cím hozzárendelés átmegyünk az IP-cím célpont oldalára:
A cím hozzárendelése után, a gomb megnyomásával Vissza visszatérünk a csatlakoztatott csomópontok listájának oldalára, és megadjuk a nevét — Felhasználónév és bepipáljuk a jelölőnégyzetet a csomópont hálózati engedélyezéséhez — Engedélyezve. Egyébként ez a jelölőnégyzet nagyon hasznos dolog a csomópont hálózatról való le- és bekapcsolására a jövőben.
A módosításokat a gomb segítségével mentjük Frissítés.
A csomópont hálózathoz való csatlakozásának állapotellenőrzése:
Az állapot ellenőrzéséhez a csomóponton a következőt kell végrehajtanunk:
CLI:
```
zerotier-cli listnetworks
```
Eredmény:
200 listnetworks 200 listnetworks 2da06088d9f863be My_1st_VLAN be:88:0c:cf:72:a1 OK PRIVATE ethernet_32774 10.10.10.2/24
GUI:
A hálózat állapotának OK-nak kell lennie
A többi csomópont csatlakoztatásához ismételjük meg az 1-5 műveleteket mindegyik esetében.

A csomópontok közötti hálózati kapcsolhatóság ellenőrzése

Ezt a parancs végrehajtásával végzem ping a hálózathoz csatlakoztatott eszközön, amelyet jelenleg vezérlek.

A Web-GUI vezérlő képernyőképén három csatlakoztatott csomópont látható:

ZTNCUI — 10.10.10.1 — az én GUI-val rendelkező hálózati vezérlőm — VDS az egyik ProHoster adatközpontban. Általános használatra nem szükséges a hálózatba csatlakoztatni, de megtettem, mivel szeretném bezárni a webes interfészt a külső hozzáférés elől. Erről később mesélek.
MyComp — 10.10.10.2 — az én munkahelyi számítógépem — fizikai PC
Backup — 10.10.10.3 — VDS egy másik adatközpontban.

Ezért az én munkahelyi számítógépemről ellenőrzöm a többi csomópont elérhetőségét a következő parancsokkal:

ping 10.10.10.1

Pingelés 10.10.10.1 32 bájt adatátvitellel: Válasz: 10.10.10.1: bájt=32 idő=14ms TTL=64 Válasz: 10.10.10.1: bájt=32 idő=4ms TTL=64 Válasz: 10.10.10.1: bájt=32 idő=7ms TTL=64 Válasz: 10.10.10.1: bájt=32 idő=2ms TTL=64

Ping statisztika 10.10.10.1-hez:
Csomagok: Küldve = 4, Kapott = 4, Elveszett = 0 (0% veszteség),
Megközelítő kerek idő (ms):
Minimum = 2ms, Maximum = 14ms, Átlag = 6ms

ping 10.10.10.3

Pinging 10.10.10.3 32 bájt adatot küldve: Válasz a 10.10.10.3-tól: bytes=32 time=15ms TTL=64 Válasz a 10.10.10.3-tól: bytes=32 time=4ms TTL=64 Válasz a 10.10.10.3-tól: bytes=32 time=8ms TTL=64 Válasz a 10.10.10.3-tól: bytes=32 time=4ms TTL=64

Ping statisztika 10.10.10.3-hoz:
Csomagok: Küldve = 4, Kapott = 4, Elveszett = 0 (0% veszteség),
Megközelítő kerek idő (ms):
Minimum = 4ms, Maximum = 15ms, Átlag = 7ms

A felhasználó jogában áll más eszközöket használni a csomópontok elérhetőségének ellenőrzésére, akár az operációs rendszerbe ágyazottakat, akár olyanokat, mint az NMAP, Advanced IP Scanner stb.

Bezárjuk a hálózati vezérlő GUI-jának hozzáférését a külső felhasználók elől.

Egyébként a valószínűséget, hogy jogosulatlan hozzáférést kapjak a VDS-hez, amelyen a hálózati vezérlőm található, a ProHoster személyes fiókomban elérhető tűzfal eszközeivel csökkenthetem. Ez egy teljesen más cikk témája. Ezért itt megmutatom, hogyan biztosíthatom a vezérlő GUI-jához való hozzáférést csak abban a hálózatban, amelyet ebben a cikkben hoztam létre.

Ehhez SSH-val kell csatlakozni a vezérlőnek helyet adó VDS-hez, és meg kell nyitni a konfigurációs fájlt a következő paranccsal:

nano /opt/key-networks/ztncui/.env

A megnyíló fájlban, a «HTTPS_PORT=3443» sor után, amely a GUI nyitóportját tartalmazza, egy új sort kell hozzáadni azzal az címmel, ahol a GUI elérhető lesz – az én esetemben ez HTTPS_HOST=10.10.10.1.

Ezután elmentem a fájlt

Ctrl+C Y Enter

és kiadom a parancsot:

systemctl restart ztncui

És kész, most a hálózati vezérlőm GUI-ja csak a 10.10.10.0.24 hálózati csomópontok számára elérhető.

Összegzésként

Ezzel az első részét szeretném befejezni a ZeroTier alapú virtuális hálózatok létrehozásáról szóló gyakorlati útmutatónak. Várom a visszajelzéseiket.

Míg várom a következő rész közzétételét, amiben arról mesélek, hogyan kapcsolhatom össze a virtuális hálózatot a fizikálissal, hogyan szervezhetem meg a 'road warrior' módot és még sok mást, javaslom, hogy próbáljanak ki egy saját virtuális hálózatot létrehozni egy privát hálózati vezérlő segítségével, GUI-val, egy piactérről származó VDS alapján a weboldalon ProHoster. Ráadásul minden új ügyfél számára ingyenes próbaidőszak áll rendelkezésre – 3 nap!

P.S. Igen! Majdnem elfelejtettem! A csomópont eltávolítása a hálózatból a csomópont CLI-jében kiadott paranccsal lehetséges.