Turvavõrk GhostMeshi ruuteri/Linuxi TUN-režiimi taga
TUN-režiim suunab läbi tunneli ümber seadme vaikemarsruudi ja DNS-i — see on kõige riskantsem muudatus ruuteril või masinal, millele pääsed ligi ainult SSH kaudu, sest halb seadistus võib katkestada just selle ühenduse, mida vajaksid selle parandamiseks. GhostMesh kaitseb seda muudatust kahe sõltumatu taastejälguriga.
Miks see on ruuteris olulisem kui lauaarvutis
Lauaarvutis on marsruutimisviga tüütu, kuid sa istud masina ees. Ruuteril, mida hallatakse ainult sama ühenduse kaudu, mida TUN-režiim kohe ümber suunab, võib viga sind täielikult välja lukustada — klassikaline "muutsin tulemüürireeglit, kaotasin SSH-seansi" rikkestsenaarium.
Kaks sõltumatut kaitsekihti
Kumbki taastejälgur võib rikneda sõltumatult, ilma et seade jääks lõksu, sest need ei sõltu üksteisest ega samast töötavast protsessist.
| Kiht | Töötab kui | Mida see püüab kinni |
|---|---|---|
| Protsessisisene | Osa srsp-client'ist endast | Pöörab tagasi äsja rakendatud marsruudid/DNS-i, kui ükski upstream ei muutu kättesaadavaks kinnitusaja jooksul (vaikimisi 30 s), seejärel langeb tagasi ainult-proxy režiimi |
| Kesta tasand | Eraldiseisev jälgurprotsess, mis on relvastatud enne mistahes käivitumist | Töötab edasi isegi siis, kui srsp-client tapetakse otse, või kui TUN-režiim ise on see, mis katkestas seansi, millega see käivitati |
Mis taastatakse
Mõlemad kihid eemaldavad ainult selle, mille GhostMesh ise lisas — mitte kunagi ruuteri või serveri eelnevat vaikemarsruuti. See teebki ohutuks käsitsi break-glass taastekäsu käivitamise igal ajal, mitte ainult rikke ajal.
- Proxy-režiimil pole algusest peale midagi taastada, sest see ei puutu kunagi marsruutimist ega DNS-i.
- TUN-režiimi taastamine on piiratud täpselt nende marsruutide/DNS-kirjetega, mille GhostMesh ühendamisel rakendas.
- Kesta tasandi jälgur relvastatakse enne ühenduskatse algust, seega kaitseb see isegi rikke eest juba esimese käepigistuse ajal.
KKK
Milline on vaikimisi ajapiirang enne taastamise käivitumist?
30 sekundit (confirm_timeout_secs) ilma kättesaadava upstreamita, mille järel protsessisisene jälgur pöörab oma muudatused tagasi ja langeb tagasi ainult-proxy režiimi.
Kas jälgur eemaldab minu ruuteri enda vaikemarsruudi?
Ei. Mõlemad kihid eemaldavad ainult selle, mille GhostMesh ühendamisel ise lisas — sinu eelnevat vaikemarsruuti ei puudutata kunagi.
Mis juhtub, kui srsp-client jookseb kokku, mitte lihtsalt ei suuda ühenduda?
Kesta tasandi jälgur on eraldiseisev protsess, mis relvastatakse enne ühenduse algust, seega töötab see edasi isegi siis, kui srsp-client tapetakse otse või kui TUN-muudatus ise katkestab seansi, millega see käivitati.