求教大佬们使用 zerotier 组网后,如何让 A 服务可以访问 B 服务,B 服务不能主动访问 A 服务

[git00ll]

A 服务是家中的 nas ，上面存储很多隐私。
B 服务是服务器，想用服务器的算力因此在服务器上部署了服务，但不想公开在公网上。
现在 AB 使用 zerotier 组成局域网，担心 B 服务器被攻破后导致 A 服务资料泄露。

因此想要做到 A 机器像局域网一样访问 B 服务，但阻止 B 直接访问 A 机器。

我能想到的方案是 A 服务上安装防火墙禁止 B 的内网 IP 入站，不确定 B 上面的 zerotier 能不能自己更改内网 IP 地址避开防火墙。

求教有其他方案吗？

---

部署的服务是 immich 的机器学习，因家中 nas 性能不行，想放在服务器上运行。

[hefish]

自己用 iptables 设置一下吧。
iptables -P INPUT DROP
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

[git00ll]

@hefish iptable 用的不太溜， 用 UFW 也是一样的吧