ZeroTier - VPN síť za pár minut

7.8.2022 12:53 | Přečteno: 3053× | Sítě

Občas musím domů a nebývá to snadné. Některá místa, ze kterých se chci připojit, leží za sedmero NATy nebo tam síťový provoz hlídá drak.

ZeroTier je freemium služba, která umí snadno a rychle vytvořit virtuální privátní síť a propojit nesnadno dostupná zařízení připojená k internetu.

Služba je v základu zdarma. Základ tady znamená maximálně dvacet pět nodů a jednoho administrátora. Každě přímé připojení do každé sítě se počítá jako jeden node. Nic ale nebrání tomu, abychom připojili skrze jeden node celou síť.

Varování: I když je zdarma dostupný zdrojový kód i spustitelné soubory, poskytovaný software nesplňuje definici Free Software ani Open Source, protože licence vylučuje některé způsoby užití. Protože se jedná i o službu, počítejte s tím, že podmínky služby se mohou kdykoliv změnit. Původní bezplatná verze služby umožňovala připojení až sto nodů, později padesát a nelze vyloučit, že v budoucnosti dojde k dalšímu omezení.

V současnosti jsou podporovány téměř všechna zařízení s různými operačními systémy - počítače s Linuxem, Windows, MacOS i FreeBSD, routery OpenWrt a nově i Mikrotik, mobilní zařízení Android i iOS a dokonce NASy QNAP, Synology i WD. Pro ostatní zařízení zůstavá možnost vlastní kompilace.

Nastavení je jednoduché a nejsou potřeba žádné velké znalosti.

1. Registrujeme se na stránkách služby.
2. Přihlásíme se a vytvoříme si novou síť. Číslo sítě budeme potřebovat v dalším kroku.
3. Nainstalujeme software ZeroTier-One na zařízení.
4. Připojíme zařízení k virtuální síti. Na Linuxu stačí příkaz zerotier-cli join aa11bb22cc33dd44 (poslední parametr příkazu nahradíme naším číslem sítě z předchozího kroku).
5. Během několika minut by se nám zařízení mělo objevit ve webovém rozhraní pro naší síť na stránkách služby a stačí u něj zaškrtnout Auth?.

Mít připojeno pouze jedno zařízení je samozřejmě k ničemu, takže si postup podle bodů 3 až 5 zopakujeme ještě pro další zařízení.

V tomto okamžiku již máme naše zařízení připojené a podle mých zkušeností je správně nastaveno i routování přímo mezi připojenými nody a zařízení tak spolu mohou volně komunikovat.        

Komentáře

[paranoik]

Registrujeme se na stránkách služby.

No to víš...

[vlanav]

Pro paranoiky existuje síť Earth. Ta je otevřená a nevyžaduje registraci.

[Jendа]

Neznáte nějakou službu, kterou bych mohl radit lidem, co jsou za NATem, a chtěli by zpřístupnit nějakou svoji službu do normálního internetu? Já k tomu používám openvpn + DNAT na mé VPS, ale tito lidé VPS (nebo jiný počítač, kde by měli třeba alespoň SSH účet, aby si mohli udělat SSH tunel) nemají. Existuje sshReach.me, ale mají dost málo dat (10 GB měsíčně za 5 €).

[Jendа]

Jinak teda ještě by bylo zajímavé kdyby to umělo i přímo fungovat s HTTPS na 443 pomocí SNI reverzní proxy.

[X]

Tak nejak jsem doufal, ze era "cernych" serveru za klientskou pripojkou uz skoncila..

[Max]

Černý server je označení serveru za natem bez veřejné IP?
Zdar Max

[X]

Zalezi na tom? Je to server na klientske pripojce a vzdycky to klientska pripojka bude. Bez staticke IP, bez DNS, bez rychlosti etc. Nekonecny pribeh.

[kralyk z abclinuxu]

Proč je to špatně?

[X]

Nerikam, ze je to spatne, ale je to notoricky znamy problem ktery se donekonecna opakuje.

[random]

A proč je to problém?

[Jendа]

Protože když chceš chodit na dva IRC kanály, koukat se jak ti tiskne 3D tiskárna a zastavit ji když je problém, nebo se koukat jak ti vyrábí solární panely na střeše i když nejsi doma, tak na to potřebuješ zálohovanou firemní přípojku se SLA a rack se serverama.

[Max]

Já mám na spoustě místech klientskou přípojku se statickou IP i s DNS. Proto nechápu, to označení.
Zdar Max

[X]

se statickou IP i s DNS

To je ovsem dost podstatny rozdil.

[Max]

Já se ptal na význam toho slovního spojení, čemu se tak říká a kde je ta hranice. A proč se tomu říká černý server.
Ještě jsem to totiž nikde neslyšel.
Zdar Max

[X]

Asi si nerozumime. Hranice ceho presne? Ta sluzba ma nejake parametry. Rozdil mezi klient/server snad nemusim vysvetlovat.

Muze si rozbehat servere, ALE vsechno jde na tvoje triko = "hele prosimte potreboval bych ten minecraft rozchodit pro kamose.. bla, bla". Nekonecny pribeh. Nikdy to pro servery nebylo urcne. Je uplne fuk jak to pojmenujes.

[X]

cerny server, pseudo server, jakoze server.. vyber si.

[X]

Proste provozovat server aka webove stranky nekde na raspberry doma v pokoji na wifi je "voser" a vzdycky to tak bude a najaka VPN to proste nezachrani. Kazdej kdo si tim prosel to musi vedet. Nebavime se o pobockove pripojce, ktera je "taky klient"..

[_]

Prosel jsme si tim, a nevidim to jako voser. Mam staticke, jednou denne programove generovane stranky, par desitek kilobajtu celkem, par desitek pristupu denne. Doma na raspi. Funguji spolehliveji nez stranky, co mam na komercnim hostingu (ale ty maji mnohem vyssi zatez).

Pro male projekty je to naprosto v pohode reseni.

[Max]

Hranice mezi tím, co je černý server a co už není.
Na tvoje triko to jde snad vždy.
Zdar Max

[X]

Prvni slovo co mne napadlo jako to pojmenovat.. nic za tim neni. Ma to trochu negativni konotaci. No smula ;).

[rad]

No ale co to teda ten tvůj černý server je? A jeký je rozdíl mezi jím a bílým serverem? A co je na něm špatné, že jsi doufal, že jejich éra skončila?

[X]

Tak nejak jem doufal, ze dneska neni problem mit za par kacek vlastni VPS, nebo jednoduche stranky a neni potreba se trapit na strane klienta.

[kralyk z abclinuxu]

Tak samozřejmě to jde a není to nijak těžké, ale je to voser a jak píše Jenda, je celkem absurdní muset kvůli pár drobnostem typu IRC nebo 3D tiskárna spravovat server. Taky VPSku mam, ale nejradši bych se ji zbvail.

Bohužel IPv6 situaci moc nevytrhlo, protože second-system syndrome...

[Jendа]

Tak nejak jem doufal, ze dneska neni problem mit za par kacek vlastni VPS

A VPS pomůže jak když jsi přišel s tím, že problém je v tom, že ta věc, kterou chci zpřístupnit, je fyzicky na nedostatečně luxusní přípojce? (pomůže třeba s tím IRC a částečně s file sharingem pokud je to dost malé na to aby se to vešlo na disk VPS za pár korun; nepomůže s jinými věcmi)

[Jendа]

Není to podstatný rozdíl, například u UPC mají staří klienti de-facto statickou, veřejnou IPv4, a noví klienti jen IPv6 a na v4 CGNAT. A administrativně i rychlostí (mimochodem nejpomalejší tarif má 20 Mb/s upload, což je fakt strašně tragické když přes to člověk plánuje tahat textové aplikace po SSH nebo HTML stránky se třema obrázkama) je to stejné.

[X]

Jendo ja chapu tvoje rozhorceni. Sam mam UPC. Staticka to neni a nelze na to spolehat, koncove zarizeni ma smesnou konfiguraci. Podivej se na to take z pohledu poskytovatele, toho tvuj server proste nezajima a nebude. Proc by taky mel? Takze je to proste zacarovany kruh. Na hrani je to v pohode, ale jakmile potrebujes neco spolehliveho tak je to proste k nicemu a rozjizdet na tom neco seriozniho muze je blazen.

[Jendа]

Podivej se na to take z pohledu poskytovatele, toho tvuj server proste nezajima a nebude. Proc by taky mel?

Ano, proč by měl? Jako, proč bych měl potřebovat, aby ho zajímal?

Na hrani je to v pohode, ale jakmile potrebujes neco spolehliveho tak je to proste k nicemu a rozjizdet na tom neco seriozniho muze je blazen.

Tak jednak jsem nepsal o ničem seriózním a jednak je to taky o ceně, jestli ti stojí za to koukání na kurník z práce platit si místo připojení za pětikilo připojení za tři litry.

[X]

Podivej se na to take z pohledu poskytovatele, toho tvuj server proste nezajima a nebude. Proc by taky mel?

Ano, proč by měl? Jako, proč bych měl potřebovat, aby ho zajímal?

Nechapes, to. Je to o nastaveni vychozi situace. Pisu to porad dokola. Ty, jako klient poskytovale, chces server. Poskyotvatel to neresi, protoze se na tebe diva jako na klienta => si to musis vyresit sam. No a protoze jsi ve vyhozim stavu jako klient, tak aby jsi mohl provozovat server, tak proste VZDYCKY mas pred sebou nejake prekazky. => domnekoneckna se opakujici problem "jsem klient, ale chci server".

Jak vyresim donekonecna se opakujici problem? Vykaslu se na nej..

[Gilhad]

Ten problém "chci server" se řeší stejně když máš vlastní železo v hostingu, VPS, nebo doma RPi v domácí síti.

Prostě nainastaluješ server, služby, co chceš poskytovat a data která tam chceš mít. Problém u všech tří naprosto stejný.

U domácího jen na routeru nastavíš co má jít na něj a co jinam (což je na pár kliknutí, nebo řádků v routovací tabulce) a případně někam na web hodíš odkaz, že "MojeRpi" je zrovna na adrese 12.23.34.45 - ideálně proklikávací. (Já to mám jako PHP stránku asi 20 let starou, co chodí furt stejně, beze změn.)

Čili "donekonecna se opakujici problem" je nastavení NATu/firewalu, kde v domácí síti máš ten server. Jednou, při spuštění toho serveru. Big problem...

[Jendа]

Jak vyresim donekonecna se opakujici problem? Vykaslu se na nej..

To znamená že nemám mít vzdálené posílání jobů do 3D tiskárny, nebo že si mám zaplatit 3k měsíčně za přípojku kterou budeš považovat za dostatečně luxusní?

[X]

Kazdy poskytovatel ma trochu jine parametry, jine zarizeni, hazi jine klacky pod nohy a zarove kazde reseni muze byt jine na zaklade zkusenosti uzivatele, pozadavku. Na tohle zadne univerzalni reseni proste nenajdes.

[X]

Jinymy slovy je to ztrata casu a nema smysl se tim dale zabivat. To co potrebujes ty, nekdo jiny potrebuje jinak. "Tato rovnice ma nekonecne mnoho reseni." Tecka.

[prqek]

Víš co je zvláštní? Mě tohle už mnoho let bez problémů funguje :)

[X]

Ano, tobe funguje tvoje reseni. Gratuluju.

[prqek]

Ano a vycházel jsem z tebou popsaného stavu a na žádný donekonečna se opakující problém jsem nenarazil.

[X]

Co to dokazuje? Ze, kdyz to zvladnes ty tak to zvladne kazdy?

[rad]

A co se nám snažíš sdělit ty? Protože mě to z těch tvých příspěvků vůbec není jasné. Něco se ti nelíbí, ale není mi jasné co a už vůbec ne proč...

[X]

Muzes byt konretni? Co ti neni jasne? Nechci se porad opakovat dokola.

[rad]

No to já bych chtěl právě od tebe, abys byl konkrétní, protože z těch mnoha příspěvků, které jsi tu napsal se mi nedaří poskládat o co ti vlastně jde. (A ačkoli bych nerad mluvil za ostatní, tak mám pocit, že nejsem zdaleka sám.)

[kralyk z abclinuxu]

Taky jsem z toho měl dojem "neříkám tak ani tak, ale na má slova dojde" ...

[X]

Ja se na neco ptal? Ptal se Jenda, napsal jsem svuj nazor. Doufal jsem, ze temhle problemum je konec.

[hefo]

Ja by som to ohodnotil tak, že nijakú pridanú hodnotu tvoje príspevky neprinášajú, ale len "podjebávaš", ako sa tu občas hovorí.

[X]

Napsal jsem svuj nazor, byl neutralni a stojim si za nim. Jakou hodnotu ma tvuj prispevek?

[Gilhad]

Jak vyresim donekonecna se opakujici X? Vykaslu se na nej..

[X]

lol ;D Presne tak!

[prqek]

Nikoli, jen to, že s tím není spojen donekonečna se opakující problém a není to černý server.

[Fluttershy, yay!]

Ty, jako klient poskytovale, chces server. Poskyotvatel to neresi, protoze se na tebe diva jako na klienta => si to musis vyresit sam.

No dobře, ale na „idelálním trchu“ by si zákazník prostě vybral jiného poskytovatele se vstřícnějším přístupem.

To evidentně na řadě míst není možné, protože tam má nějaký poskytovatel monopol (několik málo poskytovatelů oligopol) a jsou to právě poskytovatelé s takovým nepřátelským přístupem.

Řešení nabízejí různá řekněme zájmová sdružení, zároveň však pro ně musí být prostor – v případě mono-/oligopolů je základem aktivní antimonopolní politika, aka antitrust.

Addendum: A to můžeme být rádi, že tu nějaké dráty tahal svého času veřejný Telekom.

U O2 bohužel nemají noví klienti bez příplatku ani ten IPv6, viz: https://www.o2.cz/osobni/pevna-ip-adresa-pro-internet-na-doma

Tak nejak jsem doufal, ze era parodii na "internetove pripojeni" bez verejne IP (v6 prefixu) uz skoncila.

[X]

:(

[Max]

Takže hledáš Cloudflare Tunnel daemon? Jen to musí stát skoro nula nula nic měsíčně?
Zdar Max

[Jendа]

To vypadá zajímavě, mají i free plan, jen nějak nepíšou jak je omezený.

[jejda]

Já na toto používám tor. Spustíš si co chceš. Všecko ti jede na tvojem stoji pod tvojí kontrolou. Veřejná ip není potřeba, tvůj "server" bude klidně fungovat i za devatero naty na free wifi někde na benzince. A jako bonus nemusíš vůbec řešit šifrování, poplatky, nějaké licence nebo legálnost čehokoli a další přihlouplá omezení.

[Max]

Ale zase budeš řešit obrovské problémy s výkonem / propustností.
Zdar Max

[Jendа]

A lidi na to chodí přes tor2web nebo jak?

[jejda]

Jsem ani netušil že něco jako tor2web existuje. Moje okolí většinou tor zná a používá. Já to používám spíš takovým stylem "poloveřejná VPN" Kdo zná ty správné onion adresy, může se připojit. V případě kdy moc nezáleží na anonymitě jde tor nastavit tak, aby ty services šly ven jenom přes jeden hop a není to potom ani tak pomalé. Pro toho kdo ale potřebuje něčím krmit masy lidí na clearnetu, nebude tor nejlepší řešení. No je fajn mít možnost cokoli nasdílet světu a nemuset se nikoho doprošovat nebo bát, někoho uplácet nebo ze sebe dělat zboží. Taky to pomáhá dělat internet trochu víc decentralizovaným.

[jiwopene]

V poslední době to už moc nepoužívám, ale je to také možnost.