מופעל על ידי ZeroTier. מדריך מעשי לבניית רשתות וירטואליות. חלק 1

המשך הסיפור על ZeroTier, מתוך התיאוריה המתוארת במאמר "מתג Ethernet חכם עבור כדור הארץ", אני עובר לתרגול שבו:

• בואו ליצור ולהגדיר בקר רשת פרטי
• בואו ניצור רשת וירטואלית
• בואו נגדיר ונחבר אליו צמתים
• בואו נבדוק את קישוריות הרשת ביניהם
• בוא נחסום את הגישה ל-GUI של בקר הרשת מבחוץ

בקר רשת

כפי שהוזכר קודם לכן, כדי ליצור רשתות וירטואליות, לנהל אותן, כמו גם לחבר צמתים, המשתמש צריך בקר רשת, שממשק גרפי (GUI) עבורו קיים בשתי צורות:

אפשרויות GUI של ZeroTier

• אחד מהמפתח ZeroTier, זמין כפתרון SaaS ענן ציבורי עם ארבע תוכניות מנוי, כולל חינם, אך מוגבל במספר המכשירים המנוהלים וברמת התמיכה
• השני הוא ממפתח עצמאי, מעט מפושט בפונקציונליות, אך זמין כפתרון קוד פתוח פרטי לשימוש מקומי או במשאבי ענן.

בתרגול שלי, השתמשתי בשניהם וכתוצאה מכך, סוף סוף התפשרתי על השני. הסיבה לכך הייתה אזהרותיו של היזם.

"בקרי רשת משמשים כרשויות אישורים עבור רשתות וירטואליות ZeroTier. יש לשמור בקפידה על קבצים המכילים מפתחות סודיים של הבקר ולאחסן אותם בצורה מאובטחת. הפשרה שלהם מאפשרת לתוקפים לא מורשים ליצור תצורות רשת מזויפות, ואובדן שלהם מוביל לאובדן היכולת לשלוט ולנהל את הרשת, ולמעשה הופך אותה ללא שמישה".

→ קישור לתיעוד

וגם, סימנים לפרנויית אבטחת הסייבר שלך :) 

• גם אם Cheburnet יגיע, עדיין חייבת להיות לי גישה לבקר הרשת שלי;
• רק אני צריך להשתמש בבקר הרשת. במידת הצורך, מתן גישה לנציגים המורשים שלך;
• צריך להיות אפשרי להגביל את הגישה לבקר הרשת מבחוץ.

במאמר זה, אני לא רואה טעם להתעכב בנפרד על איך לפרוס בקר רשת ו-GUI עבורו על משאבים פיזיים או וירטואליים מקומיים. ויש לכך גם 3 סיבות: 

• יהיו יותר מכתבים מהמתוכנן
• על זה כבר סיפר על מפתח GUI GitHab
• נושא המאמר הוא על משהו אחר

לכן, בבחירת הנתיב של ההתנגדות הקטנה ביותר, אשתמש בסיפור זה בבקר רשת עם GUI המבוסס על VDS, שנוצר על ידי מתבנית, שפותח באדיבות על ידי עמיתיי מ-RuVDS.

הגדרה ראשונית

לאחר יצירת שרת מהתבנית שצוינה, המשתמש מקבל גישה לבקר ה-Web-GUI דרך דפדפן על ידי גישה ל-https:// :3443

כברירת מחדל, השרת כבר מכיל אישור TLS/SSL בחתימה עצמית שנוצרה מראש. זה מספיק לי, כי אני חוסם את הגישה אליו מבחוץ. למי שרוצה להשתמש בסוגים אחרים של תעודות, יש הוראות התקנה על מפתח GUI GitHab.

כאשר המשתמש מתחבר בפעם הראשונה התחברות עם ברירת מחדל כניסה וסיסמה - מנהל и סיסמא:

הוא מציע לשנות את סיסמת ברירת המחדל לסיסמת מותאמת אישית

אני עושה את זה קצת אחרת - אני לא משנה את הסיסמה של משתמש קיים, אלא יוצר סיסמה חדשה - צור משתמש.

קבעתי את השם של המשתמש החדש - שם משתמש:
הגדרתי סיסמה חדשה - הכנס סיסמה חדשה: 
אני מאשר את הסיסמה החדשה - תכניס מחדש סיסמה:

התווים שאתה מזין הם תלויי רישיות - היזהר!

תיבת סימון לאישור שינוי הסיסמה בכניסה הבאה - שנה סיסמה בכניסה הבאה: אני לא חוגג. 

כדי לאשר את הנתונים שהוזנו, לחץ הגדר סיסמא:

ואז: אני מתחבר מחדש - להתנתק / התחברות, כבר תחת האישורים של המשתמש החדש:

לאחר מכן, אני עובר ללשונית המשתמשים - משתמש ולמחוק את המשתמש מנהלעל ידי לחיצה על סמל פח האשפה הממוקם משמאל לשמו.

בעתיד, תוכל לשנות את סיסמת המשתמש על ידי לחיצה על שמו או על סיסמה מוגדרת.

יצירת רשת וירטואלית

כדי ליצור רשת וירטואלית, המשתמש צריך לעבור ללשונית הוסף רשת. מנקודה משתמש ניתן לעשות זאת דרך העמוד עמוד הבית - העמוד הראשי של ה-Web-GUI, המציג את כתובת ZeroTier של בקר רשת זה ומכיל קישור לדף עבור רשימת הרשתות שנוצרו באמצעותו.

בדף הוסף רשת המשתמש מקצה שם לרשת החדשה שנוצרה.

בעת החלת נתוני הקלט - צור רשת המשתמש מועבר לדף עם רשימה של רשתות, המכיל: 

שם רשת — שם הרשת בצורת קישור, כאשר אתה לוחץ עליו אתה יכול לשנות אותו 
ת. ז רשת - מזהה רשת
פרט - קישור לדף עם פרמטרי רשת מפורטים
התקנה קלה - קישור לדף להגדרה קלה
חברים - קישור לדף ניהול הצומת

להגדרה נוספת היכנסו לקישור התקנה קלה. בעמוד שנפתח, המשתמש מציין טווח של כתובות IPv4 עבור הרשת שנוצרת. ניתן לעשות זאת באופן אוטומטי על ידי לחיצה על כפתור צור כתובת רשת או באופן ידני על ידי הזנת מסיכת רשת הרשת בשדה המתאים CIDR.

בעת אישור הזנת נתונים מוצלחת, עליך לחזור לדף עם רשימת הרשתות באמצעות כפתור חזרה. בשלב זה, הגדרת הרשת הבסיסית יכולה להיחשב כשלמה.

חיבור צמתי רשת

1. ראשית, שירות ZeroTier One חייב להיות מותקן על הצומת שהמשתמש רוצה להתחבר לרשת.

   מה זה ZeroTier One?שכבת אפס אחת הוא שירות הפועל על מחשבים ניידים, שולחניים, שרתים, מכונות וירטואליות ומכולות המספק חיבורים לרשת וירטואלית דרך יציאת רשת וירטואלית, בדומה ללקוח VPN. 

   לאחר התקנת השירות והפעלתו, תוכל להתחבר לרשתות וירטואליות באמצעות הכתובות בנות 16 הספרות שלהן. כל רשת מופיעה כיציאת רשת וירטואלית במערכת, שמתנהגת בדיוק כמו יציאת Ethernet רגילה.
   ניתן למצוא קישורים להפצות, כמו גם פקודות התקנה בדף היצרן.

   אתה יכול לנהל את השירות המותקן דרך מסוף שורת פקודה (CLI) עם זכויות אדמין/שורש. ב-Windows/MacOS גם באמצעות ממשק גרפי. באנדרואיד/iOS רק באמצעות GUI.

2. בדיקת הצלחת התקנת השירות:

   CLI:

   zerotier-cli status

   תוצאה: 

   200 info ebf416fac1 1.4.6 ONLINE
   GUI:

   עצם העובדה שהאפליקציה פועלת והנוכחות בה של קו עם Node ID עם כתובת הצומת.

3. חיבור צומת לרשת:

   CLI:

   zerotier-cli join <Network ID>

   תוצאה: 

   200 join OK

   GUI:

   Windows: לחץ לחיצה ימנית על הסמל שכבת אפס אחת במגש המערכת ובחירת הפריט - הצטרף לרשת.

   
   macOS: הפעל את האפליקציה שכבת אפס אחת בתפריט הבר, אם עדיין לא הושק. לחץ על הסמל ⏁ ובחר הצטרף לרשת.

   אנדרואיד/iOS: + (תמונה פלוס) באפליקציה

   
   בשדה שמופיע, הזן את בקר הרשת שצוין ב-GUI ת. ז רשת, ולחץ הצטרף/הוסף רשת.

4. הקצאת כתובת IP למארח
   כעת נחזור לבקר הרשת ובעמוד עם רשימת הרשתות עקוב אחר הקישור חברים. אם אתה רואה תמונה דומה לזו על המסך, זה אומר שבקר הרשת שלך קיבל בקשה לאשר את החיבור לרשת מהצומת המחובר.

   
   בעמוד זה אנו משאירים הכל כפי שהוא לעת עתה ועוקבים אחר הקישור הקצאת IP עבור לדף להקצאת כתובת IP לצומת:

   
   לאחר הקצאת הכתובת, לחץ על הכפתור חזור חזור לדף של רשימת הצמתים המחוברים והגדר את השם - שם חבר וסמן את תיבת הסימון כדי לאשר את הצומת ברשת - מורשה. אגב, תיבת הסימון הזו היא דבר מאוד נוח לניתוק/חיבור מהרשת המארחת בעתיד.

   
   שמור שינויים באמצעות הכפתור לרענן.

5. בדיקת מצב החיבור של הצומת לרשת:
   כדי לבדוק את מצב החיבור בצומת עצמו, הפעל:
   CLI:

   zerotier-cli listnetworks

   תוצאה:

   200 listnetworks <nwid> <name> <mac> <status> <type> <dev> <ZT assigned ips>
200 listnetworks 2da06088d9f863be My_1st_VLAN be:88:0c:cf:72:a1 OK PRIVATE ethernet_32774 10.10.10.2/24
   GUI:

   מצב הרשת אמור להיות תקין

   כדי לחבר את הצמתים הנותרים, חזור על פעולות 1-5 עבור כל אחד מהם.

בדיקת קישוריות רשת של צמתים

אני עושה זאת על ידי הפעלת הפקודה פינג במכשיר המחובר לרשת שאני מנהל כרגע.

בצילום המסך של בקר ה-Web-GUI אתה יכול לראות שלושה צמתים המחוברים לרשת:

1. ZTNCUI - 10.10.10.1 - בקר הרשת שלי עם GUI - VDS באחד מ- RuVDS DCs. לעבודה רגילה אין צורך להוסיף אותו לרשת, אבל עשיתי זאת כי אני רוצה לחסום את הגישה לממשק האינטרנט מבחוץ. עוד על כך בהמשך. 
2. MyComp - 10.10.10.2 - מחשב העבודה שלי הוא מחשב פיזי
3. גיבוי - 10.10.10.3 - VDS ב DC אחר.

לכן, ממחשב העבודה שלי אני בודק את הזמינות של צמתים אחרים עם הפקודות:

ping 10.10.10.1

Pinging 10.10.10.1 with 32 bytes of data:
Reply from 10.10.10.1: bytes=32 time=14ms TTL=64
Reply from 10.10.10.1: bytes=32 time=4ms TTL=64
Reply from 10.10.10.1: bytes=32 time=7ms TTL=64
Reply from 10.10.10.1: bytes=32 time=2ms TTL=64

Ping statistics for 10.10.10.1:
    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
    Minimum = 2ms, Maximum = 14ms, Average = 6ms

ping 10.10.10.3

Pinging 10.10.10.3 with 32 bytes of data:
Reply from 10.10.10.3: bytes=32 time=15ms TTL=64
Reply from 10.10.10.3: bytes=32 time=4ms TTL=64
Reply from 10.10.10.3: bytes=32 time=8ms TTL=64
Reply from 10.10.10.3: bytes=32 time=4ms TTL=64

Ping statistics for 10.10.10.3:
    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
    Minimum = 4ms, Maximum = 15ms, Average = 7ms

למשתמש הזכות להשתמש בכלים אחרים לבדיקת זמינות הצמתים ברשת, הן מובנות במערכת ההפעלה והן כגון NMAP, Advanced IP Scanner וכו'.

אנו מסתירים את הגישה ל-GUI של בקר הרשת מבחוץ.

באופן כללי, אני יכול להפחית את הסבירות לגישה לא מורשית ל-VDS שעליו נמצא בקר הרשת שלי באמצעות חומת אש בחשבון RuVDS האישי שלי. נושא זה סביר יותר למאמר נפרד. לכן, כאן אראה כיצד לספק גישה לבקר ה-GUI רק מהרשת שיצרתי במאמר זה.

לשם כך, עליך להתחבר באמצעות SSH ל-VDS עליו נמצא הבקר ולפתוח את קובץ התצורה באמצעות הפקודה:

nano /opt/key-networks/ztncui/.env

בקובץ שנפתח, לאחר השורה "HTTPS_PORT=3443" המכילה את כתובת הפורט בה נפתח ה-GUI, צריך להוסיף שורה נוספת עם הכתובת שבה ה-GUI ייפתח - במקרה שלי זה HTTPS_HOST=10.10.10.1 .XNUMX. 

בשלב הבא אשמור את הקובץ

Сtrl+C
Y
Enter 

והפעל את הפקודה:

systemctl restart ztncui

וזהו, עכשיו ה-GUI של בקר הרשת שלי זמין רק עבור צמתי רשת 10.10.10.0.24.

במקום מסקנה 

כאן אני רוצה לסיים את החלק הראשון של המדריך המעשי ליצירת רשתות וירטואליות המבוססות על ZeroTier. אני מצפה להערותיך. 

בינתיים, כדי להעביר את הזמן עד לפרסום החלק הבא, בו אספר לכם איך לשלב רשת וירטואלית עם רשת פיזית, איך לארגן מצב "לוחם דרכים" ועוד משהו, אני מציע לכם לנסות ארגון רשת וירטואלית משלך באמצעות בקר רשת פרטי עם GUI המבוסס על VDS מהשוק ואילך מקוון RUVDS. יתרה מכך, לכל הלקוחות החדשים יש תקופת ניסיון חינם של 3 ימים!

נ.ב. כן! כמעט שכחתי! אתה יכול להסיר צומת מהרשת באמצעות פקודה ב-CLI של צומת זה.

zerotier-cli leave <Network ID>

200 leave OK

או הפקודה Delete ב-GUI של הלקוח בצומת.

-> מבוא. חלק תיאורטי. מתג Ethernet חכם עבור כדור הארץ
-> מדריך מעשי לבניית רשתות וירטואליות. חלק 1
-> מדריך מעשי לבניית רשתות וירטואליות. חלק 2

מקור: www.habr.com