지구를 위한 스마트 이더넷 스위치

"여러 가지 방법으로 솔루션을 만들 수 있지만(문제 해결) 가장 비싸거나 인기 있는 방법이 항상 가장 효과적인 것은 아닙니다!"

서문

약 XNUMX년 전, 재해 데이터 복구를 위한 원격 모델을 개발하는 과정에서 즉시 발견되지 않은 한 가지 장애물에 직면했습니다. 바로 커뮤니티 소스에서 네트워크 가상화를 위한 새로운 독창적인 솔루션에 대한 정보가 부족하다는 것입니다. 

개발된 모델의 알고리즘은 다음과 같이 계획되었다. 

1. 한 번 컴퓨터가 부팅을 거부하고 "시스템 디스크가 감지되지 않음/포맷되지 않음"이라는 메시지를 표시하면서 나에게 연락한 원격 사용자는 life USB를 사용하여 로드합니다. 
2. 부팅 프로세스 중에 시스템은 관리자의 워크스테이션(이 경우 노트북 및 NAS 노드)을 포함하는 안전한 개인 로컬 네트워크에 자동으로 연결됩니다. 
3. 그런 다음 디스크 파티션을 소생시키거나 거기에서 데이터를 추출하기 위해 연결합니다.

처음에는 내가 제어하는 ​​네트워크의 로컬 라우터에 있는 VPN 서버를 사용하여 이 모델을 구현한 다음 임대한 VDS에서 구현했습니다. 그러나 흔히 발생하는 것처럼 Chisholm의 첫 번째 법칙에 따르면 비가 오면 인터넷 제공업체의 네트워크가 다운되고, 사업체 간의 분쟁으로 인해 서비스 제공업체는 "에너지"를 잃게 됩니다...

따라서 필요한 도구가 충족해야 하는 기본 요구 사항을 먼저 공식화하기로 결정했습니다. 첫 번째는 분권화입니다. 둘째, 그러한 생명 USB가 여러 개 있다는 점을 고려하면 각각은 별도의 격리된 네트워크를 가지고 있습니다. 셋째, 다양한 장치의 네트워크에 빠르게 연결하고 장치를 간편하게 관리할 수 있습니다. 여기에는 내 노트북도 위에서 언급한 법률의 희생양이 되는 경우가 포함됩니다.

이를 바탕으로 별로 적합하지 않은 몇 가지 옵션에 대한 실제 연구에 XNUMX개월 반을 보낸 후, 저는 위험과 위험을 무릅쓰고 당시 저에게 알려지지 않았던 ZeroTier라는 스타트업의 또 다른 도구를 사용해 보기로 결정했습니다. 나는 나중에 결코 후회하지 않았습니다.

이번 설 연휴 동안 기억에 남는 순간 이후 콘텐츠 상황이 바뀌었는지 이해하려고 Habr을 소스로 사용하여 이 주제에 대한 기사의 가용성에 대한 선택적 감사를 실시했습니다. 검색 결과에 "ZeroTier"라는 검색어에 대해 언급된 기사는 XNUMX개뿐이고, 최소한 간략한 설명이 포함된 기사는 하나도 없습니다. 그리고 그 중에는 ZeroTier, Inc.의 창립자가 직접 쓴 기사의 번역이 있다는 사실에도 불구하고 그렇습니다. — 아담 이에리멘코.

결과는 실망스러웠고 ZeroTier에 대해 더 자세히 이야기하기 시작하여 현대의 "구직자"가 나와 동일한 경로를 따르지 않아도 되도록 했습니다.

그럼 당신은 무엇입니까?

개발자는 ZeroTier를 지구를 위한 지능형 이더넷 스위치로 자리매김했습니다. 

“암호적으로 안전한 글로벌 P2P(Peer-to-Peer) 네트워크 위에 구축된 분산 네트워크 하이퍼바이저입니다. 거의 모든 애플리케이션이나 장치를 연결할 수 있는 기능을 통해 로컬 및 글로벌의 물리적 네트워크를 통해 가상 네트워크를 구성하도록 설계된 기업 SDN 스위치와 유사한 도구입니다.

이것은 기술적 특징에 관한 마케팅 설명에 가깝습니다.

▍커널: 

ZeroTier 네트워크 하이퍼바이저는 글로벌 암호화 P2P(Peer-to-Peer) 네트워크 위에 VXLAN과 유사한 이더넷 네트워크를 에뮬레이트하는 독립형 네트워크 가상화 엔진입니다.

ZeroTier에 사용되는 프로토콜은 VXLAN 및 IPSec과 모양이 유사하지만 원본이며 개념적으로는 분리되어 있지만 밀접하게 관련된 두 개의 레이어인 VL1 및 VL2로 구성됩니다.

→ 문서 링크

▍VL1은 기본적인 P2P(Peer-to-Peer) 전송 계층으로 일종의 '가상 케이블'입니다.

"글로벌 데이터 센터에는 '글로벌 클로짓'의 케이블 연결이 필요합니다."

기존 네트워크에서 L1(OSI 계층 1)은 데이터를 전달하는 실제 케이블 또는 무선 라디오와 이를 변조 및 복조하는 물리적 트랜시버 장치 칩을 나타냅니다. VL1은 암호화, 인증 및 기타 네트워킹 기술을 사용하여 필요에 따라 가상 케이블을 구성하는 동일한 작업을 수행하는 P2P(Peer-to-Peer) 네트워크입니다.

또한 이 작업은 사용자가 새 ZeroTier 노드를 시작하지 않고도 자동으로 신속하게 수행됩니다.

이를 달성하기 위해 VL1은 도메인 이름 시스템과 유사하게 구성됩니다. 네트워크의 중심에는 DNS 루트 이름 서버와 역할이 유사한 고가용성 루트 서버 그룹이 있습니다. 현재 기본(행성) 루트 서버는 개발자인 ZeroTier, Inc.의 통제하에 있습니다. 무료 서비스로 제공됩니다. 

그러나 다음을 수행할 수 있는 사용자 정의 루트 서버(LUN)를 생성할 수 있습니다.

• ZeroTier, Inc. 인프라에 대한 의존도를 줄입니다. 문서 링크
• 지연을 최소화하여 생산성을 높입니다. 
• 인터넷 연결이 끊어져도 계속해서 정상적으로 작동합니다.

처음에는 노드가 서로 직접 연결되지 않고 시작됩니다. 

VL1의 각 피어에는 IP 주소와 달리 라우팅 정보가 포함되지 않은 암호화된 식별자인 고유한 40비트(10진수) ZeroTier 주소가 있습니다. 이 주소는 공개/개인 키 쌍의 공개 부분에서 계산됩니다. 노드의 주소, 공개 키, 개인 키가 함께 ID를 형성합니다.

Member ID: df56c5621c  
            |
            ZeroTier address of node

암호화에 관해서는 이것이 별도의 기사의 이유입니다.

→ 문서 링크

통신을 설정하기 위해 피어는 먼저 루트 서버 트리의 "위로" 패킷을 보내고 이러한 패킷이 네트워크를 통해 이동하면서 도중에 순방향 채널의 무작위 생성을 시작합니다. 트리는 저장된 경로 지도에 맞게 자체를 최적화하기 위해 끊임없이 "스스로 축소"하려고 노력하고 있습니다.

PXNUMXP 연결을 설정하는 메커니즘은 다음과 같습니다.

1. Node A는 Node B로 패킷을 보내려고 하지만 직접 경로를 모르기 때문에 Node R(moon, 사용자의 루트 서버)로 업스트림으로 보냅니다.
2. 노드 R이 노드 B와 직접 연결되어 있으면 해당 노드로 패킷을 전달합니다. 그렇지 않으면 행성 루트에 도달하기 전에 패킷 업스트림을 보냅니다. 행성 루트는 모든 노드에 대해 알고 있으므로 패킷이 온라인이면 결국 노드 B에 도달합니다.
3. 노드 R은 또한 노드 B에 도달할 수 있는 방법에 대한 힌트가 포함된 "랑데뷰"라는 메시지를 노드 A에 보냅니다. 한편, 노드 B에 패킷을 전달하는 루트 서버는 노드 B에 도달할 수 있는 방법을 알리는 "랑데뷰"를 보냅니다. 노드 A에 도달합니다.
4. 노드 A와 B는 랑데뷰 메시지를 수신하고 도중에 발견되는 NAT 또는 상태 저장 방화벽을 위반하기 위해 서로 테스트 메시지를 보내려고 시도합니다. 이것이 작동하면 직접 연결이 설정되고 패킷이 더 이상 앞뒤로 이동하지 않습니다.

직접 연결이 이루어지지 않으면 릴레이를 통해 통신이 계속되며, 성공적인 결과가 나올 때까지 직접 연결 시도가 계속됩니다. 

VL1에는 LAN 피어 검색, 대칭형 IPv4 NAT 통과를 위한 포트 예측, 로컬 물리적 LAN에서 사용 가능한 경우 uPnP 및/또는 NAT-PMP를 사용한 명시적 포트 매핑 등 직접 연결을 설정하기 위한 다른 기능도 있습니다.

→ 문서 링크

▍VL2는 SDN 관리 기능을 갖춘 VXLAN과 유사한 이더넷 네트워크 가상화 프로토콜입니다. OS 및 애플리케이션에 대한 친숙한 통신 환경...

VL1과 달리 VL2 네트워크(VLAN)를 생성하고 노드를 연결하고 관리하려면 사용자의 직접적인 참여가 필요합니다. 그는 네트워크 컨트롤러를 사용하여 이를 수행할 수 있습니다. 본질적으로 이는 컨트롤러 기능이 파일을 변경하여 직접 제어하거나 개발자가 강력히 권장하는 대로 게시된 API를 사용하여 제어되는 일반 ZeroTier 노드입니다. 

ZeroTier 가상 네트워크를 관리하는 이 방법은 일반 사람에게는 그다지 편리하지 않으므로 여러 가지 GUI가 있습니다.
 

• 개발자인 ZeroTier의 제품 중 하나는 무료를 포함하여 XNUMX가지 구독 플랜을 갖춘 퍼블릭 클라우드 SaaS 솔루션으로 제공되지만 관리되는 장치 수와 지원 수준이 제한됩니다.
• 두 번째는 독립 개발자가 제공하는 것으로, 기능이 다소 단순화되었지만 온프레미스 또는 클라우드 리소스에서 사용할 수 있는 비공개 오픈 소스 솔루션으로 제공됩니다.

VL2는 VL1 위에 구현되어 VL1에 의해 전송됩니다. 그러나 VL1 엔드포인트의 암호화 및 인증을 상속하며 비대칭 키를 사용하여 자격 증명에 서명하고 확인합니다. VL2을 사용하면 기존 물리적 네트워크 토폴로지에 대한 걱정 없이 VL1를 구현할 수 있습니다. 즉, 연결성 및 라우팅 효율성 문제가 VL2 문제입니다. VL1 가상 네트워크와 VL1 경로 사이에는 연결이 없다는 점을 이해하는 것이 중요합니다. 유선 LAN의 VLAN 다중화와 유사하게, 여러 네트워크 멤버십을 공유하는 두 노드는 여전히 둘 사이에 하나의 VLXNUMX(가상 케이블) 경로만 갖습니다.

각 VL2 네트워크(VLAN)는 컨트롤러의 64비트 ZeroTier 주소와 해당 컨트롤러에 의해 생성된 네트워크를 식별하는 16비트 숫자를 포함하는 40비트(24진수) ZeroTier 네트워크 주소로 식별됩니다.

Network ID: 8056c2e21c123456
            |         |
            |         Network number on controller
            |
            ZeroTier address of controller

노드가 네트워크에 참여하거나 네트워크 구성 업데이트를 요청할 때 VL1을 통해 네트워크 구성 요청 메시지를 네트워크 컨트롤러로 보냅니다. 그런 다음 컨트롤러는 노드의 VL1 주소를 사용하여 네트워크에서 노드를 찾고 적절한 인증서, 자격 증명 및 구성 정보를 보냅니다. VL2 가상 네트워크의 관점에서 VL1 ZeroTier 주소는 거대한 글로벌 가상 스위치의 포트 번호로 생각할 수 있습니다.

네트워크 컨트롤러가 특정 네트워크의 구성원 노드에 발급한 모든 자격 증명은 모든 네트워크 참가자가 이를 확인할 수 있도록 컨트롤러의 비밀 키로 서명됩니다. 자격 증명에는 컨트롤러에 의해 생성된 타임스탬프가 있으므로 호스트의 로컬 시스템 시계에 액세스하지 않고도 상대 비교가 가능합니다. 

자격 증명은 소유자에게만 발급된 다음 네트워크의 다른 노드와 통신하려는 피어에게 전송됩니다. 이를 통해 노드에 많은 양의 자격 증명을 캐시하거나 네트워크 컨트롤러에 지속적으로 연결할 필요 없이 네트워크를 엄청난 크기로 확장할 수 있습니다.

ZeroTier 네트워크는 간단한 게시/구독 시스템을 통해 멀티캐스트 배포를 지원합니다.

→ 문서 링크

노드가 특정 배포 그룹에 대한 멀티캐스트 브로드캐스트를 수신하려는 경우 해당 그룹의 멤버십을 통신 중인 네트워크의 다른 구성원 및 네트워크 컨트롤러에 알립니다. 노드가 멀티캐스트를 보내려고 할 때 동시에 최근 게시 캐시에 액세스하고 주기적으로 추가 게시를 요청합니다.

브로드캐스트(이더넷 ff: ff: ff: ff: ff: ff)는 모든 참가자가 구독하는 멀티캐스트 그룹으로 처리됩니다. 필요하지 않은 경우 트래픽을 줄이기 위해 네트워크 수준에서 비활성화할 수 있습니다. 

ZeroTier는 실제 이더넷 스위치를 에뮬레이트합니다. 이 사실을 통해 우리는 다음을 수행할 수 있습니다. 생성된 가상 네트워크를 일반 이더넷 브리지를 사용하여 데이터 링크 수준에서 다른 이더넷 네트워크(유선 LAN, WiFi, 가상 백플레인 등)와 결합합니다.

브리지 역할을 하려면 네트워크 컨트롤러가 호스트를 브리지로 지정해야 합니다. 이 체계는 보안상의 이유로 구현됩니다. 일반 네트워크 호스트는 MAC 주소 이외의 소스에서 트래픽을 보내는 것이 허용되지 않기 때문입니다. 브리지로 지정된 노드는 멀티캐스트 알고리즘의 특수 모드도 사용합니다. 이 모드는 그룹 가입 및 모든 브로드캐스트 트래픽과 ARP 요청 복제 중에 보다 적극적이고 대상 지정적으로 상호 작용합니다. 

스위치에는 공용 및 임시 네트워크, QoS 메커니즘 및 네트워크 규칙 편집기를 생성하는 기능도 있습니다.

▍노드:

제로티어 원 VPN 클라이언트와 유사하게 가상 네트워크 포트를 통해 가상 네트워크에 대한 연결을 제공하는 랩톱, 데스크톱, 서버, 가상 머신 및 컨테이너에서 실행되는 서비스입니다. 

서비스가 설치되고 시작되면 16자리 주소를 사용하여 가상 네트워크에 연결할 수 있습니다. 각 네트워크는 시스템에서 가상 네트워크 포트로 나타나며, 이는 일반 이더넷 포트처럼 작동합니다.

ZeroTier One은 현재 다음 OS 및 시스템에서 사용할 수 있습니다.

운영 체제:

• 마이크로 소프트 윈도우 - MSI 설치 프로그램 x86/x64
• 맥 OS - PKG 설치 프로그램
• 애플 아이폰 OS - 앱 스토어
• Android - 플레이 스토어
• Linux - DEB/RPM
• FreeBSD의 - FreeBSD 패키지

NAS :

• Synology NAS
• QNAP NAS
• WD 마이클라우드 NAS

기타 :

• 도커 - 도커 파일
• OpenWRT - 커뮤니티 포트
• 앱 임베딩 - SDK(libzt)

위의 모든 내용을 요약하면 ZeroTier는 물리적, 가상 또는 클라우드 리소스를 공통 로컬 네트워크로 결합하고 이를 VLAN으로 나눌 수 있으며 단일 장애 지점이 없는 훌륭하고 빠른 도구입니다. .

이것이 Habr용 ZeroTier에 대한 첫 번째 기사 형식의 이론적 부분입니다. 아마도 그게 전부일 것입니다! 다음 기사에서는 프라이빗 오픈 소스 GUI 템플릿이 포함된 VDS가 네트워크 컨트롤러로 사용되는 ZeroTier 기반 가상 네트워크 인프라 생성을 실제로 시연할 계획입니다. 

독자 여러분! 프로젝트에 ZeroTier 기술을 사용하시나요? 그렇지 않다면 리소스를 네트워크화하기 위해 어떤 도구를 사용합니까?

출처 : habr.com