מתג Ethernet חכם עבור כדור הארץ

"אתה יכול ליצור פתרון (לפתור בעיה) בכמה דרכים, אבל השיטה היקרה ו/או הפופולרית ביותר היא לא תמיד היעילה ביותר!"

מבוא

לפני כשלוש שנים, בתהליך של פיתוח מודל מרוחק לשחזור נתונים מאסון, נתקלתי במכשול אחד שלא הבחין בו מיד – היעדר מידע על פתרונות מקוריים חדשים לווירטואליזציה ברשת במקורות קהילתיים. 

האלגוריתם של המודל שפותח תוכנן באופן הבא: 

1. משתמש מרוחק שיצר איתי קשר, שהמחשב שלו סירב פעם לאתחל, המציג את ההודעה "דיסק מערכת לא זוהה/לא פורמט", טוען אותו באמצעות USB של Life. 
2. במהלך תהליך האתחול, המערכת מתחברת אוטומטית לרשת מקומית פרטית מאובטחת, שמכילה בנוסף לעצמה את תחנת העבודה של המנהל, במקרה זה מחשב נייד וצומת NAS. 
3. ואז אני מתחבר - או כדי להחיות את מחיצות הדיסק, או כדי לחלץ נתונים משם.

בתחילה, יישמתי את המודל הזה באמצעות שרת VPN בנתב מקומי ברשת שבשליטתי, ולאחר מכן ב-VDS שכור. אבל, כפי שקורה לעתים קרובות ולפי החוק הראשון של צ'ישולם, אם יורד גשם, הרשת של ספק האינטרנט תרד, ואז מחלוקות בין גופים עסקיים יגרמו לספק השירות לאבד "אנרגיה"...

לכן החלטתי לגבש תחילה את הדרישות הבסיסיות שעל הכלי הדרוש לעמוד בהן. הראשון הוא ביזור. שנית, בהתחשב בעובדה שיש לי כמה USBs חיים כאלה, לכל אחד מהם יש רשת מבודדת נפרדת. ובכן, שלישית, חיבור מהיר לרשת של מכשירים שונים וניהול פשוט שלהם, לרבות במקרה שגם המחשב הנייד שלי ייפול קורבן לחוק שהוזכר לעיל.

בהתבסס על זה ולאחר שביליתי חודשיים וחצי במחקר מעשי של כמה אפשרויות לא מתאימות במיוחד, החלטתי, בסכנה ובסיכון שלי, לנסות כלי אחר של סטארט-אפ לא מוכר לי באותה תקופה בשם ZeroTier. מה שלא התחרטתי עליו אחר כך.

במהלך חופשות ראש השנה הללו, בניסיון להבין אם המצב עם התוכן השתנה מאז אותו רגע בלתי נשכח, ערכתי ביקורת סלקטיבית לזמינותם של מאמרים בנושא זה, תוך שימוש ב-Habr כמקור. עבור השאילתה "ZeroTier" בתוצאות החיפוש יש רק שלושה מאמרים המזכירים אותה, ולא אחד עם לפחות תיאור קצר. וזאת למרות שביניהם יש תרגום של מאמר שכתב מייסד ZeroTier, Inc. בעצמו. — אדם אירמנקו.

התוצאות היו מאכזבות והניעו אותי להתחיל לדבר על ZeroTier ביתר פירוט, ולחסוך מ"מחפשים" מודרניים את הצורך ללכת באותו המסלול בו עשיתי.

אז מה אתה?

המפתח מציב את ZeroTier כמתג Ethernet אינטליגנטי עבור כדור הארץ. 

"זהו היפרוויזר רשת מבוזר שנבנה על גבי רשת עמית לעמית גלובלית מאובטחת מבחינה קריפטוגרפית (P2P). כלי דומה למתג SDN ארגוני, שנועד לארגן רשתות וירטואליות על פני רשתות פיזיות, הן מקומיות והן גלובליות, עם יכולת לחבר כמעט כל אפליקציה או מכשיר".

זה יותר תיאור שיווקי, עכשיו על התכונות הטכנולוגיות.

▍גרעין: 

ZeroTier Network Hypervisor הוא מנוע וירטואליזציה עצמאי של רשת המחקה רשת Ethernet, בדומה ל-VXLAN, על גבי רשת עמית-לעמית (P2P) גלובלית מוצפנת.

הפרוטוקולים המשמשים ב-ZeroTier הם מקוריים, אם כי דומים במראהם ל-VXLAN ו-IPSec והם מורכבים משתי שכבות נפרדות מבחינה רעיונית, אך קשורות קשר הדוק: VL1 ו-VL2.

→ קישור לתיעוד

▍VL1 היא שכבת תחבורה בסיסית עמית לעמית (P2P), מעין "כבל וירטואלי".

"מרכז נתונים גלובלי דורש 'ארון גלובלי' של כבלים."

ברשתות קונבנציונליות, L1 (OSI Layer 1) מתייחס לכבלים בפועל או למכשירי רדיו אלחוטיים הנושאים נתונים ולשבבי התקן המשדר הפיזי המווסתים ומפרקים אותו. VL1 היא רשת עמית לעמית (P2P) שעושה את אותו הדבר, תוך שימוש בהצפנה, אימות ותעלולי רשת אחרים כדי לארגן כבלים וירטואליים לפי הצורך.

יתרה מכך, הוא עושה זאת באופן אוטומטי, במהירות וללא מעורבות של המשתמש המשיק צומת ZeroTier חדש.

כדי להשיג זאת, VL1 מאורגן בדומה למערכת שמות הדומיין. בלב הרשת נמצאת קבוצה של שרתי שורש זמינים במיוחד, שתפקידם דומה לזה של שרתי שורש DNS. נכון לעכשיו, שרתי השורש הראשיים (פלנטריים) נמצאים בשליטה של ​​המפתח - ZeroTier, Inc. ומסופקים כשירות חינם. 

עם זאת, ניתן ליצור שרתי שורש מותאמים אישית (luns) המאפשרים לך:

• להפחית את התלות בתשתית ZeroTier, Inc.; קישור לתיעוד
• להגדיל את הפרודוקטיביות על ידי מזעור עיכובים; 
• המשך לעבוד כרגיל אם החיבור לאינטרנט אבד.

בתחילה, צמתים מופעלים ללא קשרים ישירים זה לזה. 

לכל עמית ב-VL1 יש כתובת ZeroTier ייחודית של 40 סיביות (10 הקסדצימליות), שבניגוד לכתובות IP, היא מזהה מוצפן שאינו מכיל מידע ניתוב. כתובת זו מחושבת מהחלק הציבורי של צמד המפתחות הציבורי/פרטי. כתובת, מפתח ציבורי ומפתח פרטי של צומת יוצרים יחד את זהותו.

Member ID: df56c5621c  
            |
            ZeroTier address of node

לגבי ההצפנה, זו סיבה למאמר נפרד.

→ קישור לתיעוד

כדי ליצור תקשורת, עמיתים שולחים תחילה מנות "למעלה" בעץ שרתי השורש, וכשהמנות הללו עוברות ברשת, הן יוזמות יצירה אקראית של ערוצים קדימה לאורך הדרך. העץ מנסה כל הזמן "להתמוטט מעצמו" כדי לייעל את עצמו למפת המסלולים שהוא מאחסן.

המנגנון ליצירת חיבור עמית לעמית הוא כדלקמן:

1. צומת A רוצה לשלוח חבילה לצומת B, אך מכיוון שהוא לא יודע את הנתיב הישיר, הוא שולח אותה במעלה הזרם ל-Node R (ירח, שרת השורש של המשתמש).
2. אם לצומת R יש קשר ישיר עם צומת B, הוא מעביר את החבילה לשם. אחרת, הוא שולח את החבילה במעלה הזרם לפני שהוא מגיע לשורשים הפלנטריים. השורשים הפלנטריים יודעים על כל הצמתים, כך שהחבילה תגיע בסופו של דבר לצומת B אם היא מקוונת.
3. צומת R גם שולח הודעה הנקראת "מפגש" לצומת A, המכילה רמזים כיצד הוא יכול להגיע לצומת B. בינתיים, שרת השורש, המעביר את החבילה לצומת B, שולח "מפגש" המודיע לו כיצד הוא יכול להגיע לצומת A.
4. צמתים A ו-B מקבלים את הודעות המפגש שלהם ומנסים לשלוח הודעות בדיקה זה לזה בניסיון לפרוץ כל NAT או חומת אש מדינתית שנתקלתם בדרך. אם זה עובד, נוצר חיבור ישיר, והמנות כבר לא עוברות הלוך ושוב.

אם לא ניתן ליצור חיבור ישיר, התקשורת תמשיך באמצעות ממסר, וניסיונות חיבור ישיר יימשכו עד להשגת תוצאה מוצלחת. 

ל-VL1 יש גם תכונות אחרות ליצירת קישוריות ישירה, כולל גילוי עמיתים של LAN, חיזוי יציאות למעבר של IPv4 NAT סימטרי ומיפוי יציאות מפורש באמצעות uPnP ו/או NAT-PMP אם זמין ברשת ה-LAN הפיזי המקומי.

→ קישור לתיעוד

▍VL2 הוא פרוטוקול וירטואליזציה של רשת Ethernet דמוי VXLAN עם פונקציות ניהול SDN. סביבת תקשורת מוכרת עבור מערכת הפעלה ואפליקציות...

בניגוד ל-VL1, יצירת רשתות VL2 (VLANs) וחיבור צמתים אליהן, כמו גם ניהולם, דורשת השתתפות ישירה מהמשתמש. הוא יכול לעשות זאת באמצעות בקר רשת. למעשה, זהו צומת ZeroTier רגיל, שבו פונקציות הבקר נשלטות בשתי דרכים: או ישירות, על ידי שינוי קבצים, או, כפי שהמפתח ממליץ בחום, באמצעות API שפורסם. 

שיטה זו של ניהול רשתות וירטואליות ZeroTier אינה נוחה במיוחד לאדם הממוצע, ולכן ישנם מספר GUI:
 

• אחד מהמפתח ZeroTier, זמין כפתרון SaaS ענן ציבורי עם ארבע תוכניות מנוי, כולל חינם, אך מוגבל במספר המכשירים המנוהלים וברמת התמיכה
• השני הוא ממפתח עצמאי, מעט מפושט בפונקציונליות, אך זמין כפתרון קוד פתוח פרטי לשימוש מקומי או במשאבי ענן.

VL2 מיושם על גבי VL1 ומועבר על ידו. עם זאת, הוא יורש את ההצפנה והאימות של נקודת הקצה VL1, ומשתמש גם במפתחות האסימטריים שלו כדי לחתום ולאמת אישורים. VL1 מאפשר לך ליישם את VL2 מבלי לדאוג לגבי טופולוגיית הרשת הפיזית הקיימת. כלומר, בעיות בקישוריות וביעילות הניתוב הן בעיות VL1. חשוב להבין שאין קשר בין רשתות וירטואליות VL2 לנתיבי VL1. בדומה לריבוי VLAN ברשת LAN קווית, לשני צמתים החולקים מספר חברות ברשת עדיין יהיה רק ​​נתיב VL1 (כבל וירטואלי) אחד ביניהם.

כל רשת VL2 (VLAN) מזוהה על ידי כתובת רשת ZeroTier של 64 סיביות (16 הקסדצימליות), המכילה את כתובת 40 הסיביות ZeroTier של הבקר ומספר 24 סיביות המזהה את הרשת שנוצרה על ידי אותו בקר.

Network ID: 8056c2e21c123456
            |         |
            |         Network number on controller
            |
            ZeroTier address of controller

כאשר צומת מצטרף לרשת או מבקש עדכון תצורת רשת, הוא שולח הודעת בקשת תצורת רשת (דרך VL1) לבקר הרשת. לאחר מכן, הבקר משתמש בכתובת VL1 של הצומת כדי למצוא אותו ברשת ולשלוח לו את האישורים, האישורים ומידע התצורה המתאימים. מנקודת המבט של רשתות וירטואליות VL2, ניתן לחשוב על כתובות VL1 ZeroTier כמספרי יציאה על מתג וירטואלי עולמי ענק.

כל האישורים המונפקים על ידי בקרי רשת לצמתים חברים ברשת נתונה חתומים במפתח הסודי של הבקר כך שכל משתתפי הרשת יוכלו לאמת אותם. לאישורים יש חותמות זמן שנוצרו על ידי הבקר, המאפשרות השוואה יחסית ללא צורך לגשת לשעון המערכת המקומית של המארח. 

אישורים מונפקים רק לבעליהם ולאחר מכן נשלחים לעמיתים שרוצים לתקשר עם צמתים אחרים ברשת. זה מאפשר לרשת להתרחב לגדלים עצומים ללא צורך לשמור כמויות גדולות של אישורים בצמתים או ליצור קשר מתמיד עם בקר הרשת.

רשתות ZeroTier תומכות בהפצת ריבוי שידורים באמצעות מערכת פרסום/הרשמה פשוטה.

→ קישור לתיעוד

כאשר צומת מעוניין לקבל שידור ריבוי שידורים עבור קבוצת הפצה מסוימת, הוא מפרסם חברות בקבוצה זו לחברים אחרים ברשת איתם הוא מתקשר ולבקר הרשת. כאשר צומת רוצה לשלוח שידור רב-שידור, הוא ניגש בו-זמנית למטמון הפרסומים האחרונים שלו ומבקש מעת לעת פרסומים נוספים.

שידור (Ethernet ff: ff: ff: ff: ff: ff) מטופל כקבוצת ריבוי שידורים אליה נרשמים כל המשתתפים. ניתן להשבית אותו ברמת הרשת כדי לצמצם את התעבורה אם אין בו צורך. 

ZeroTier מחקה מתג Ethernet אמיתי. עובדה זו מאפשרת לנו לבצע שילוב הרשתות הווירטואליות שנוצרו עם רשתות אתרנט אחרות (LAN קווי, WiFi, backplane וירטואלי וכו') ברמת קישור הנתונים - באמצעות גשר Ethernet רגיל.

כדי לפעול כגשר, בקר הרשת חייב להגדיר מארח ככזה. סכימה זו מיושמת מטעמי אבטחה, מכיוון שמארחי רשת רגילים אינם מורשים לשלוח תעבורה ממקור אחר מלבד כתובת ה-MAC שלהם. צמתים המיועדים כגשרים משתמשים גם במצב מיוחד של אלגוריתם ריבוי השידורים, המקיים איתם אינטראקציה בצורה אגרסיבית וממוקדת יותר במהלך מנויי קבוצה ושכפול של כל תעבורת השידור ובקשות ה-ARP. 

למתג יש גם יכולת ליצור רשתות ציבוריות ואד-הוק, מנגנון QoS ועורך חוקי רשת.

▍צומת:

שכבת אפס אחת הוא שירות הפועל על מחשבים ניידים, שולחניים, שרתים, מכונות וירטואליות ומכולות המספק חיבורים לרשת וירטואלית דרך יציאת רשת וירטואלית, בדומה ללקוח VPN. 

לאחר התקנת השירות והפעלתו, תוכל להתחבר לרשתות וירטואליות באמצעות הכתובות בנות 16 הספרות שלהן. כל רשת מופיעה כיציאת רשת וירטואלית במערכת, שמתנהגת בדיוק כמו יציאת Ethernet רגילה.

ZeroTier One זמין כעת עבור מערכת ההפעלה והמערכות הבאות.

מערכת הפעלה:

• Microsoft Windows - מתקין MSI x86/x64
• MacOS - מתקין PKG
• אפל iOS - חנות אפליקציות
• אנדרואיד - חנות משחקים
• לינוקס - DEB/RPM
• FreeBSD - חבילת FreeBSD

NAS:

• Synology NAS
• QNAP NAS
• WD MyCloud NAS

Other you

• סַוָר - קובץ docker
• OpenWRT - נמל קהילתי
• הטמעת אפליקציה - SDK (libzt)

לסיכום כל האמור לעיל, אציין ש-ZeroTier הוא כלי מצוין ומהיר לשילוב המשאבים הפיזיים, הווירטואליים או הענן שלכם לרשת מקומית משותפת, עם יכולת לחלק אותו ל-VLAN והיעדר נקודת כשל אחת. .

זהו לחלק התיאורטי בפורמט המאמר הראשון על ZeroTier for Habr - זה כנראה הכל! במאמר הבא אני מתכנן להדגים הלכה למעשה יצירת תשתית רשת וירטואלית המבוססת על ZeroTier, כאשר VDS עם תבנית GUI פרטית של קוד פתוח ישמש כבקר רשת. 

קוראים יקרים! האם אתה משתמש בטכנולוגיית ZeroTier בפרויקטים שלך? אם לא, באילו כלים אתה משתמש כדי לרשת את המשאבים שלך?

מקור: www.habr.com