A all llwybrau DHCP anfon eich traffig o amgylch y twnnel VPN?

Mae amgryptio'n dechrau ar ffin, a'r ffin honno yw penderfyniad llwybro y mae'r pwynt terfyn yn ei wneud cyn i unrhyw becyn gael ei amgáu. Gall rhwydwaith nad yw byth yn gweld eich allweddi roi llwybr i'ch peiriant sy'n well ganddo na llwybr y twnnel ei hun. Mae dau fethiant yn cael eu drysu yma: darllen pecyn sydd eisoes y tu mewn i'r twnnel, a llywio pecyn na chafodd ei roi yno erioed.

Mae'r gwahaniaeth yn bwysig oherwydd bod yr ail fethiant yn rhatach i'w drefnu ac yn llawer haws i'w golli. Mae'n ymddangos fel cais a adawodd drwy'r rhyngwyneb anghywir tra bod y cleient yn dal i adrodd am gysylltiad iach.

Dwy ffordd y gall rhwydwaith effeithio arnoch

Mae pecyn sy'n cyrraedd y twnnel yn cael ei lwyth wedi'i guddio rhag pob naid y mae'n ei chroesi, ac mae'r amddiffyniad hwnnw'n dal hyd yn oed pan fydd y llwybr yn eich synnu. Mae pecyn na chyrhaeddodd y twnnel erioed yn gais cyffredin o'ch cyfeiriad, a anfonwyd i ble bynnag y pwyntiodd y tabl llwybro. Mae'r methiant cyntaf angen seiffr wedi torri neu gymar wedi'i gyfaddawdu, tra bod yr ail angen dim ond neges ffurfweddu y dewisodd eich peiriant ymddiried ynddi. Dyna'r anghymesuredd sy'n golygu bod haen y llwybro yn haeddu ei hadolygiad ei hun.

Nid oes angen eich allweddi ar offer ar y llwybr i ddylanwadu ar yr ail achos. Yr hyn sydd ei angen arno yw i'ch pwynt terfyn dderbyn llwybr, datryswr, neu reol bolisi sy'n cynhyrchu un.

expected:  app -> tunnel device -> encapsulation -> internet
observed:  app -> wlan0        -> plaintext     -> internet

O ble y gall llwybr ddod cyn i'r twnnel fodoli

Mae DHCP yn dosbarthu mwy nag arlais cyfeiriad. Gall yr opsiwn llwybr statig digyfres gludo rhagddodiaid cyrchfan a naid nesaf, ac mae RFC 3442 yn trafod canlyniadau diogelwch cyfeiriad llwybrydd anghywir: traffig wedi'i gyfeirio'n anghywir, gwrthodiad gwasanaeth, neu arsylwr wedi'i leoli ar y llwybr. Gall cleient sy'n derbyn y llwybrau hynny cyn i'r twnnel godi gael llwybr a ffefrir nad oes dim i'w wneud â'ch darparwr.

Nid yw unrhyw un o'r rheini'n gwneud chwistrellu llwybrau yn gyffredinol. Rhaid i'r cleient dderbyn yr opsiwn, rhaid i'r rhagddodiad gynnwys y traffig sy'n bwysig i chi, rhaid i'r naid nesaf a ddewiswyd fod yn gyrraeddadwy, a rhaid i'r polisi gorfodi ganiatáu i'r pecyn fynd allan y ffordd honno. Tynnwch unrhyw un o'r rheini ac mae'r un ymateb yn ddiniwed. Dyna hefyd pam y gall dau beiriant ar un rhwydwaith ymddwyn yn wahanol, gan nad ydynt yn rhedeg yr un cleient, yr un polisi, nac hyd yn oed yr un teulu cyfeiriadau.

Mae IPv6 yn haeddu ei docyn ei hun, oherwydd bod hysbysebion llwybrydd yn cario llwybr diofyn drwy god gwahanol i'r un y mae opsiwn DHCPv4 yn ei ddefnyddio. Nid yw prawf sy'n archwilio tabl v4 yn unig wedi'i gwmpasu.

Gwiriwch y llwybr y mae'r cnewyllyn yn ei ddewis mewn gwirionedd

Mae chwiliadau llwybr yn atebol, felly gofynnwch iddynt yn lle casglu o olau statws. Mae'r gorchmynion isod yn dangos y llwybr a'r ffynhonnell a ddewiswyd ar gyfer un gyrchfan, ynghyd â'r rheolau a all orbwyso'r prif dabl. Rhedwch nhw tra byddwch wedi'ch cysylltu ac eto ar ôl ailgysylltu, oherwydd gall adnewyddu arlais newid yr ateb.

ip route get 203.0.113.10
ip route show table all | grep -E '^(default|203\.0\.113)'
ip rule show
resolvectl query example.com

Darllenwch yr allbwn am ddau beth: y rhyngwyneb a enwir yn y llwybr a'r cyfeiriad ffynhonnell a ddewiswyd. Mae llwybr twnnel yn enwi'r ddyfais twnnel, mae llwybr wedi gollwng yn enwi'r un ffisegol, ac mae'r gwahaniaeth yn weladwy heb ddadgryptio dim. Os yw'r ateb yn newid rhwng rhediadau, cadwch y ddau allbwn a chymharwch y rheolau a'u cynhyrchodd.

Peidiwch ag aros ar y llwybr diofyn. Gall eithriad ap, rhagddodiad twnnel hollt, neu ail reol bolisi gludo cyrchfan benodol o amgylch y twnnel tra bod y diofyn yn dal i bwyntio i mewn iddo.

Penderfynwch ble y dylai gorfodi byw

Mae tri amod yn penderfynu a yw gorfodi ar ochr y cleient yn ddigon neu a oes angen rhywbeth y tu allan iddo. Os yw'r cleient yn gosod ac yn amddiffyn llwybrau ar gyfer pob teulu cyfeiriadau a ddefnyddiwch, mae twnnel sy'n berchen ar y diofyn fel arfer yn ddigon. Os oes rhaid i'r peiriant gyrraedd adnoddau lleol tra bod popeth arall yn aros yn y twnnel, rhaid rhestru'r eithriadau hynny a'u perchenogi yn lle eu gadael i'r hyn y mae'r rhwydwaith mynediad yn ei hysbysebu. Ac os gall y platfform rwymo traffig i ryngwyneb fesul ap, mae'r rhwymiad hwnnw'n warant gryfach na llwybr y gall unrhyw beth ei orbwyso.

Pa un bynnag a ddewiswch, ysgrifennwch y penderfyniad lle mae'r ffurfweddiad yn byw. Ni fydd rheol sy'n bodoli oherwydd bod rhywun wedi'i theipio yn ystod digwyddiad yn goroesi'r ailgychwyn nesaf, felly cadwch eithriadau lleol ac eithriadau cychwyn yn gul a chofnodwch pam mae pob un yn bodoli.

Ailredwch y gorchmynion chwilio ar ôl pob uwchraddiad cleient a phob newid rhwydwaith, a chymharwch â'r allbwn a gofnodwyd ddiwethaf. Y tabl llwybro yw'r ffin orfodi, felly triniwch ef felly.