Täistunnel või lõpp-punkti marsruut: VPN-serveri kättesaadavana hoidmine

Lisage tunnelisse vaikemarsruut ja tunneli enda paketid järgivad seda. Tabel sisaldab siis reeglit, mis alistab iseennast. Krüpteeritud ühendus serveriga üritab liikuda ühenduse sees, mida see üritab luua.

Kaks mehhanismi takistavad seda silmust. Üks on marsruutimistabelis nähtav, teine elab rakenduse sees.

Sisemine ja välimine liiklus on erinevad otsused

Rakenduse pakett siseneb virtuaalliidesesse ja kapseldatakse. Tulemuseks on uus pakett, mis on adresseeritud serveri avalikule aadressile. See pakett vajab marsruuti füüsilisel võrgul, sest mitte miski sellest ei tohi tunnelisse siseneda.

Mõlemad on marsruutimisotsused ja ainult esimene kuulub tunnelile. Kui klient paigaldab vaikemarsruudi, mis katab ka serveri, püütakse ka välimine pakett.

Sümptomid on kohesed ja täielikud. Käepigistus lõpeb ja siis ei voola midagi, või ühendus katkeb hetkel, mil marsruut paigaldatakse. Mõlemal juhul ei saa keepalive enam välja minna.

Valik üks: hostimarsruut lõpp-punkti jaoks

Otsene lähenemine lisab serveri aadressile marsruudi algse lüüsi kaudu. See võtab ühe rea. See on nähtav kõigile, kes tabelit loevad. Seda on ka muudatuste kirjes lihtne selgitada.

Selle nõrkus ilmneb siis, kui aluseks olev tee muutub. Salvestatud marsruut nimetab vana võrgu lüüsi ja liidese. Pärast Wi-Fi vahetust ei pruugi seda lüüsi olla ja marsruut jääb maha, näeb õige välja ega tee midagi.

# before the tunnel: which path reaches the endpoint?
ip route get 198.51.100.7

# pin it through the current gateway
ip route add 198.51.100.7/32 via 192.168.1.1 dev wlan0

# after the tunnel is up, confirm the pin survived
ip route get 198.51.100.7

Hostinimi teeb selle raskemaks. Kui lõpp-punkt on nimi, mis laheneb mitmeks aadressiks, peab erand katma aadressi, mida tegelikult kasutatakse. Hilisem päring võib tagastada midagi, mida marsruut kunagi ei katnud.

Valik kaks: soketi kaitsmine

Teine lähenemine ei puuduta marsruutimistabelit kunagi. Klient märgistab või kaitseb soketi, mis tunnelit kannab, nii et operatsioonisüsteem saadab selle soketi liikluse poliitika järgi tunnelist välja. Android pakub mehhanismi VPN-rakendustele otse. Töölauakliendid rakendavad ekvivalente tulemüüri märgistega või seadmega sidumise kutsetega.

Eelis on see, et erand järgib ühendust, mitte salvestatud lüüsi. Võrgu muutus kirjutab aluseks oleva tee ümber ja kaitstud sokk liigub sellega kaasa, sest seda ei olnud kunagi aadressi külge kinnitatud. Marsruutimistabel jääb puhtaks.

Hind on nähtavus. Miski marsruutimistabelis ei näita erandit, nii et hostimarsruuti otsiv ülevaataja ei leia midagi ja võib järeldada, et kujundus on ebaturvaline. Kaitse elab kliendi koodis ja poliitikareeglites, mida see kood paigaldab.

Nende vahel valimine

Valige soketi tasandi mehhanism, kui klient seda toetab, sest see elab üle võrgumuutused, mis kinnitatud marsruudi katki teevad. Valige hostimarsruut, kui erand peab olema teistele tööriistadele nähtav või kui klient ei paku midagi paremat.

Kumbki mehhanism ei kõrvalda vajadust, et serveri aadress oleks üldse kättesaadav. Privaatsel lüüsil on avalik kuulaja-aadress ja just see aadress peab jääma tunnelist väljapoole. Selle taga olevad sisemised võrgud muutuvad kättesaadavaks alles siis, kui tunnel on olemas.

Ükskõik mida valite, hoidke seda komponendi juures, kellele tunnel kuulub. Käsitsi lisatud ekslev hostimarsruut töötab järgmise võrguni ja muutub siis homseks salapäraseks katkestuseks.