求教大佬们使用 zerotier 组网后,如何让 A 服务可以访问 B 服务,B 服务不能主动访问 A 服务

[git00ll]

A 服务是家中的 nas ，上面存储很多隐私。
B 服务是服务器，想用服务器的算力因此在服务器上部署了服务，但不想公开在公网上。
现在 AB 使用 zerotier 组成局域网，担心 B 服务器被攻破后导致 A 服务资料泄露。

因此想要做到 A 机器像局域网一样访问 B 服务，但阻止 B 直接访问 A 机器。

我能想到的方案是 A 服务上安装防火墙禁止 B 的内网 IP 入站，不确定 B 上面的 zerotier 能不能自己更改内网 IP 地址避开防火墙。

求教有其他方案吗？

---

部署的服务是 immich 的机器学习，因家中 nas 性能不行，想放在服务器上运行。

[hefish]

自己用 iptables 设置一下吧。
iptables -P INPUT DROP
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

[git00ll]

@hefish iptable 用的不太溜， 用 UFW 也是一样的吧

[steptodream]

zerotier 在国内会被河蟹吗 之前在论坛上看到了 自己也搞了一个中转连接国外的桌面 结果用了 10 来天 国内电脑里的 zerotier 就不正常了 无法连接到国外的机器了 国外机器之间是通的

[git00ll]

@steptodream 坐标上海，我用的挺好

[LoveMyself546]

我用的 tailscale ，在 web 控制台可以设置每个设备的单点策略，精确到端口

[hefish]

@git00ll ufw 不熟悉啊，反正就是让 外面的连接不能进 A 。 如果要再限制一下，就是仅允许 A 发起的连接进入 B 。