Πλήρες τούνελ ή διαδρομή τελικού σημείου: κρατώντας τον διακομιστή VPN προσβάσιμο

Προσθέστε μια προεπιλεγμένη διαδρομή μέσα από το τούνελ και τα πακέτα του ίδιου του τούνελ θα την ακολουθήσουν. Ο πίνακας τότε περιέχει έναν κανόνα που αυτοαναιρείται. Η κρυπτογραφημένη σύνδεση με τον διακομιστή προσπαθεί να ταξιδέψει μέσα στη σύνδεση που προσπαθεί να εγκαταστήσει.

Δύο μηχανισμοί αποτρέπουν αυτόν τον βρόχο. Ο ένας είναι ορατός στον πίνακα δρομολόγησης, ο άλλος ζει μέσα στην εφαρμογή.

Η εσωτερική και η εξωτερική κίνηση είναι διαφορετικές αποφάσεις

Ένα πακέτο εφαρμογής εισέρχεται στην εικονική διεπαφή και ενθυλακώνεται. Το αποτέλεσμα είναι ένα νέο πακέτο με διεύθυνση προς τη δημόσια διεύθυνση του διακομιστή. Αυτό το πακέτο χρειάζεται διαδρομή στο φυσικό δίκτυο, γιατί τίποτα από αυτό δεν επιτρέπεται να μπει στο τούνελ.

Και τα δύο είναι αποφάσεις δρομολόγησης και μόνο η πρώτη ανήκει στο τούνελ. Όταν ο πελάτης εγκαθιστά μια προεπιλεγμένη διαδρομή που καλύπτει και τον διακομιστή, το εξωτερικό πακέτο συλλαμβάνεται επίσης.

Τα συμπτώματα είναι άμεσα και πλήρη. Η χειραψία ολοκληρώνεται και μετά δεν ρέει τίποτα, ή η σύνδεση πέφτει τη στιγμή που εγκαθίσταται η διαδρομή. Και στις δύο περιπτώσεις το keepalive δεν μπορεί πλέον να βγει.

Επιλογή πρώτη: διαδρομή κεντρικού υπολογιστή για το τελικό σημείο

Η άμεση προσέγγιση προσθέτει μια διαδρομή για τη διεύθυνση του διακομιστή μέσω της αρχικής πύλης. Απαιτεί μία γραμμή. Είναι ορατή σε όποιον διαβάζει τον πίνακα. Είναι επίσης εύκολο να εξηγηθεί σε ένα αρχείο αλλαγών.

Η αδυναμία της εμφανίζεται όταν αλλάζει η υποκείμενη διαδρομή. Η αποθηκευμένη διαδρομή ονομάζει μια πύλη και μια διεπαφή από το παλιό δίκτυο. Μετά από αλλαγή Wi-Fi αυτή η πύλη μπορεί να μην υπάρχει, και η διαδρομή μένει πίσω, φαίνεται σωστή και δεν κάνει τίποτα.

# before the tunnel: which path reaches the endpoint?
ip route get 198.51.100.7

# pin it through the current gateway
ip route add 198.51.100.7/32 via 192.168.1.1 dev wlan0

# after the tunnel is up, confirm the pin survived
ip route get 198.51.100.7

Ένα όνομα κεντρικού υπολογιστή το κάνει δυσκολότερο. Αν το τελικό σημείο είναι ένα όνομα που επιλύεται σε πολλές διευθύνσεις, η εξαίρεση πρέπει να καλύπτει τη διεύθυνση που χρησιμοποιείται πραγματικά. Μια μεταγενέστερη αναζήτηση μπορεί να επιστρέψει κάτι που η διαδρομή δεν κάλυψε ποτέ.

Επιλογή δεύτερη: προστασία της υποδοχής

Η άλλη προσέγγιση δεν αγγίζει ποτέ τον πίνακα δρομολόγησης. Ο πελάτης σημαδεύει ή προστατεύει την υποδοχή που μεταφέρει το τούνελ, ώστε το λειτουργικό σύστημα να στέλνει την κίνηση αυτής της υποδοχής έξω από το τούνελ βάσει πολιτικής. Το Android εκθέτει τον μηχανισμό απευθείας στις εφαρμογές VPN. Οι πελάτες για επιτραπέζιους υπολογιστές υλοποιούν αντίστοιχα με σημάδια τείχους προστασίας ή κλήσεις δέσμευσης σε συσκευή.

Το πλεονέκτημα είναι ότι η εξαίρεση ακολουθεί τη σύνδεση και όχι μια αποθηκευμένη πύλη. Μια αλλαγή δικτύου ξαναγράφει την υποκείμενη διαδρομή και η προστατευμένη υποδοχή μετακινείται μαζί της, επειδή ποτέ δεν καρφώθηκε σε μια διεύθυνση. Ο πίνακας δρομολόγησης μένει καθαρός.

Το κόστος είναι η ορατότητα. Τίποτα στον πίνακα δρομολόγησης δεν δείχνει την εξαίρεση, οπότε ένας ελεγκτής που ψάχνει διαδρομή κεντρικού υπολογιστή δεν βρίσκει τίποτα και μπορεί να συμπεράνει ότι ο σχεδιασμός είναι ανασφαλής. Η προστασία ζει στον κώδικα του πελάτη και στους κανόνες πολιτικής που εγκαθιστά αυτός ο κώδικας.

Επιλέγοντας μεταξύ τους

Επιλέξτε τον μηχανισμό επιπέδου υποδοχής όταν ο πελάτης τον υποστηρίζει, γιατί επιβιώνει από τις αλλαγές δικτύου που σπάνε μια καρφωμένη διαδρομή. Επιλέξτε τη διαδρομή κεντρικού υπολογιστή όταν η εξαίρεση πρέπει να είναι ορατή σε άλλα εργαλεία ή όταν ο πελάτης δεν προσφέρει κάτι καλύτερο.

Κανένας από τους δύο μηχανισμούς δεν αφαιρεί την ανάγκη η διεύθυνση του διακομιστή να είναι προσβάσιμη καθόλου. Μια ιδιωτική πύλη έχει μια δημόσια διεύθυνση ακρόασης, και αυτή η διεύθυνση είναι που πρέπει να μείνει έξω από το τούνελ. Τα εσωτερικά δίκτυα πίσω της γίνονται προσβάσιμα μόνο αφού υπάρξει το τούνελ.

Όποιο κι αν επιλέξετε, κρατήστε το μαζί με το στοιχείο που κατέχει το τούνελ. Μια περιπλανώμενη διαδρομή κεντρικού υπολογιστή που προστέθηκε με το χέρι λειτουργεί μέχρι το επόμενο δίκτυο και μετά γίνεται η μυστηριώδης διακοπή του αύριο.