Kas DHCP marsruudid saavad teie liikluse VPN-tunnelist mööda saata?

Krüpteerimine algab piiril ja see piir on marsruutimisotsus, mille lõpp-punkt teeb enne, kui ükski pakett kapseldatakse. Võrk, mis ei näe kunagi teie võtmeid, võib siiski anda teie masinale marsruudi, mis talle rohkem meeldib kui tunneli enda oma. Siin aetakse segi kaks riket: juba tunnelis oleva paketi lugemine ja sinna kunagi panemata jäänud paketi suunamine.

Vahe on oluline, sest teist riket on odavam korraldada ja palju kergem märkamata jätta. See ilmneb päringuna, mis lahkus vale liidese kaudu, samal ajal kui klient teatas endiselt tervest ühendusest.

Kaks viisi, kuidas võrk saab teid mõjutada

Tunnelini jõudev pakett on oma kandevõime peidetud iga läbitava hüppe eest ja see kaitse püsib ka siis, kui tee teid üllatab. Pakett, mis ei jõua kunagi tunnelini, on tavaline päring teie aadressilt, saadetud sinna, kuhu marsruuditabel osutas. Esimene rike nõuab katkist šifrit või kompromiteeritud partnerit, teine aga ainult konfiguratsiooniteadet, mida teie masin otsustas usaldada. Just see asümmeetria on põhjus, miks marsruutimise pool väärib eraldi ülevaatamist.

Teel olev seade ei vaja teie võtmeid, et teist juhtumit mõjutada. Ta vajab ainult seda, et teie lõpp-punkt võtaks vastu marsruudi, resolveri või poliitikareegli, mis selle loob.

expected:  app -> tunnel device -> encapsulation -> internet
observed:  app -> wlan0        -> plaintext     -> internet

Kust võib marsruut tulla enne, kui tunnel olemas on

DHCP jagab rohkem kui aadressi rendilepingu. Klassita staatilise marsruudi valik võib kanda sihtprefikseid ja järgmisi hüppeid ning RFC 3442 käsitleb vale ruuteri aadressi turbetagajärgi: valesti suunatud liiklus, teenusest keeldumine või teele paigutatud vaatleja. Klient, kes võtab need marsruudid vastu enne, kui tunnel üles tõuseb, võib jääda eelistatud teega, millel pole teie teenusepakkujaga mingit seost.

Miski sellest ei tee marsruudi süstimist universaalseks. Klient peab valiku vastu võtma, prefiks peab katma liiklust, mis teile loeb, valitud järgmine hüpe peab olema kättesaadav ja jõustamispoliitika peab lubama paketil seda teed välja minna. Eemaldage ükskõik milline neist ja sama vastus on kahjutu. Seetõttu võivad ka kaks masinat samas võrgus käituda erinevalt, sest nad ei käivita sama klienti, sama poliitikat ega isegi mitte sama aadressiperekonda.

IPv6 väärib eraldi läbivaatust, sest ruuteriteated kannavad vaikemarsruuti teise koodiga kui DHCPv4 valik. Test, mis uurib ainult v4 tabelit, ei ole seda katnud.

Kontrollige teed, mille kerneli tegelikult valib

Marsruudipäringutele saab vastata, seega küsige neilt, selle asemel et olekutule põhjal järeldada. Allolevad käsud näitavad ühe sihtkoha jaoks valitud marsruuti ja allikat ning reegleid, mis võivad põhitabelit üle kirjutada. Käivitage need ühendatud olekus ja uuesti pärast taasühendamist, sest rendilepingu uuendamine võib vastust muuta.

ip route get 203.0.113.10
ip route show table all | grep -E '^(default|203\.0\.113)'
ip rule show
resolvectl query example.com

Lugege väljundit kahe asja jaoks: marsruudil nimetatud liides ja valitud lähteaadress. Tunneli marsruut nimetab tunneliseadet, lekkiv marsruut füüsilist seadet ja vahe on nähtav ilma midagi dekrüpteerimata. Kui vastus muutub käivituste vahel, hoidke mõlemad väljundid alles ja võrrelge reegleid, mis need tekitasid.

Ärge peatuge vaikemarsruudil. Rakenduse erand, jagatud tunneli prefiks või teine poliitikareegel võivad kanda konkreetse sihtkoha tunnelist mööda, samal ajal kui vaikimisi marsruut osutab endiselt sisse.

Otsustage, kus jõustamine peaks elama

Kolm tingimust otsustavad, kas kliendipoolne jõustamine on piisav või on vaja midagi sellest väljaspool. Kui klient paigaldab ja kaitseb marsruute iga aadressiperekonna jaoks, mida kasutate, on vaikimisi marsruuti omav tunnel tavaliselt piisav. Kui masin peab jõudma kohalike ressurssideni, samal ajal kui kõik muu jääb tunnelisse, tuleb need erandid loetleda ja omada, selle asemel et jätta need selle hooleks, mida juurdepääsuvõrk teatas. Ja kui platvorm saab siduda liikluse liidesega rakenduse kaupa, on see sidumine tugevam garantii kui marsruut, mille miski tahes võib üle kirjutada.

Ükskõik mida valite, kirjutage otsus sinna, kus konfiguratsioon elab. Reegel, mis on olemas sellepärast, et keegi trükkis selle intsidendi ajal, ei ela järgmist taaskäivitust üle, seega hoidke kohalikud erandid ja alglaadimise erandid kitsad ning kirjutage üles, miks igaüks neist olemas on.

Käivitage otsingukäsud uuesti pärast iga kliendi uuendust ja iga võrgu muutust ning võrrelge viimase salvestatud väljundiga. Marsruuditabel on jõustamise piir, seega kohelge seda sellisena.