DHCP marşrutları trafiki VPN tunelindən yan keçirə bilərmi?

Şifrələmə bir sərhəddə başlayır və bu sərhəd son nöqtənin hər hansı paket inkapsulyasiya edilməzdən əvvəl verdiyi marşrut qərarıdır. Açarlarınızı heç vaxt görməyən bir şəbəkə yenə də maşınınıza tunelin özündən daha üstün gördüyü bir marşrut verə bilər. Burada iki uğursuzluq qarışdırılır: artıq tunelin içində olan paketi oxumaq və heç ora qoyulmamış paketi yönləndirmək.

Bu fərq vacibdir, çünki ikinci uğursuzluğu təşkil etmək daha ucuz, onu qaçırmaq isə qat-qat asandır. O, müştəri hələ də sağlam əlaqə bildirərkən səhv interfeysdən çıxmış sorğu kimi üzə çıxır.

Şəbəkə sizə iki yolla təsir edə bilər

Tunelə çatan paketin yükü keçdiyi hər atlama üçün gizlidir və bu qoruma yol sizi təəccübləndirdiyi halda belə davam edir. Tunelə heç çatmayan paket isə ünvanınızdan gələn adi sorğudur və marşrut cədvəlinin göstərdiyi yerə göndərilir. Birinci uğursuzluq sınıq şifrə və ya ələ keçirilmiş həmkar tələb edir, ikincisi isə yalnız maşınınızın etibar etməyi seçdiyi bir konfiqurasiya mesajı. Bu asimmetriya yönləndirmə yarısının öz yoxlamasına layiq olmasının səbəbidir.

Yolda olan avadanlığın ikinci halı təsirləndirmək üçün açarlarınıza ehtiyacı yoxdur. Ona yalnız son nöqtənizin marşrut, həlledici və ya törədən bir siyasət qaydası qəbul etməsi lazımdır.

expected:  app -> tunnel device -> encapsulation -> internet
observed:  app -> wlan0        -> plaintext     -> internet

Marşrut tunel yaranmadan əvvəl haradan gələ bilər

DHCP yalnız ünvan icarəsindən çox şey paylayır. Sinifsiz statik marşrut seçimi təyinat prefikslərini və növbəti atlamaları daşıya bilər vəRFC 3442 səhv marşrutlaşdırıcı ünvanının təhlükəsizlik nəticələrini müzakirə edir: yanlış yönləndirilmiş trafik, xidmətdən imtina və ya yolda oturmuş müşahidəçi. Bu marşrutları tunel qalxmazdan əvvəl qəbul edən müştəri, provayderinizlə heç bir əlaqəsi olmayan üstünlük verilən yolla qala bilər.

Bunların heç biri marşrut inyeksiyasını universal etmir. Müştəri seçimi qəbul etməlidir, prefiks sizi maraqlandıran trafiki əhatə etməlidir, seçilmiş növbəti atlama əlçatan olmalıdır və icra siyasəti paketin o yolla çıxmasına icazə verməlidir. Bunlardan hər hansı birini çıxarın və eyni cavab zərərsiz olur. Buna görə də bir şəbəkədəki iki maşın fərqli davrana bilər, çünki onlar nə eyni müştərini, nə eyni siyasəti, nə də eyni ünvan ailəsini işlədirlər.

IPv6 ayrıca keçidə layiqdir, çünki marşrutlaşdırıcı elanları standart marşrutu DHCPv4 seçimindən fərqli kodla daşıyır. Yalnız v4 cədvəlini yoxlayan test bunu əhatə etməmiş olur.

Nüvənin həqiqətən seçdiyi yolu yoxlayın

Marşrut axtarışları cavablandırıla biləndir, ona görə status işığından nəticə çıxarmaq əvəzinə onlardan soruşun. Aşağıdakı əmrlər bir təyinat üçün seçilmiş marşrutu və mənbəni, həmçinin əsas cədvəli üstələyə bilən qaydaları göstərir. Onları qoşulmuş halda və yenidən qoşulduqdan sonra işə salın, çünki icarənin yenilənməsi cavabı dəyişə bilər.

ip route get 203.0.113.10
ip route show table all | grep -E '^(default|203\.0\.113)'
ip rule show
resolvectl query example.com

Çıxışı iki şey üçün oxuyun: marşrutda göstərilən interfeys və seçilmiş mənbə ünvanı. Tunel marşrutu tunel qurğusunu, sızmış marşrut fiziki qurğunu göstərir və fərq heç nəyi deşifrə etmədən görünür. Əgər cavab işə salmalar arasında dəyişirsə, hər iki çıxışı saxlayın və onları yaradan qaydaları müqayisə edin.

Standart marşrutda dayanmayın. Tətbiq istisnası, bölünmüş tunel prefiksi və ya ikinci siyasət qaydası müəyyən bir təyinatı tunelin ətrafından keçirə bilər, halbuki standart hələ də onun içinə işarə edir.

İcranın harada yaşamalı olduğuna qərar verin

Üç şərt müştəri tərəfindəki icranın kifayət edib-etmədiyini və ya ondan kənarda bir şey lazım olduğunu müəyyən edir. Əgər müştəri istifadə etdiyiniz hər ünvan ailəsi üçün marşrutları quraşdırır və müdafiə edirsə, standartı sahiblənən tunel adətən kifayətdir. Əgər maşın yerli resurslara çatmalı, qalan hər şey isə tunelin içində qalmalıdırsa, o istisnalar giriş şəbəkəsinin elan etdiyinə buraxılmaq əvəzinə sadalanmalı və sahiblənilməlidir. Və əgər platforma trafiki hər tətbiq üzrə interfeysə bağlaya bilirsə, bu bağlama hər şeyin üstələyə biləcəyi bir marşrutdan daha güclü zəmanətdir.

Hansını seçsəniz də, qərarı konfiqurasiyanın yaşadığı yerə yazın. Kiminsə hadisə zamanı yazdığı üçün mövcud olan qayda növbəti yenidən başlatmadan sağ çıxmayacaq, ona görə yerli və önyükləmə istisnalarını dar saxlayın və hər birinin niyə mövcud olduğunu qeyd edin.

Hər müştəri yeniləməsindən və hər şəbəkə dəyişikliyindən sonra axtarış əmrlərini yenidən işə salın və son qeydə alınmış çıxışla müqayisə edin. Marşrut cədvəli icra sərhədidir, ona görə ona belə davranın.