Kan DHCP-roetes jou verkeer om die VPN-tonnel stuur?

Enkripsie begin by 'n grens, en daardie grens is 'n roetebesluit wat die eindpunt neem voordat enige pakket ingekapsel word. 'n Netwerk wat nooit jou sleutels sien nie, kan steeds jou masjien 'n roete gee wat dit beter vind as die tonnel s'n. Twee foute word hier verwar: 'n pakket lees wat reeds in die tonnel is, en 'n pakket stuur wat nooit daar geplaas is nie.

Die onderskeid is belangrik omdat die tweede fout goedkoper is om te bewerkstellig en baie makliker om te mis. Dit wys as 'n versoek wat deur die verkeerde koppelvlak vertrek het terwyl die kliënt steeds 'n gesonde verbinding gerapporteer het.

Twee maniere waarop 'n netwerk jou kan beïnvloed

'n Pakket wat die tonnel bereik, het sy vrag verborge vir elke springplek wat dit kruis, en daardie beskerming hou standaard selfs wanneer die pad jou verras. 'n Pakket wat nooit die tonnel bereik nie, is 'n gewone versoek van jou adres, gestuur waarheen die roetetabel ook al gewys het. Die eerste fout vereis 'n gebroke syfer of 'n gekompromitteerde eweknie, terwyl die tweede net 'n konfigurasieboodskap vereis wat jou masjien gekies het om te vertrou. Daardie asimmetrie is waarom die roete-helfte sy eie oorsig verdien.

Toerusting op die pad het nie jou sleutels nodig om die tweede geval te beïnvloed nie. Dit het net jou eindpunt nodig om 'n roete, 'n oplosser of 'n beleidsreël te aanvaar wat een lewer.

expected:  app -> tunnel device -> encapsulation -> internet
observed:  app -> wlan0        -> plaintext     -> internet

Waar 'n roete kan kom voordat die tonnel bestaan

DHCP deel meer uit as net 'n adreshuur. Die klasselose statiese roete-opsie kan bestemmingsvoorvoegsels en volgende spronge dra, en RFC 3442 bespreek die sekuriteitsgevolge van 'n verkeerde routeradres: misgeleide verkeer, 'n diensweiering, of 'n waarnemer wat op die pad stelling inneem. 'n Kliënt wat daardie roetes aanvaar voordat die tonnel op is, kan eindig met 'n voorkeurpad wat niks met jou verskaffer te doen het nie.

Nie een daarvan maak roete-inspuiting universeel nie. Die kliënt moet die opsie aanvaar, die voorvoegsel moet die verkeer dek waarvoor jy omgee, die gekose volgende sprong moet bereikbaar wees, en die handhawingsbeleid moet die pakket daardie pad laat uitgaan. Verwyder enige een daarvan en dieselfde antwoord is onskadelik. Dit is ook waarom twee masjiene op een netwerk anders kan optree, want hulle hardloop nie dieselfde kliënt, dieselfde beleid of selfs dieselfde adresfamilie nie.

IPv6 verdien sy eie deurloop, want routeraankondigings dra 'n verstekroete deur ander kode as wat die DHCPv4-opsie doen. 'n Toets wat net die v4-tabel ondersoek, het dit nie gedek nie.

Kontroleer die pad wat die kern werklik kies

Roete-opsoeke is beantwoordbaar, so vra hulle eerder as om uit 'n statuslig af te lei. Die opdragte hieronder wys die gekose roete en bron vir een bestemming, plus die reëls wat die hooftabel kan oorheers. Hardloop hulle terwyl jy verbind is en weer ná 'n herverbinding, want 'n huurhernuwing kan die antwoord verander.

ip route get 203.0.113.10
ip route show table all | grep -E '^(default|203\.0\.113)'
ip rule show
resolvectl query example.com

Lees die uitset vir twee dinge: die koppelvlak wat in die roete genoem word en die bronadres wat gekies is. 'n Tonnelroete noem die tonneltoestel, 'n gelekte roete noem die fisiese een, en die verskil is sigbaar sonder om enigiets te dekripteer. As die antwoord tussen lopies verander, hou beide uitsette en vergelyk die reëls wat hulle geproduseer het.

Moenie by die verstekroete stop nie. 'n Toepassing-uitsondering, 'n gesplete-tonnel-voorvoegsel of 'n tweede beleidsreël kan 'n spesifieke bestemming om die tonnel dra terwyl die verstek steeds daarin wys.

Besluit waar handhawing moet woon

Drie voorwaardes bepaal of handhawing aan die kliëntekant genoeg is, of jy iets daarbuite nodig het. As die kliënt roetes vir elke adresfamilie wat jy gebruik installeer en verdedig, is 'n tonnel wat die verstek besit gewoonlik voldoende. As die masjien plaaslike hulpbronne moet bereik terwyl alles anders in die tonnel bly, moet daardie uitsonderings gelys en besit word eerder as om dit aan die toegangsnetwerk se aankondigings oor te laat. En as die platform verkeer per toepassing aan 'n koppelvlak kan bind, is daardie binding 'n sterker waarborg as 'n roete wat enigiets kan oorheers.

Watter een jy ook kies, skryf die besluit waar die konfigurasie woon. 'n Reël wat bestaan omdat iemand dit tydens 'n voorval getik het, sal nie die volgende herlaai oorleef nie, so hou plaaslike en selflaai-uitsonderings smal en teken aan waarom elkeen bestaan.

Voer die opsoekopdragte weer uit ná elke kliëntopgradering en elke netwerkverandering, en vergelyk met die laas aangetekende uitset. Die roetetabel is die handhawingsgrens, so behandel dit as een.