TunnelCrack yn erbyn TunnelVision: beth mae pob un yn ei dorri mewn gwirionedd

Defnyddir dau enw ymchwil yn gyfnewidiol ar gyfer unrhyw draffig VPN sy'n gadael y twnnel, ac nid yw'r mecanweithiau y tu ôl iddynt yr un fath. Mae TunnelCrack yn disgrifio dwy deulu o eithriadau llwybro; mae TunnelVision yn disgrifio llwybr a ddarperir gan DHCP ar y pen draw. Nid yw'r naill na'r llall yn torri'r amgryptio, ac nid yw'r naill na'r llall yn dweud wrthych beth mae adeiladwaith cleient penodol yn ei wneud heddiw. Mae pum gwiriad yn gwahanu'r mecanweithiau oddi wrth y pennawd.

Cam un: enwch y mecanwaith rydych yn ei adolygu

Mae datgeliad TunnelCrack o Awst 2023 yn disgrifio dwy deulu o ymosodiadau. Yn achos y rhwydwaith lleol, mae traffig y mae'r cleient yn ei ystyried yn rhan o'r rhwydwaith lleol yn cymryd eithriad mynediad lleol ac yn gadael y twnnel. Yn achos cyfeiriad y gweinydd, mae'r llwybr sydd ei angen ar y cleient i gyrraedd y gweinydd VPN ei hun y tu allan i'r twnnel, a gall gwrthwynebydd sy'n rheoli'r cyfeiriad hwnnw fanteisio ar yr eithriad.

Mae TunnelVision yn adroddiad ar wahân am lwybrau statig digyfres a ddarperir gan DHCP. Gall gweinydd DHCP maleisus roi llwybrau i'r pen draw sy'n newid pa lwybr y mae traffig yn ei gymryd, gan gynnwys y llwybr tuag at y gweinydd VPN. Mae'r adroddiad yn cydnabod gwaith cynharach ar effeithiau llwybro cysylltiedig, sy'n atgoffa bod y mecanwaith sylfaenol yn hŷn na'r enw.

Cadwch yr enwau ynghlwm wrth eu mecanweithiau. Cymhwyso gwelliant ar gyfer y naill oherwydd bod y llall yn y newyddion yw'r ffordd y mae adolygiad yn cynhyrchu symudiad heb orchudd.

Cam dau: edrychwch ar yr eithriad mynediad lleol

Mae'r rhan fwyaf o gleientiaid yn esemptio traffig rhwydwaith lleol fel bod argraffwyr, bwrw'r sgrin a rhannu ffeiliau yn parhau i weithio tra bo'r twnnel i fyny. Mae'r eithriad hwnnw'n benderfyniad polisi gyda chost ddiogelwch: gall gwrthwynebydd ar yr un rhwydwaith gyflwyno'i hun fel gwesteiwr lleol, ac nid yw'r traffig sy'n ei gyrraedd erioed wedi mynd i mewn i'r twnnel.

Gofynnwch a oes angen yr eithriad o gwbl ar y proffil a ddefnyddir. Gall gweithlu o bell nad yw byth yn defnyddio darganfod lleol ei ddiffodd yn aml, a gellir cyrraedd y gwasanaethau lleol sy'n weddill drwy lwybr wedi'i ddogfennu. Lle mae'r eithriad yn ofynnol, dywedwch pa gyrchfannau y mae'n eu cynnwys yn hytrach na'i ddisgrifio fel traffig lleol.

Cwestiwn cyfluniad yw'r gwiriad, nid cipio pecynnau. Darllenwch osodiad y proffil a dogfennaeth y cleient ar gyfer yr adeiladwaith rydych yn ei ddefnyddio, oherwydd mae'r rhagosodiad yn wahanol rhwng cynnyrch a rhwng fersiynau o'r un cynnyrch. Ysgrifennwch yr ateb wrth ymyl y proffil, fel nad oes rhaid i'r adolygydd nesaf ei gasglu o ymddygiad. Mae eithriad nad oes unrhyw un wedi'i ddogfennu yn eithriad nad oes unrhyw un yn ei adolygu.

Cam tri: edrychwch sut mae cyfeiriad y gweinydd yn cael ei ddysgu

Rhaid i'r cleient gyrraedd y gweinydd VPN cyn bod unrhyw dwnnel yn bodoli, felly mae'r gyrchfan honno'n cael ei llwybro y tu allan i'r twnnel yn ôl y cynllun. Os dysgir y cyfeiriad o enw, mae'r cam datrys yn rhan o'r llwybr ymddiriedaeth, a gall gwrthwynebydd sy'n gallu ateb y cwestiwn hwnnw gyfeirio'r cleient at westeiwr y mae'n ei reoli.

Mae pinio'r cyfeiriad, defnyddio tystysgrif wedi'i gwirio gyda'r enw cywir, a gwrthod disgyn yn ôl i weinydd heb ei wirio i gyd yn lleihau'r datguddiad. Nid oes yr un ohonynt yn dileu'r angen i gyrraedd y gweinydd y tu allan i'r twnnel; maent yn newid pwy all ateb am y cyfeiriad hwnnw.

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

Mae'r chwiliad llwybr yn dangos y rhyngwyneb y byddai'r cleient yn ei ddefnyddio ar gyfer cyfeiriad y gweinydd, sef yr eithriad ar ffurf concret. Os yw'r chwiliad hwnnw'n dychwelyd rhyngwyneb y twnnel, ni all y cleient sefydlu'r twnnel o gwbl, felly mae llwybr allanol i'w ddisgwyl a'r cwestiwn yw sut y dewisir ei gyrchfan.

Cam pedwar: edrychwch ar lwybrau a ddarperir gan DHCP

Mae llwybrau statig digyfres yn caniatáu i weinydd DHCP ddosbarthu cofnodion tabl llwybro, ac mae'r pen draw fel arfer yn eu derbyn heb ofyn. Ar rwydwaith lle gall gwrthwynebydd ateb DHCP yn gyflymach na'r gweinydd cyfreithlon, gall y cofnodion hynny ailgyfeirio traffig y mae'r defnyddiwr yn credu sydd y tu mewn i'r twnnel.

Cymharwch y llwybrau ar y pen draw â'r llwybrau rydych yn eu disgwyl. Llwybr diofyn neu ragosodiad eang sy'n pwyntio at y porth lleol tra bo'r twnnel i fyny yw'r arwydd sy'n werth ei ymchwilio, ac mae'n weladwy heb unrhyw draffig ymosod.

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

Y gosodiad olaf yw'r rheolaeth ar ochr y pen draw y mae llawer o gleientiaid a llwyfannau yn ei datgelu ar ryw ffurf: anwybyddu llwybrau a ddarperir gan y rhwydwaith. Mae analluogi derbyn llwybrau yn awtomatig yn gyfaddawd, oherwydd mae hefyd yn analluogi llwybro hollt cyfreithlon o weinydd DHCP corfforaethol, felly penderfynwch hyn fesul dosbarth rhwydwaith yn hytrach nag yn fyd-eang.

Cam pump: gwahanwch y cyngor oddi wrth yr adeiladwaith presennol

Mae ymosodiad a gyhoeddwyd yn disgrifio ymddygiad a arsylwyd ar fersiynau cleient penodol ar adeg benodol. Nid yw'n profi bod y gliniadur o'ch blaen yn cael ei effeithio, ac nid yw'n profi ei fod wedi'i drwsio. Mae'r ddau haeriad angen rhif yr adeiladwaith gwirioneddol a datganiad cyfredol y gwneuthurwr.

Cofnodwch fersiwn y cleient, y llwyfan, y gosodiadau proffil sy'n rheoli'r eithriadau uchod, a'r dyddiad y gwnaethoch wirio. Mae'r cofnod hwnnw'n heneiddio'n onest, tra nad yw nodyn sy'n dweud bod y VPN wedi'i glytio ar gyfer TunnelCrack yn gwneud hynny. Ail-ddarllenwch ef pryd bynnag y bydd y cleient yn diweddaru, oherwydd gall rhagosodiad proffil newid o dan fersiwn na wnaethoch gyffwrdd ag ef.

Pan fyddwch yn dilysu mewn gwirionedd, defnyddiwch gynllun cymeradwy yn erbyn eich pen draw eich hun a chyrchfan ddiniwed. Nid yw atgynhyrchu'r ymosodiad yn erbyn defnyddwyr eraill ar rwydwaith a rannwyd yn brawf, ac mae analluogi gwiriad cyfoedrwydd neu amgryptio'r cymhwysiad i wneud arsylwi'n haws yn tynnu'r amddiffyniad roeddech yn ceisio'i fesur.

Yn olaf, cadwch amddiffyniad ar lefel cymhwysiad yn y darlun. Gall eithriad llwybro ddatgelu traffig y byddai'r twnnel wedi'i gario, ac mae TLS y cymhwysiad yn dal i amddiffyn y traffig hwnnw o'r dechrau i'r diwedd. Mae'r ddau haen yn methu'n annibynnol, a dyna pam nad yw sianel reoli gysylltiedig yn dystiolaeth bod pob llif wedi cymryd y llwybr a fwriadwyd.