Поверед би ЗероТиер. Практични водич за изградњу виртуелних мрежа. Део 1

Настављајући причу о ЗероТиер-у, из теорије изнесене у чланку „Смарт Етхернет прекидач за планету Земљу“, прелазим на праксу у којој:

• Хајде да креирамо и конфигуришемо приватни мрежни контролер
• Хајде да направимо виртуелну мрежу
• Хајде да конфигуришемо и повежемо чворове на њега
• Хајде да проверимо мрежну повезаност између њих
• Блокирајмо приступ ГУИ мрежног контролера споља

Сетевој контроллер

Као што је раније поменуто, за креирање виртуелних мрежа, управљање њима, као и за повезивање чворова, кориснику је потребан мрежни контролер, графички интерфејс (ГУИ) за који постоји у два облика:

ЗероТиер ГУИ опције

• Један од програмера ЗероТиер, доступан као СааС решење за јавни облак са четири плана претплате, укључујући бесплатне, али ограничене у броју управљаних уређаја и нивоу подршке
• Други је од независног програмера, донекле поједностављен у функционалности, али доступан као приватно решење отвореног кода за коришћење на локацији или на ресурсима у облаку.

У својој пракси сам користио и једно и друго и као резултат тога, коначно сам се одлучио на други. Разлог за то била су упозорења програмера.

„Контролери мреже служе као ауторитети за сертификацију за ЗероТиер виртуелне мреже. Датотеке које садрже тајне кључеве контролера морају се пажљиво чувати и безбедно архивирати. Њихов компромис омогућава неовлашћеним нападачима да креирају лажне мрежне конфигурације, а њихов губитак доводи до губитка могућности контроле и управљања мрежом, што је чини неупотребљивом."

→ Линк до документације

И такође, знакови ваше параноје у вези са сајбер-безбедношћу :) 

• Чак и ако дође Цхебурнет, и даље морам имати приступ свом мрежном контролеру;
• Само ја треба да користим мрежни контролер. Ако је потребно, омогућавање приступа вашим овлашћеним представницима;
• Требало би бити могуће ограничити приступ мрежном контролеру споља.

У овом чланку не видим много смисла да се посебно задржавам на томе како да применим мрежни контролер и ГУИ за њега на физичким или виртуелним ресурсима на локалном нивоу. А за то постоје и 3 разлога: 

• биће више писама него што је планирано
• већ о овоме рекао на ГУИ програмеру ГитХаб
• тема чланка је о нечем другом

Стога ћу, бирајући пут најмањег отпора, у овој причи користити мрежни контролер са ГУИ базираним на ВДС, креиран од из шаблона, љубазно развијен од стране мојих колега из РуВДС-а.

Почетно подешавање

Након креирања сервера од наведеног шаблона, корисник добија приступ Веб-ГУИ контролеру преко претраживача приступом хттпс:// :3443

Подразумевано, сервер већ садржи унапред генерисани самопотписани ТЛС/ССЛ сертификат. Ово ми је довољно, пошто блокирам приступ њему споља. За оне који желе да користе друге врсте сертификата, постоји упутства за инсталацију на ГУИ програмеру ГитХаб.

Када се корисник први пут пријави Пријавите се са подразумеваним именом и лозинком - Администратор и лозинка:

Предлаже промену подразумеване лозинке у прилагођену

Ја то радим мало другачије - не мењам лозинку постојећег корисника, већ креирам нову - Креирање корисника.

Поставио сам име новог корисника - Корисничко име:
Поставио сам нову лозинку - Унесите нову лозинку: 
Потврђујем нову лозинку - Поново унеси лозинку:

Знакови које унесете разликују велика и мала слова - будите опрезни!

Поље за потврду за потврду промене лозинке при следећем пријављивању - Промените лозинку при следећем пријављивању: Ја не славим. 

Да потврдите унете податке, притисните Постави лозинку:

Затим: поново се пријављујем - Одјава / Пријавите се, већ под акредитивима новог корисника:

Затим идем на картицу корисника - Корисници и избришите корисника Администраторкликом на икону канте за смеће која се налази лево од његовог имена.

Убудуће можете да промените лозинку корисника кликом на његово име или на постављену лозинку.

Креирање виртуелне мреже

Да би креирао виртуелну мрежу, корисник треба да оде на картицу Додајте мрежу. Од тачке Корисник ово се може урадити преко странице Početna — главна страница Веб-ГУИ, која приказује ЗероТиер адресу овог мрежног контролера и садржи везу до странице за листу мрежа креираних преко њега.

На страници Додајте мрежу корисник новокреираној мрежи додељује име.

Приликом примене улазних података − Креирајте мрежу корисник је одведен на страницу са листом мрежа, која садржи: 

Име мрежа — назив мреже у облику везе, када кликнете на њега можете га променити 
ИД мреже — идентификатор мреже
детаљ — линк ка страници са детаљним мрежним параметрима
лако подешавање — линк до странице за једноставно подешавање
чланови — линк до странице за управљање чворовима

За даље подешавање пратите линк лако подешавање. На страници која се отвори, корисник наводи опсег ИПв4 адреса за мрежу која се креира. Ово се може урадити аутоматски притиском на дугме Генеришите мрежну адресу или ручно уношењем мрежне маске у одговарајуће поље ЦИДР.

Када потврдите успешан унос података, морате се вратити на страницу са листом мрежа помоћу дугмета Назад. У овом тренутку, основно подешавање мреже се може сматрати завршеним.

Повезивање мрежних чворова

1. Прво, услуга ЗероТиер Оне мора бити инсталирана на чвору који корисник жели да се повеже на мрежу.

   Шта је ЗероТиер Оне?ЗероТиер Оне је услуга која ради на лаптоповима, десктоп рачунарима, серверима, виртуелним машинама и контејнерима која обезбеђује везе са виртуелном мрежом преко виртуелног мрежног порта, слично ВПН клијенту. 

   Када се услуга инсталира и покрене, можете се повезати на виртуелне мреже користећи њихове 16-цифрене адресе. Свака мрежа се појављује као виртуелни мрежни порт на систему, који се понаша као обичан Етхернет порт.
   Могу се пронаћи везе до дистрибуција, као и команде за инсталацију на страници произвођача.

   Можете управљати инсталираном услугом преко терминала командне линије (ЦЛИ) са администраторским/роот правима. На Виндовс/МацОС-у такође користи графички интерфејс. У Андроид/иОС-у само користећи ГУИ.

2. Провера успешности инсталације сервиса:

   ЦЛИ:

   zerotier-cli status

   Резултат: 

   200 info ebf416fac1 1.4.6 ONLINE
   ГУИ:

   Сама чињеница да је апликација покренута и присуство у њој линије са ИД-ом чвора са адресом чвора.

3. Повезивање чвора на мрежу:

   ЦЛИ:

   zerotier-cli join <Network ID>

   Резултат: 

   200 join OK

   ГУИ:

   Виндовс: кликните десним тастером миша на икону ЗероТиер Оне у системској палети и одабиром ставке - Придружите се мрежи.

   
   МацОС: Покрените апликацију ЗероТиер Оне у менију траке, ако већ није покренут. Кликните на икону ⏁ и изаберите Придружите се мрежи.

   Андроид/иОС: + (плус слика) у апликацији

   
   У поље које се појави унесите мрежни контролер наведен у ГУИ ИД мреже, и притисните Придружите се/Додај мрежу.

4. Додељивање ИП адресе хосту
   Сада се враћамо на мрежни контролер и на страници са листом мрежа пратите линк чланови. Ако видите сличну слику на екрану, то значи да је ваш мрежни контролер примио захтев да потврди везу са мрежом са повезаног чвора.

   
   На овој страници остављамо све како је за сада и пратимо линк ИП додељивање идите на страницу за додељивање ИП адресе чвору:

   
   Након што доделите адресу, кликните на дугме Назад вратите се на страницу листе повезаних чворова и поставите име - Име члан и означите поље за потврду да бисте овластили чвор на мрежи - Овлашћено. Иначе, ово поље за потврду је веома згодна ствар за искључивање/повезивање са хост мреже у будућности.

   
   Сачувајте промене помоћу дугмета Освежити.

5. Провера статуса везе чвора са мрежом:
   Да бисте проверили статус везе на самом чвору, покрените:
   ЦЛИ:

   zerotier-cli listnetworks

   Резултат:

   200 listnetworks <nwid> <name> <mac> <status> <type> <dev> <ZT assigned ips>
200 listnetworks 2da06088d9f863be My_1st_VLAN be:88:0c:cf:72:a1 OK PRIVATE ethernet_32774 10.10.10.2/24
   ГУИ:

   Статус мреже би требао бити ОК

   Да бисте повезали преостале чворове, поновите операције 1-5 за сваки од њих.

Провера мрежне повезаности чворова

Ово радим покретањем команде пинг на уређају који је повезан на мрежу којом тренутно управљам.

На снимку екрана Веб-ГУИ контролера можете видети три чвора повезана на мрежу:

1. ЗТНЦУИ - 10.10.10.1 - мој мрежни контролер са ГУИ - ВДС у једном од РуВДС ДЦ. За нормалан рад нема потребе да га додајем на мрежу, али сам то урадио јер желим да блокирам приступ веб интерфејсу споља. Више о овоме касније. 
2. МиЦомп - 10.10.10.2 - мој радни рачунар је физички рачунар
3. Резервна копија - 10.10.10.3 — ВДС у другом ДЦ.

Због тога са свог радног рачунара проверавам доступност других чворова командама:

ping 10.10.10.1

Pinging 10.10.10.1 with 32 bytes of data:
Reply from 10.10.10.1: bytes=32 time=14ms TTL=64
Reply from 10.10.10.1: bytes=32 time=4ms TTL=64
Reply from 10.10.10.1: bytes=32 time=7ms TTL=64
Reply from 10.10.10.1: bytes=32 time=2ms TTL=64

Ping statistics for 10.10.10.1:
    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
    Minimum = 2ms, Maximum = 14ms, Average = 6ms

ping 10.10.10.3

Pinging 10.10.10.3 with 32 bytes of data:
Reply from 10.10.10.3: bytes=32 time=15ms TTL=64
Reply from 10.10.10.3: bytes=32 time=4ms TTL=64
Reply from 10.10.10.3: bytes=32 time=8ms TTL=64
Reply from 10.10.10.3: bytes=32 time=4ms TTL=64

Ping statistics for 10.10.10.3:
    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
    Minimum = 4ms, Maximum = 15ms, Average = 7ms

Корисник има право да користи и друге алате за проверу доступности чворова на мрежи, како уграђене у ОС, тако и као што су НМАП, Адванцед ИП Сцаннер, итд.

Скривамо приступ ГУИ мрежног контролера споља.

Генерално, могу да смањим вероватноћу неовлашћеног приступа ВДС-у на коме се налази мој мрежни контролер помоћу заштитног зида на мом РуВДС личном налогу. Ова тема је вероватније за посебан чланак. Стога ћу овде показати како да омогућим приступ ГУИ контролеру само са мреже коју сам креирао у овом чланку.

Да бисте то урадили, потребно је да се повежете преко ССХ-а на ВДС на коме се налази контролер и отворите конфигурациону датотеку помоћу команде:

nano /opt/key-networks/ztncui/.env

У отвореној датотеци, после реда „ХТТПС_ПОРТ=3443“ који садржи адресу порта на коме се ГУИ отвара, потребно је да додате додатни ред са адресом на којој ће се ГУИ отворити – у мом случају то је ХТТПС_ХОСТ=10.10.10.1 .XNUMX. 

Затим ћу сачувати датотеку

Сtrl+C
Y
Enter 

и покрените команду:

systemctl restart ztncui

И то је то, сада је ГУИ мог мрежног контролера доступан само за мрежне чворове 10.10.10.0.24.

Уместо закључка 

Овде желим да завршим први део практичног водича за креирање виртуелних мрежа заснованих на ЗероТиер-у. Радујем се вашим коментарима. 

У међувремену, да прођемо време до објављивања следећег дела, у коме ћу вам рећи како да комбинујете виртуелну мрежу са физичком, како да организујете режим „друмског ратника” и још нешто, предлажем да пробате организовање сопствене виртуелне мреже користећи приватни мрежни контролер са ГУИ заснованим на ВДС-у од тржишта па надаље Онлине РУВДС. Штавише, сви нови клијенти имају бесплатан пробни период од 3 дана!

ПС Да! Умало да заборавим! Можете уклонити чвор из мреже помоћу команде у ЦЛИ-у овог чвора.

zerotier-cli leave <Network ID>

200 leave OK

или команду Делете у ГУИ клијенту на чвору.

-> Увод. Теоријски део. Смарт Етхернет прекидач за планету Земљу
-> Практични водич за изградњу виртуелних мрежа. Део 1
-> Практични водич за изградњу виртуелних мрежа. Део 2

Извор: ввв.хабр.цом