Смарт Етхернет прекидач за планету Земљу

„Можете креирати решење (решити проблем) на неколико начина, али најскупљи и/или најпопуларнији метод није увек најефикаснији!“

Преамбула

Пре отприлике три године, у процесу развоја удаљеног модела за опоравак података од катастрофе, наишао сам на једну препреку која се није одмах приметила – недостатак информација о новим оригиналним решењима за виртуелизацију мреже у изворима заједнице. 

Алгоритам за развијени модел је планиран на следећи начин: 

1. Удаљени корисник који ме је контактирао, чији је рачунар једном одбио да се покрене, приказујући поруку „системски диск није откривен/није форматиран“, учитава га помоћу животног УСБ-а. 
2. Током процеса покретања, систем се аутоматски повезује на безбедну приватну локалну мрежу, која поред себе садржи и радну станицу администратора, у овом случају лаптоп, и НАС чвор. 
3. Затим се повезујем - или да оживим партиције диска, или да извучем податке одатле.

У почетку сам имплементирао овај модел користећи ВПН сервер на локалном рутеру у мрежи под мојом контролом, затим на изнајмљеном ВДС-у. Али, као што се често дешава и према Чисхолмовом првом закону, ако падне киша, мрежа интернет провајдера ће се покварити, а онда ће спорови између пословних субјеката довести до тога да провајдер услуга изгуби „енергију“...

Због тога сам одлучио да прво формулишем основне захтеве које неопходан алат мора да испуни. Прва је децентрализација. Друго, с обзиром да имам неколико таквих животних УСБ-а, сваки од њих има засебну изоловану мрежу. Па, треће, брзо повезивање на мрежу разних уређаја и једноставно управљање њима, укључујући и случај да мој лаптоп такође постане жртва горе поменутог закона.

На основу овога и након што сам провео два и по месеца на практично истраживање неколико не баш погодних опција, ја сам, на сопствену опасност и ризик, одлучио да испробам још један алат из мени непознатог покретача под називом ЗероТиер. Због чега се касније никада нисам покајао.

Током ових новогодишњих празника, покушавајући да схватим да ли се ситуација са садржајем променила од тог незаборавног тренутка, извршио сам селективну ревизију доступности чланака на ову тему, користећи Хабр као извор. За упит „ЗероТиер“ у резултатима претраге постоје само три чланка који га помињу, а ни један са барем кратким описом. И то упркос чињеници да међу њима постоји превод чланка који је написао сам оснивач ЗероТиер, Инц. — Адам Иерименко.

Резултати су били разочаравајући и подстакли су ме да почнем да причам о ЗероТиер-у детаљније, спасавајући модерне „трагаче“ да морају да иду истим путем којим сам ја кренуо.

Па ста си ти?

Програмер позиционира ЗероТиер као интелигентни Етхернет прекидач за планету Земљу. 

„То је хипервизор дистрибуиране мреже изграђен на врху криптографски сигурне глобалне пеер-то-пеер (П2П) мреже. Алат сличан корпоративном СДН прекидачу, дизајниран да организује виртуелне мреже преко физичких, како локалних тако и глобалних, са могућношћу повезивања скоро сваке апликације или уређаја.”

Ово је више маркетиншки опис, сада о технолошким карактеристикама.

▍Кернел: 

ЗероТиер мрежни хипервизор је самостални механизам за виртуелизацију мреже који емулира Етхернет мрежу, сличну ВКСЛАН-у, на врху глобалне шифроване пеер-то-пеер (П2П) мреже.

Протоколи који се користе у ЗероТиер-у су оригинални, иако слични по изгледу као ВКСЛАН и ИПСец и састоје се од два концептуално одвојена, али блиско повезана слоја: ВЛ1 и ВЛ2.

→ Линк до документације

▍ВЛ1 је основни пеер-то-пеер (П2П) транспортни слој, нека врста „виртуелног кабла“.

„Глобални центар података захтева „глобални ормар“ каблова.“

У конвенционалним мрежама, Л1 (ОСИ Лаиер 1) се односи на стварне каблове или бежичне радио уређаје који преносе податке и чипове физичких примопредајних уређаја који их модулирају и демодулирају. ВЛ1 је пеер-то-пеер (П2П) мрежа која ради исту ствар, користећи шифровање, аутентификацију и друге мрежне трикове за организовање виртуелних каблова по потреби.

Штавише, то ради аутоматски, брзо и без учешћа корисника који покреће нови ЗероТиер чвор.

Да би се ово постигло, ВЛ1 је организован слично систему имена домена. У срцу мреже је група високо доступних роот сервера, чија је улога слична оној ДНС роот сервера имена. Тренутно су главни (планетарни) роот сервери под контролом програмера - ЗероТиер, Инц. и пружају се као бесплатна услуга. 

Међутим, могуће је креирати прилагођене роот сервере (лунс) који вам омогућавају:

• смањити зависност од инфраструктуре ЗероТиер, Инц.; Линк до документације
• повећати продуктивност минимизирањем кашњења; 
• наставити да ради нормално ако се интернет веза изгуби.

У почетку, чворови се покрећу без директних веза једни са другима. 

Сваки пеер на ВЛ1 има јединствену 40-битну (10 хексадецималну) ЗероТиер адресу, која је, за разлику од ИП адреса, шифровани идентификатор који не садржи информације о рутирању. Ова адреса се израчунава из јавног дела јавног/приватног пара кључева. Адреса чвора, јавни кључ и приватни кључ заједно чине његов идентитет.

Member ID: df56c5621c  
            |
            ZeroTier address of node

Што се тиче шифровања, ово је разлог за посебан чланак.

→ Линк до документације

Да би успоставили комуникацију, вршњаци прво шаљу пакете „горе“ стабло коренских сервера, а како ови пакети путују кроз мрежу, они успут покрећу насумично креирање канала за прослеђивање. Стабло стално покушава да се „сруши само од себе“ како би се оптимизовало за мапу руте коју чува.

Механизам за успостављање пеер-то-пеер везе је следећи:

1. Чвор А жели да пошаље пакет чвору Б, али пошто не зна директну путању, шаље га узводно до чвора Р (месец, корисников роот сервер).
2. Ако чвор Р има директну везу са чвором Б, он прослеђује пакет тамо. У супротном, он шаље пакет узводно пре него што стигне до планетарних корена.Планетарни корени знају за све чворове, тако да ће пакет на крају стићи до чвора Б ако је онлајн.
3. Чвор Р такође шаље поруку звану „рандеву“ чвору А, која садржи наговештаје о томе како може да дође до чвора Б. У међувремену, основни сервер, који прослеђује пакет чвору Б, шаље „састанак“ обавештавајући га о томе како може дохватни чвор А.
4. Чворови А и Б примају своје поруке састанка и покушавају да пошаљу тест поруке једни другима у покушају да пробију било који НАТ или заштитни зид са стањем на који се наиђу на том путу. Ако ово функционише, онда се успоставља директна веза и пакети више не иду напред-назад.

Ако се директна веза не може успоставити, комуникација ће се наставити преко релеја, а покушаји директног повезивања ће се наставити све док се не постигне успешан резултат. 

ВЛ1 такође има и друге карактеристике за успостављање директне повезаности, укључујући откривање равноправних ЛАН мрежа, предвиђање портова за прелазак симетричног ИПв4 НАТ-а и експлицитно мапирање портова коришћењем уПнП и/или НАТ-ПМП ако је доступно на локалном физичком ЛАН-у.

→ Линк до документације

▍ВЛ2 је протокол за виртуелизацију Етхернет мреже сличан ВКСЛАН-у са функцијама управљања СДН-ом. Познато комуникацијско окружење за ОС и апликације...

За разлику од ВЛ1, креирање ВЛ2 мрежа (ВЛАН) и повезивање чворова са њима, као и управљање њима, захтева директно учешће корисника. Он то може учинити помоћу мрежног контролера. У суштини, то је обичан ЗероТиер чвор, где се функцијама контролера управља на два начина: или директно, променом датотека, или, као што програмер снажно препоручује, коришћењем објављеног АПИ-ја. 

Овај метод управљања ЗероТиер виртуелним мрежама није баш згодан за просечну особу, тако да постоји неколико ГУИ:
 

• Један од програмера ЗероТиер, доступан као СааС решење за јавни облак са четири плана претплате, укључујући бесплатне, али ограничене у броју управљаних уређаја и нивоу подршке
• Други је од независног програмера, донекле поједностављен у функционалности, али доступан као приватно решење отвореног кода за коришћење локално или на цлоуд ресурсима.

ВЛ2 је имплементиран на врху ВЛ1 и њиме се транспортује. Међутим, он наслеђује шифровање и аутентификацију ВЛ1 крајње тачке, а такође користи своје асиметричне кључеве за потписивање и верификацију акредитива. ВЛ1 вам омогућава да имплементирате ВЛ2 без бриге о постојећој топологији физичке мреже. То јест, проблеми са везом и ефикасношћу рутирања су ВЛ1 проблеми. Важно је разумети да не постоји веза између ВЛ2 виртуелних мрежа и ВЛ1 путања. Слично ВЛАН мултиплексирању у жичаној ЛАН мрежи, два чвора која деле вишеструко чланство у мрежи ће и даље имати само једну ВЛ1 (виртуелни кабл) путању између себе.

Свака ВЛ2 мрежа (ВЛАН) је идентификована 64-битном (16 хексадецималном) ЗероТиер мрежном адресом, која садржи 40-битну ЗероТиер адресу контролера и 24-битни број који идентификује мрежу коју је креирао тај контролер.

Network ID: 8056c2e21c123456
            |         |
            |         Network number on controller
            |
            ZeroTier address of controller

Када се чвор придружи мрежи или захтева ажурирање мрежне конфигурације, он шаље поруку са захтевом за конфигурацију мреже (преко ВЛ1) мрежном контролеру. Контролер затим користи ВЛ1 адресу чвора да га пронађе на мрежи и пошаље му одговарајуће сертификате, акредитиве и информације о конфигурацији. Са становишта ВЛ2 виртуелних мрежа, ВЛ1 ЗероТиер адресе се могу сматрати бројевима портова на огромном глобалном виртуелном прекидачу.

Сви акредитиви које мрежни контролори издају чворовима чланицама дате мреже су потписани тајним кључем контролора тако да сви учесници мреже могу да их верификују. Акредитиви имају временске ознаке које генерише контролер, омогућавајући релативно поређење без приступа локалном системском сату домаћина. 

Акредитиви се издају само њиховим власницима, а затим се шаљу колегама који желе да комуницирају са другим чворовима на мрежи. Ово омогућава мрежи да се скалира до огромних величина без потребе за кеширањем великих количина акредитива на чворовима или сталним контактирањем мрежног контролера.

ЗероТиер мреже подржавају мултицаст дистрибуцију кроз једноставан систем објављивања/претплате.

→ Линк до документације

Када чвор жели да прими мултицаст емитовање за одређену дистрибутивну групу, он оглашава чланство у тој групи другим члановима мреже са којима комуницира и мрежном контролору. Када чвор жели да пошаље мултицаст, он истовремено приступа свом кешу недавних публикација и повремено захтева додатне публикације.

Емитовање (Етхернет фф: фф: фф: фф: фф: фф) се третира као вишеструка група на коју су сви учесници претплаћени. Може се онемогућити на нивоу мреже да би се смањио саобраћај ако није потребан. 

ЗероТиер емулира прави Етхернет прекидач. Ова чињеница нам омогућава да спроведемо комбиновање креираних виртуелних мрежа са другим Етхернет мрежама (жични ЛАН, ВиФи, виртуелна позадинска плоча, итд.) на нивоу везе за пренос података – коришћењем обичног Етхернет моста.

Да би деловао као мост, мрежни контролер мора да одреди хост као таквог. Ова шема се примењује из безбедносних разлога, пошто нормалним мрежним домаћинима није дозвољено да шаљу саобраћај са извора који није њихов МАЦ адреса. Чворови означени као мостови такође користе посебан режим мултицаст алгоритма, који са њима ступа у интеракцију агресивније и циљаније током групних претплата и репликације целог емитованог саобраћаја и АРП захтева. 

Прекидач такође има могућност креирања јавних и ад-хоц мрежа, КоС механизам и уређивач мрежних правила.

▍Чвор:

ЗероТиер Оне је услуга која ради на лаптоповима, десктоп рачунарима, серверима, виртуелним машинама и контејнерима која обезбеђује везе са виртуелном мрежом преко виртуелног мрежног порта, слично ВПН клијенту. 

Када се услуга инсталира и покрене, можете се повезати на виртуелне мреже користећи њихове 16-цифрене адресе. Свака мрежа се појављује као виртуелни мрежни порт на систему, који се понаша као обичан Етхернет порт.

ЗероТиер Оне је тренутно доступан за следеће ОС и системе.

ОС:

• Виндовс - МСИ инсталатер к86/к64
• Мац ОС - ПКГ инсталатер
• Аппле иПхоне - Продавница апликација
• Android — Плаи продавница
• линук - ДЕБ/РПМ
• Уник - ФрееБСД пакет

НАС:

• Синологи НАС
• КНАП НАС
• ВД МиЦлоуд НАС

Остали:

• лучки радник - доцкер фајл
• ОпенВРТ - лука заједнице
• Уграђивање апликације - СДК (либзт)

Да сумирамо све горе наведено, желео бих да напоменем да је ЗероТиер одличан и брз алат за комбиновање ваших физичких, виртуелних или цлоуд ресурса у заједничку локалну мрежу, са могућношћу да се подели на ВЛАН и одсуством једне тачке квара. .

То је то за теоријски део у формату првог чланка о ЗероТиер-у за Хабр - то је вероватно све! У следећем чланку планирам да у пракси демонстрирам креирање виртуелне мрежне инфраструктуре засноване на ЗероТиер-у, где ће се као мрежни контролер користити ВДС са приватним опен соурце ГУИ шаблоном. 

Драги читаоци! Да ли користите ЗероТиер технологију у својим пројектима? Ако не, које алате користите за умрежавање својих ресурса?

Извор: ввв.хабр.цом