Llwybr blackhole yn erbyn kill switch VPN: beth mae pob un yn ei wneud

Mae pecyn yn gadael gliniadur, byth yn cyrraedd porth VPN, ac nid oes un cyfrifydd mur tân yn symud. Mae'r tabl llwybro eisoes wedi penderfynu tynged y pecyn: cyfarfu cofnod blackhole ag ef a gollyngodd y cnewyllyn ef cyn i unrhyw ryngwyneb ei weld. Mae'r ymddygiad hwnnw'n ddefnyddiol pan ddylai cyrchfan fethu'n gaeedig, ond gweithred llwybro â chwmpas cul yw hi. Triniaeth ohoni fel kill switch cyflawn yw'r man lle mae cynlluniau'n mynd o'i le.

Beth mae'r weithred daflu yn ei chyfateb mewn gwirionedd

Mae chwiliad llwybr yn dewis tabl, yna y rhagddodiad cyfatebol hiraf ynddo. Mae llwybr blackhole yn gofnod arferol a'i weithred yw taflu, felly dim ond pecynnau a fyddai wedi dewis y cofnod hwnnw ar ôl y penderfyniad cyfan y mae'n effeithio arnynt. Newidiwch y tabl gyda rheol polisi, neu ychwanegwch ragddodiad mwy penodol, ac nid yw'r taflu'n berthnasol mwyach.

Dyna pam mae cwmpas blackhole yn fanwl ac yn hawdd ei ddatgan: mae'n cwmpasu'r rhagddodiad, yn y tabl, ar gyfer y teulu cyfeiriadau hwnnw. Nid yw'n cwmpasu cyrchfan y byddai tabl arall yn ei hennill, ac nid yw'n cwmpasu IPv6 dim ond oherwydd bod rhagddodiad IPv4 yn cael ei daflu.

ip route get yn dangos y penderfyniad cyn i chi ddefnyddio unrhyw beth, gan gynnwys y tabl a'r math o lwybr. Mae darllen yr allbwn hwnnw'n gyflymach na chasglu o gais aflwyddiannus pa reol neu ragddodiad a fu'n gweithredu.

Nid yw blackhole yr un peth ag unreachable neu prohibit

Mae Linux yn cynnig tri math o lwybr tebyg i daflu, ac maent yn wahanol yn yr hyn y mae'r anfonwr yn ei weld. Mae blackhole yn gollwng y pecyn heb ateb, felly mae'r cleient yn gweld goramser. Mae llwybr unreachable yn dychwelyd neges ICMP unreachable, felly mae'r cysylltiad yn methu'n gyflym gyda gwall gwesteiwr neu rwydwaith. Mae llwybr prohibit yn dychwelyd gwall gwaharddiad gweinyddol, sy'n agosach at wrthodiad polisi bwriadol.

Dewiswch yr ymddygiad yr ydych am i'r cymhwysiad ei weld. Mae taflu distaw yn briodol pan nad ydych am ddatgelu'r polisi, ac mae gwall ar unwaith yn well pan fo angen i ddefnyddwyr ddeall pam mae cyrchfan yn anarferol. Mae cymysgu'r mathau ar draws rhwydwaith yn creu tocynnau cymorth sy'n disgrifio'r un polisi fel tri diffyg gwahanol.

Peidiwch â chymryd bod pob cofnod taflu yn gyfnewidiol pan fyddwch yn diagnosio cysylltiad. Mae testun y gwall, yr amseriad a'r dal pecynnau'n wahanol, ac mae math y llwybr yn y tabl yn dweud wrthych pa un yr ydych yn edrych arno. llawlyfr ip-route yn rhestru'r mathau a'u hymddygiad gwall.

Sut mae'n cymharu â kill switch

Mae kill switch yn hidlo pecynnau: rheol mur tân sy'n taflu traffig allanol a fyddai'n gadael y tu allan i'r tiwnel. Penderfyniad anfon a wneir yn gynt yn y pentwr yw llwybr blackhole. Gall y ddau atal traffig, ond maent yn gweld pethau gwahanol ac yn colli achosion gwahanol.

Cwmpas yw'r man lle mae'r gymhariaeth yn bwysig. Gall mur tân gyfateb perchennog, porth neu ryngwyneb a gall rwystro cymhwysiad tra'n gadael y pwynt terfyn yn gyrraeddadwy; ni all llwybr wneud hynny. I'r gwrthwyneb, gall llwybr anfon rhagddodiad cyfan i daflu heb lwytho unrhyw hidlydd pecynnau, sy'n ddefnyddiol ar system hynod syml.

Mae AllowedIPs WireGuard yn llwybro cryptogoriadur, nid mur tân. Mae'n penderfynu pa ragddodiadau cyrchfan a dderbynnir i'r rhyngwyneb, ac mae proffil sy'n rhestru is-rwydwaith y tiwnel yn unig yn gadael cyrchfannau eraill i'r llwybr diofyn arferol. Dyna pam mae proffiliau tiwnel llawn yn defnyddio 0.0.0.0/0 a dyna pam mae wg-quick hefyd yn gosod rheolau mur tân pan all.

Cadwch bwynt terfyn y tiwnel y tu allan i'r taflu

Rhaid i gyfeiriad allanol y pwynt terfyn aros yn gyrraeddadwy drwy'r rhyngwyneb ffisegol. Mae taflu sy'n dal y cyfeiriad hwnnw hefyd yn atal yr ysgwyd llaw rhag gadael, ac nid yw'r tiwnel byth yn codi, sy'n edrych fel methiant VPN yn hytrach na pholisi llwybro. Gwiriwch lwybr y pwynt terfyn cyn ac ar ôl y newid.

Mae mynediad rheoli yn perthyn i'r un adolygiad. Os mai'r tiwnel yw'r unig lwybr at y llwybrydd neu'r cleient, gall taflu sy'n rhy eang eich cloi allan o'r peiriant a fyddai'n caniatáu ichi ei dynnu. Cadwch lwybr all-wregys wedi'i ddogfennu, consol, neu wrthdroi â therfyn amser.

Mae IPv6 angen ei gofnod ei hun a'i adolygiad ei hun. Mae cynllun sy'n taflu IPv4 i blackhole tra'n gadael IPv6 ar y llwybr diofyn yn gollwng yn union y traffig yr oedd y polisi'n bwriadu ei atal, ac mae'r camgymeriad yn anweledig mewn prawf IPv4 yn unig.

Cyflwynwch ef gyda therfyn amser ac wrthdroi

Cymhwyswch y llwybr gyda thynnu awtomatig byr fel na all camgymeriad barhau ar draws ailgychwyn. Mae'r gorchmynion isod yn defnyddio ystod dogfennaeth; disodlwch hi gyda'r rhagddodiad y mae eich cynllun yn ei daflu mewn gwirionedd:

sudo ip route replace blackhole 10.0.0.0/8
ip route get 10.1.2.3
sudo systemd-run --on-active=60 /sbin/ip route del blackhole 10.0.0.0/8

Dylai'r ail orchymyn adrodd y llwybr blackhole a'r tabl y daeth ohono. Mae'r trydydd yn trefnu tynnu ymhen munud, sy'n ddigon o amser i gadarnhau'r polisi ac yn ddigon byr i wella o gamgymeriad ar westeiwr o bell. Unwaith y cadarnheir yr ymddygiad, gwnewch y cofnod yn barhaol drwy'r un rheolaeth ffurfweddu sy'n berchen ar y llwybrau eraill.

Caewch y newid drwy gofnodi'r rhagddodiad, y tabl, y teulu cyfeiriadau a'r dull gwrthdroi. Mae taflu yn eithriad bwriadol yng nghynllun y llwybro, ac mae ar y peiriannydd nesaf angen gwybod pa draffig yr oedd i fod i'w atal cyn penderfynu a yw'n dal i berthyn.