Blackhole bidea vs VPN kill switcha: bakoitzak zer egiten duen
Blackhole bide batek bat datozen trafikoa baztertzen du eta hutsegitean itxita dagoen bidea inposatzen du. Konpara ezazu haren irismena eta puntu itsuak pakete-iragazkian oinarritutako kill switch batekin.
Pakete bat eramangarri batetik ateratzen da, ez da inoiz VPN atebidera iristen, eta suebakiko kontagailu bat ere ez da mugitzen. Bide-taulak paketearen patua erabaki du jada: blackhole sarrera bat bat etorri zaio eta kernelak baztertu du interfaze batek ikusi aurretik. Jokabide hori erabilgarria da helmuga batek itxita huts egin behar duenean, baina irismen estuko bideratze-ekintza bat da. Kill switch oso gisa tratatzea da diseinuak okertzen diren tokia.
Baztertze-ekintzak zer hartzen duen benetan
Bide-bilaketa batek taula bat aukeratzen du, gero aurrizki luzeena hartzen du bertan. Blackhole bidea ohiko sarrera bat da, eta haren ekintza baztertzea da, beraz erabaki osoaren ondoren sarrera hori aukeratuko luketen paketeei eragiten die soilik. Aldatu taula politika-arau batekin edo gehitu aurrizki zehatzago bat, eta baztertzea ez da jada aplikatzen.
Horregatik blackhole baten irismena zehatza eta erraza da adierazten: aurrizkia estaltzen du, taulan, helbide-familia horretarako. Ez du estaltzen beste taula batek irabaziko lukeen helmugarik, eta ez du IPv6 estaltzen IPv4 aurrizkia baztertzen delako soilik.
ip route get erakusten du erabakia ezer inplementatu aurretik, taula eta bide mota barne. Irteera hori irakurtzea azkarragoa da huts egindako eskaera batetik zein arau edo aurrizkik jardun zuen ondorioztatzea baino.
Blackhole ez da unreachable edo prohibit berbera
Linuxek baztertzearen antzeko hiru bide mota eskaintzen ditu, eta bidaltzaileak zer ikusten duen desberdintzen dira. Blackhole batek paketea erantzunik gabe botatzen du, beraz bezeroak denbora-muga ikusten du. Unreachable bideak ICMP unreachable mezu bat itzultzen du, beraz konexioak azkar huts egiten du ostalari edo sare errore batekin. Prohibit bideak administrazio-debeku errore bat itzultzen du, eta hori politika-ukatze nahitakoago baten antzekoa da.
Aukeratu aplikazioak ikustea nahi duzun jokabidea. Baztertze isila egokia da politika ezagutarazi nahi ez duzunean, eta berehalako errore bat hobea da erabiltzaileek helmuga bat zergatik ez dagoen eskuragarri ulertu behar dutenean. Motak sarean nahasteak politika bera hiru matxura ezberdin gisa deskribatzen dituzten laguntza-txartelak sortzen ditu.
Ez ezazu suposatu baztertze-sarrera guztiak trukagarriak direnik konexio bat diagnostikatzen duzunean. Errore-testua, denbora eta pakete-kaptura desberdinak dira, eta taulako bide motak esaten dizu zeini ari zaren begira. ip-route eskuliburua motak eta haien errore-jokabidea zerrendatzen ditu.
Nola konparatzen den kill switch batekin
Kill switch bat pakete-iragazkia da: tunelaren kanpora aterako litzatekeen irteera-trafikoa botatzen duen suebaki-araua. Blackhole bidea pilan lehenago hartutako birbidalketa-erabakia da. Biek trafikoa geldiaraz dezakete, baina gauza desberdinak ikusten dituzte eta kasu desberdinak galdu.
| Mechanism | What it blocks | What it misses | How failure looks |
|---|---|---|---|
| Blackhole route | Destinations matching the prefix and table | Other tables, other address families, traffic with a different route | Silent timeout |
| Firewall kill switch | Egress not bound to the tunnel interface | Rules that are too broad can break the endpoint or DHCP | Dropped packets with counters |
| WireGuard AllowedIPs | Destinations not routed into the interface | Traffic that never enters the interface at all | No tunnel route, direct egress |
Estaldura da konparazioak axola duen tokia. Suebaki batek jabea, portua edo interfazea bat etorrarazi dezake eta aplikazio bat blokeatu helmuga eskuragarri utzita; bide batek ezin du. Alderantziz, bide batek aurrizki oso bat baztertzera bidal dezake pakete-iragazki bat ere kargatu gabe, eta hori erabilgarria da sistema minimo batean.
WireGuarden AllowedIPs gako kriptografikoko bideratzea da, ez suebakia. Interfazean zein helmuga-aurrizki onartzen diren erabakitzen du, eta tunelaren azpisarea soilik zerrendatzen duen profilek beste helmugak ohiko bide lehenetsiari uzten dizkio. Horregatik erabiltzen dute tunel osoko profilek 0.0.0.0/0 eta horregatik instalatzen ditu wg-quickek suebaki-arauak ere ahal duenean.
Eduki tunelaren amaiera-puntua baztertzetik kanpo
Amaiera-puntuaren kanpoko helbideak interfaze fisikoaren bidez eskuragarri jarraitu behar du. Helbide hori ere harrapatzen duen baztertze batek esku-ematea irtetea eragozten du, eta tunela ez da inoiz altxatzen, eta hori VPN hutsegite gisa agertzen da, ez bideratze-politika gisa. Egiaztatu amaiera-puntuaren bidea aldaketaren aurretik eta ondoren.
Kudeaketa-sarbidea berrikuspen berean sartzen da. Routerrera edo bezerora bide bakarra tunela bada, baztertze zabalegiak irtenarazi zaitzake kentzeko aukera emango lukeen makinatik. Eduki banda kanpoko bide dokumentatu bat, kontsola bat edo denborazko atzera-egite bat.
IPv6k bere sarrera eta bere berrikuspena behar ditu. IPv4 blackhole batera botatzen duen eta IPv6 bide lehenetsian uzten duen diseinu batek politikak gelditu nahi zuen trafikoa bertatik ihes egiten du, eta errorea ikusezina da IPv4 soilik proba batean.
Sartu ezazu tenporizadore eta atzera-egite batekin
Aplikatu bidea ezabaketa automatiko labur batekin, errore batek berrabiaraztean iraun ez dezan. Beheko komanduek dokumentaziorako barruti bat erabiltzen dute; ordezkatu zure diseinuak benetan baztertzen duen aurrizkiarekin:
sudo ip route replace blackhole 10.0.0.0/8
ip route get 10.1.2.3
sudo systemd-run --on-active=60 /sbin/ip route del blackhole 10.0.0.0/8Bigarren komandoak blackhole bidea eta nondik etorri zen taula jakinarazi beharko lituzke. Hirugarrenak minutu batera programatzen du ezabaketa, eta hori nahikoa da politika baieztatzeko eta nahiko laburra urruneko ostalari batean errore batetik berreskuratzeko. Jokabidea baieztatu ondoren, egin sarrera iraunkor beste bideen jabe den konfigurazio-kudeaketa beraren bidez.
Itxi aldaketa aurrizkia, taula, helbide-familia eta atzera-egite metodoa erregistratuz. Baztertzea bideratze-diseinuan nahitako salbuespena da, eta hurrengo ingeniariak jakin behar du zein trafiko gelditu behar zuen oraindik dagokion erabaki aurretik.