ჭკვიანი Ethernet გადამრთველი პლანეტა დედამიწისთვის

”თქვენ შეგიძლიათ შექმნათ გამოსავალი (პრობლემის გადაჭრა) რამდენიმე გზით, მაგრამ ყველაზე ძვირი და/ან პოპულარული მეთოდი ყოველთვის არ არის ყველაზე ეფექტური!”

პრეამბულა

დაახლოებით სამი წლის წინ, კატასტროფის მონაცემების აღდგენის დისტანციური მოდელის შემუშავების პროცესში, მე შევხვდი ერთ დაბრკოლებას, რომელიც მაშინვე არ შენიშნა - ინფორმაციის ნაკლებობა ქსელის ვირტუალიზაციის ახალი ორიგინალური გადაწყვეტილებების შესახებ საზოგადოების წყაროებში. 

შემუშავებული მოდელის ალგორითმი დაიგეგმა შემდეგნაირად: 

1. დისტანციური მომხმარებელი, რომელიც დამიკავშირდა, რომლის კომპიუტერმა ერთხელ უარი თქვა ჩატვირთვაზე და აჩვენებს შეტყობინებას „სისტემის დისკი არ არის აღმოჩენილი/არ არის ფორმატირებული“, იტვირთება მას life USB-ის გამოყენებით. 
2. ჩატვირთვის პროცესის დროს სისტემა ავტომატურად უერთდება უსაფრთხო კერძო ლოკალურ ქსელს, რომელიც თავისთავად შეიცავს ადმინისტრატორის სამუშაო სადგურს, ამ შემთხვევაში ლეპტოპს და NAS კვანძს. 
3. შემდეგ ვაკავშირებ - ან დისკის ტიხრების რეანიმაციისთვის, ან იქიდან მონაცემების ამოსაღებად.

თავდაპირველად, მე განვახორციელე ეს მოდელი VPN სერვერის გამოყენებით ლოკალურ როუტერზე ჩემს კონტროლის ქვეშ მყოფ ქსელში, შემდეგ ნაქირავებ VDS-ზე. მაგრამ, როგორც ხშირად ხდება და ჩიშოლმის პირველი კანონის თანახმად, თუ წვიმს, ინტერნეტ პროვაიდერის ქსელი გაქრება, მაშინ ბიზნეს სუბიექტებს შორის დავები გამოიწვევს სერვისის პროვაიდერს „ენერგიის“ დაკარგვას...

ამიტომ, გადავწყვიტე ჯერ ჩამომეყალიბებინა ძირითადი მოთხოვნები, რომლებსაც უნდა აკმაყოფილებდეს საჭირო ინსტრუმენტი. პირველი არის დეცენტრალიზაცია. მეორეც, იმის გათვალისწინებით, რომ მე მაქვს რამდენიმე ასეთი სიცოცხლის USB, თითოეულ მათგანს აქვს ცალკე იზოლირებული ქსელი. ისე, მესამე, სხვადასხვა მოწყობილობების ქსელთან სწრაფი დაკავშირება და მათი მარტივი მართვა, მათ შორის იმ შემთხვევაში, თუ ჩემი ლეპტოპი ასევე გახდება ზემოთ აღნიშნული კანონის მსხვერპლი.

ამის საფუძველზე და ორი და ნახევარი თვე გავატარე რამდენიმე არც თუ ისე შესაფერისი ვარიანტის პრაქტიკულ კვლევაზე, მე, ჩემი საფრთხისა და რისკის ქვეშ, გადავწყვიტე გამომეცადა სხვა ინსტრუმენტი იმ დროისთვის ჩემთვის უცნობი სტარტაპიდან, სახელწოდებით ZeroTier. რაც შემდეგ არასდროს მინანია.

ამ საახალწლო არდადეგების დროს, ვცდილობდი გამეგო, შეიცვალა თუ არა სიტუაცია შინაარსთან დაკავშირებით იმ დასამახსოვრებელი მომენტის შემდეგ, ჩავატარე შერჩევითი აუდიტი ამ თემაზე სტატიების ხელმისაწვდომობისთვის, Habr-ის წყაროდ გამოყენებით. შეკითხვისთვის "ZeroTier" ძიების შედეგებში არის მხოლოდ სამი სტატია, რომელშიც აღნიშნულია, და არც ერთი, სულ მცირე, მოკლე აღწერილობით. და ეს იმის მიუხედავად, რომ მათ შორის არის სტატიის თარგმანი, რომელიც დაწერილია თავად ZeroTier, Inc.-ის დამფუძნებლის მიერ. - ადამ იერიმენკო.

შედეგები იმედგაცრუებული იყო და მიბიძგა, უფრო დეტალურად დამეწყო ZeroTier-ზე საუბარი, რითაც თანამედროვე „მაძიებლები“ ​​გადავარჩინე იმავე მარშრუტის გავლისგან, რასაც მე მივდიოდი.

აბა რა ხარ?

დეველოპერი განათავსებს ZeroTier-ს, როგორც ინტელექტუალურ Ethernet-ის გადამრთველს პლანეტა დედამიწისთვის. 

„ეს არის განაწილებული ქსელის ჰიპერვიზორი, რომელიც აგებულია კრიპტოგრაფიულად უსაფრთხო გლობალურ თანატოლებთან (P2P) ქსელზე. კორპორატიული SDN გადამრთველის მსგავსი ინსტრუმენტი, რომელიც შექმნილია ვირტუალური ქსელების ორგანიზებისთვის ფიზიკურზე, როგორც ლოკალურ, ისე გლობალურზე, თითქმის ნებისმიერი აპლიკაციის ან მოწყობილობის დაკავშირების შესაძლებლობით.

ეს უფრო მარკეტინგული აღწერაა, ახლა ტექნოლოგიური მახასიათებლების შესახებ.

▍ ბირთვი: 

ZeroTier Network Hypervisor არის დამოუკიდებელი ქსელის ვირტუალიზაციის ძრავა, რომელიც ამსგავსებს Ethernet ქსელს, VXLAN-ის მსგავსი, გლობალური დაშიფრული peer-to-peer (P2P) ქსელის თავზე.

ZeroTier-ში გამოყენებული პროტოკოლები ორიგინალურია, თუმცა გარეგნულად ჰგავს VXLAN-სა და IPSec-ს და შედგება ორი კონცეპტუალურად განცალკევებული, მაგრამ მჭიდროდ დაკავშირებული ფენისგან: VL1 და VL2.

→ ბმული დოკუმენტაციაზე

▍VL1 არის საბაზისო peer-to-peer (P2P) სატრანსპორტო ფენა, ერთგვარი „ვირტუალური კაბელი“.

”გლობალური მონაცემთა ცენტრი მოითხოვს კაბელების ”გლობალურ კარადას”.

ჩვეულებრივ ქსელებში, L1 (OSI Layer 1) ეხება რეალურ კაბელებს ან უკაბელო რადიოებს, რომლებიც ატარებენ მონაცემებს და ფიზიკური გადამცემის მოწყობილობის ჩიპებს, რომლებიც ახდენენ მის მოდულაციას და დემოდულაციას. VL1 არის Peer-to-peer (P2P) ქსელი, რომელიც აკეთებს იგივეს, იყენებს დაშიფვრას, ავთენტიფიკაციას და სხვა ქსელურ ხრიკებს ვირტუალური კაბელების საჭიროებისამებრ ორგანიზებისთვის.

უფრო მეტიც, ის ამას აკეთებს ავტომატურად, სწრაფად და მომხმარებლის ჩარევის გარეშე, რომელიც იწყებს ახალ ZeroTier კვანძს.

ამის მისაღწევად, VL1 ორგანიზებულია დომენური სახელების სისტემის მსგავსად. ქსელის გულში არის ძალიან ხელმისაწვდომი root სერვერების ჯგუფი, რომელთა როლი მსგავსია DNS root სერვერების როლისა. ამ დროისთვის, ძირითადი (პლანეტარული) root სერვერები დეველოპერის - ZeroTier, Inc. და უზრუნველყოფილია უფასო სერვისის სახით. 

თუმცა, შესაძლებელია შექმნათ მორგებული root სერვერები (luns), რომლებიც საშუალებას მოგცემთ:

• ZeroTier, Inc.-ის ინფრასტრუქტურაზე დამოკიდებულების შემცირება; ბმული დოკუმენტაციაზე
• პროდუქტიულობის გაზრდა შეფერხებების მინიმიზაციის გზით; 
• განაგრძეთ მუშაობა ჩვეულებრივად, თუ ინტერნეტ კავშირი დაიკარგება.

თავდაპირველად, კვანძები იხსნება ერთმანეთთან პირდაპირი კავშირების გარეშე. 

VL1-ზე თითოეულ თანატოლს აქვს უნიკალური 40-ბიტიანი (10 თექვსმეტობითი) ZeroTier მისამართი, რომელიც, IP მისამართებისგან განსხვავებით, არის დაშიფრული იდენტიფიკატორი, რომელიც არ შეიცავს მარშრუტიზაციის ინფორმაციას. ეს მისამართი გამოითვლება საჯარო/პირადი გასაღების წყვილის საჯარო ნაწილიდან. კვანძის მისამართი, საჯარო გასაღები და პირადი გასაღები ერთად ქმნიან მის იდენტურობას.

Member ID: df56c5621c  
            |
            ZeroTier address of node

რაც შეეხება დაშიფვრას, ეს ცალკე სტატიის მიზეზია.

→ ბმული დოკუმენტაციაზე

კომუნიკაციის დასამყარებლად, თანატოლები უპირველეს ყოვლისა აგზავნიან პაკეტებს "ზემოთ" root სერვერების ხეზე და როდესაც ეს პაკეტები მოძრაობენ ქსელში, ისინი იწყებენ შემთხვევითი არხების შექმნას გზაზე. ხე გამუდმებით ცდილობს „თავისთავად დაიშალოს“, რათა ოპტიმიზაცია მოახდინოს მარშრუტის რუქისთვის, რომელსაც ინახავს.

Peer-to-peer კავშირის დამყარების მექანიზმი შემდეგია:

1. კვანძს A-ს სურს გაგზავნოს პაკეტი B კვანძში, მაგრამ რადგან მან არ იცის პირდაპირი გზა, ის აგზავნის მას ზემოთ კვანძში R (მთვარე, მომხმარებლის root სერვერი).
2. თუ R კვანძს აქვს პირდაპირი კავშირი B კვანძთან, ის გადასცემს პაკეტს იქ. წინააღმდეგ შემთხვევაში, ის აგზავნის პაკეტს ზემოთ, სანამ მიაღწევს პლანეტურ ფესვებს. პლანეტების ფესვებმა იციან ყველა კვანძის შესახებ, ასე რომ, პაკეტი საბოლოოდ მიაღწევს B კვანძს, თუ ის ონლაინ რეჟიმშია.
3. კვანძი R ასევე აგზავნის შეტყობინებას სახელწოდებით "რეანდევუ" A კვანძში, რომელიც შეიცავს მინიშნებებს იმის შესახებ, თუ როგორ შეიძლება მიაღწიოს B კვანძს. იმავდროულად, root სერვერი, რომელიც აგზავნის პაკეტს B კვანძში, აგზავნის პაკეტს და აცნობებს მას, თუ როგორ შეუძლია მას. მიაღწიეთ A კვანძს.
4. კვანძები A და B იღებენ თავიანთ შეხვედრის შეტყობინებებს და ცდილობენ გაუგზავნონ სატესტო შეტყობინებები ერთმანეთს, რათა დაარღვიონ ნებისმიერი NAT ან სახელმწიფო ფეიერვოლი, რომელიც შეგხვდება გზაზე. თუ ეს მუშაობს, მაშინ მყარდება პირდაპირი კავშირი და პაკეტები აღარ მიდიან წინ და უკან.

თუ პირდაპირი კავშირის დამყარება შეუძლებელია, კომუნიკაცია გაგრძელდება რელეს საშუალებით და პირდაპირი კავშირის მცდელობები გაგრძელდება წარმატებული შედეგის მიღწევამდე. 

VL1-ს ასევე აქვს სხვა ფუნქციები პირდაპირი კავშირის დასამყარებლად, მათ შორის LAN თანატოლების აღმოჩენა, პორტის პროგნოზირება სიმეტრიული IPv4 NAT-ის გავლისთვის და აშკარა პორტის რუკების გამოყენება uPnP და/ან NAT-PMP, თუ ეს შესაძლებელია ადგილობრივ ფიზიკურ LAN-ზე.

→ ბმული დოკუმენტაციაზე

▍VL2 არის VXLAN-ის მსგავსი Ethernet ქსელის ვირტუალიზაციის პროტოკოლი SDN მართვის ფუნქციებით. ნაცნობი საკომუნიკაციო გარემო OS და აპლიკაციებისთვის...

VL1-ისგან განსხვავებით, VL2 ქსელების (VLAN) შექმნა და მათთან კვანძების დაკავშირება, ისევე როგორც მათი მართვა, მომხმარებლის უშუალო მონაწილეობას მოითხოვს. მას შეუძლია ამის გაკეთება ქსელის კონტროლერის გამოყენებით. არსებითად, ეს არის ჩვეულებრივი ZeroTier კვანძი, სადაც კონტროლერის ფუნქციები იმართება ორი გზით: ან პირდაპირ, ფაილების შეცვლით, ან, როგორც დეველოპერი მკაცრად გირჩევთ, გამოქვეყნებული API-ის გამოყენებით. 

ZeroTier ვირტუალური ქსელების მართვის ეს მეთოდი არ არის ძალიან მოსახერხებელი საშუალო ადამიანისთვის, ამიტომ არსებობს რამდენიმე GUI:
 

• ერთი დეველოპერისგან ZeroTier, ხელმისაწვდომია როგორც საჯარო ღრუბლოვანი SaaS გადაწყვეტა ოთხი გამოწერის გეგმით, მათ შორის უფასო, მაგრამ შეზღუდული მართული მოწყობილობების რაოდენობით და მხარდაჭერის დონით.
• მეორე არის დამოუკიდებელი დეველოპერისგან, გარკვეულწილად გამარტივებული ფუნქციონალურობით, მაგრამ ხელმისაწვდომია, როგორც კერძო ღია წყაროს გადაწყვეტა შიდა ან ღრუბლოვან რესურსებზე გამოსაყენებლად.

VL2 დანერგილია VL1-ის თავზე და მისი ტრანსპორტირება ხდება. თუმცა, ის მემკვიდრეობით იღებს VL1 ბოლო წერტილის დაშიფვრას და ავთენტიფიკაციას, ასევე იყენებს მის ასიმეტრიულ გასაღებებს ხელმოწერისა და რწმუნებათა სიგელების დასადასტურებლად. VL1 საშუალებას გაძლევთ განახორციელოთ VL2 არსებული ფიზიკური ქსელის ტოპოლოგიაზე ფიქრის გარეშე. ანუ, დაკავშირების და მარშრუტიზაციის ეფექტურობის პრობლემები არის VL1 პრობლემები. მნიშვნელოვანია გვესმოდეს, რომ არ არსებობს კავშირი VL2 ვირტუალურ ქსელებსა და VL1 ბილიკებს შორის. სადენიანი LAN-ში VLAN მულტიპლექსირების მსგავსად, ორ კვანძს, რომლებიც იზიარებენ რამდენიმე ქსელის წევრობას, კვლავ ექნება მხოლოდ ერთი VL1 (ვირტუალური კაბელი) გზა მათ შორის.

თითოეული VL2 ქსელი (VLAN) იდენტიფიცირებულია 64-ბიტიანი (16 თექვსმეტობითი) ZeroTier ქსელის მისამართით, რომელიც შეიცავს კონტროლერის 40-ბიტიან ZeroTier მისამართს და 24-ბიტიან ნომერს, რომელიც განსაზღვრავს ამ კონტროლერის მიერ შექმნილ ქსელს.

Network ID: 8056c2e21c123456
            |         |
            |         Network number on controller
            |
            ZeroTier address of controller

როდესაც კვანძი უერთდება ქსელს ან ითხოვს ქსელის კონფიგურაციის განახლებას, ის უგზავნის ქსელის კონფიგურაციის მოთხოვნის შეტყობინებას (VL1-ის მეშვეობით) ქსელის კონტროლერს. შემდეგ კონტროლერი იყენებს კვანძის VL1 მისამართს, რათა იპოვოს ის ქსელში და გაუგზავნოს შესაბამისი სერთიფიკატები, სერთიფიკატები და კონფიგურაციის ინფორმაცია. VL2 ვირტუალური ქსელების თვალსაზრისით, VL1 ZeroTier მისამართები შეიძლება ჩაითვალოს, როგორც პორტის ნომრები უზარმაზარ გლობალურ ვირტუალურ გადამრთველზე.

ქსელის კონტროლერების მიერ მოცემული ქსელის წევრი კვანძებისთვის გაცემული ყველა სერთიფიკატი ხელმოწერილია კონტროლერის საიდუმლო გასაღებით, რათა ქსელის ყველა მონაწილემ შეძლოს მათი გადამოწმება. რწმუნებათა სიგელები აქვს კონტროლერის მიერ გენერირებული დროის ნიშანს, რაც შესაძლებელს ხდის შედარებით შედარებას ჰოსტის ლოკალური სისტემის საათზე წვდომის გარეშე. 

სერთიფიკატები გაიცემა მხოლოდ მათ მფლობელებზე და შემდეგ ეგზავნება თანატოლებს, რომლებსაც სურთ დაუკავშირდნენ სხვა კვანძებს ქსელში. ეს საშუალებას აძლევს ქსელს გაიზარდოს უზარმაზარ ზომებამდე, კვანძებზე დიდი რაოდენობით რწმუნებათა სიგელების ქეშირების ან ქსელის კონტროლერთან მუდმივად დაკავშირების საჭიროების გარეშე.

ZeroTier ქსელები მხარს უჭერენ მრავალჯერადი განაწილებას მარტივი გამოქვეყნების/გამოწერის სისტემის მეშვეობით.

→ ბმული დოკუმენტაციაზე

როდესაც კვანძს სურს მიიღოს მულტიკასტირებული მაუწყებლობა კონკრეტული სადისტრიბუციო ჯგუფისთვის, ის ამ ჯგუფში წევრობის რეკლამას ავრცელებს ქსელის სხვა წევრებს, ვისთანაც არის კომუნიკაცია და ქსელის კონტროლერთან. როდესაც კვანძს სურს გააგზავნოს მულტიკასტი, ის ერთდროულად წვდება უახლესი პუბლიკაციების მის ქეშს და პერიოდულად ითხოვს დამატებით პუბლიკაციებს.

მაუწყებლობა (Ethernet ff: ff: ff: ff: ff: ff) განიხილება, როგორც მულტიკასტის ჯგუფი, რომელსაც ყველა მონაწილე ეწერება. ის შეიძლება გამორთოთ ქსელის დონეზე ტრაფიკის შესამცირებლად, თუ ეს არ არის საჭირო. 

ZeroTier ასახავს რეალურ Ethernet გადამრთველს. ეს ფაქტი საშუალებას გვაძლევს განვახორციელოთ შექმნილი ვირტუალური ქსელების გაერთიანება სხვა Ethernet ქსელებთან (სადენიანი LAN, WiFi, ვირტუალური backplane და ა.შ.) მონაცემთა ბმულის დონეზე - ჩვეულებრივი Ethernet ხიდის გამოყენებით.

იმისათვის, რომ იმოქმედოს როგორც ხიდი, ქსელის კონტროლერმა უნდა დანიშნოს ჰოსტი, როგორც ასეთი. ეს სქემა განხორციელებულია უსაფრთხოების მიზეზების გამო, რადგან ქსელის ნორმალურ ჰოსტებს არ აქვთ უფლება გაგზავნონ ტრაფიკი სხვა წყაროდან, გარდა მათი MAC მისამართისა. ხიდებად განსაზღვრული კვანძები ასევე იყენებენ მულტიკასტის ალგორითმის სპეციალურ რეჟიმს, რომელიც ურთიერთქმედებს მათთან უფრო აგრესიულად და მიზანმიმართულად ჯგუფური გამოწერების და ყველა სამაუწყებლო ტრაფიკის და ARP მოთხოვნის რეპლიკაციის დროს. 

გადამრთველს ასევე აქვს საჯარო და ad-hoc ქსელების შექმნის შესაძლებლობა, QoS მექანიზმი და ქსელის წესების რედაქტორი.

▍ კვანძი:

ZeroTier One არის სერვისი, რომელიც მუშაობს ლეპტოპებზე, დესკტოპებზე, სერვერებზე, ვირტუალურ მანქანებსა და კონტეინერებზე, რომელიც უზრუნველყოფს ვირტუალურ ქსელთან კავშირს ვირტუალური ქსელის პორტის საშუალებით, VPN კლიენტის მსგავსი. 

სერვისის ინსტალაციისა და გაშვების შემდეგ, შეგიძლიათ დაუკავშირდეთ ვირტუალურ ქსელებს მათი 16-ნიშნა მისამართების გამოყენებით. თითოეული ქსელი გამოჩნდება, როგორც ვირტუალური ქსელის პორტი სისტემაში, რომელიც იქცევა ისევე, როგორც ჩვეულებრივი Ethernet პორტი.

ZeroTier One ამჟამად ხელმისაწვდომია შემდეგი OS და სისტემებისთვის.

OS:

• Microsoft Windows - MSI ინსტალერი x86/x64
• MacOS - PKG ინსტალერი
• Apple iOS - Აპლიკაციების მაღაზია
• Android - Play Store
• Linux - DEB/RPM
• FreeBSD - FreeBSD პაკეტი

NAS:

• სინოლოგია NAS
• QNAP NAS
• WD MyCloud NAS

სხვა:

• docker - დოკერის ფაილი
• openwrt - თემის პორტი
• აპის ჩაშენება - SDK (libzt)

ყოველივე ზემოაღნიშნულის შესაჯამებლად, აღვნიშნავ, რომ ZeroTier არის შესანიშნავი და სწრაფი ინსტრუმენტი თქვენი ფიზიკური, ვირტუალური ან ღრუბლოვანი რესურსების საერთო ლოკალურ ქსელში გაერთიანებისთვის, მისი VLAN-ებად დაყოფის შესაძლებლობით და ერთი მარცხის წერტილის არარსებობით. .

ეს არის თეორიული ნაწილი პირველი სტატიის ფორმატში ZeroTier for Habr-ისთვის - ალბათ სულ ესაა! შემდეგ სტატიაში ვგეგმავ პრაქტიკაში ვაჩვენო ვირტუალური ქსელის ინფრასტრუქტურის შექმნა ZeroTier-ზე დაფუძნებული, სადაც VDS კერძო ღია კოდის GUI შაბლონით იქნება გამოყენებული, როგორც ქსელის კონტროლერი. 

ძვირფასო მკითხველს! იყენებთ თუ არა ZeroTier ტექნოლოგიას თქვენს პროექტებში? თუ არა, რა ინსტრუმენტებს იყენებთ თქვენი რესურსების ქსელისთვის?

წყარო: www.habr.com