DHCP bideek zure trafikoa VPN tunelaren ingurutik bidali dezakete?

Zifratzea mugan hasten da, eta muga hori muturreko puntuak edozein pakete kapsulatu baino lehen hartzen duen bideratze-erabakia da. Zure gakoak inoiz ikusten ez dituen sare batek zure makinari tunelaren beraren bidea baino nahiago duen bide bat eman diezaioke. Hemen bi hutsegite nahasten dira: tunelean jada dagoen pakete bat irakurtzea, eta inoiz han jarri ez zen pakete bat bideratzea.

Desberdintasunak garrantzia du bigarren hutsegitea merkeagoa delako antolatzeko eta askoz errazagoa delako oharkabean pasatzeko. Konexio osasuntsu baten berri ematen jarraitzen zuen bitartean interfaze okerretik irten zen eskaera gisa agertzen da.

Sare batek zuengan eragin dezakeen bi modu

Tunelera iristen den paketearen karga ezkutatuta dago zeharkatzen duen jauzi bakoitzetik, eta babes horrek eutsi egiten du bideak harritu egiten zaituenean ere. Tunelera inoiz iristen ez den paketea zure helbidetik datorren eskaera arrunta da, bide-taulak seinalatzen zuen lekura bidalia. Lehen hutsegiteak zifratu hautsi bat edo kide konprometitu bat behar ditu, bigarrenak berriz konfigurazio-mezu bat besterik ez, zure makinak fidatzea erabaki zuena. Asimetria hori da bideratzearen erdiak bere berrikuspena merezi duen arrazoia.

Bidean dagoen ekipoak ez ditu zure gakoak behar bigarren kasuan eragiteko. Zure muturreko puntuak bide bat, ebazle bat edo bide bat sortzen duen politika-arau bat onartzea besterik ez du behar.

expected:  app -> tunnel device -> encapsulation -> internet
observed:  app -> wlan0        -> plaintext     -> internet

Nondik etor daiteke bide bat tunela existitu aurretik

DHCPk helbide-errenta bat baino gehiago banatzen du. Klase gabeko bide estatikoaren aukerak helmuga-prefixuak eta hurrengo jauziak eraman ditzake, eta RFC 3442 bideratzaile-helbide oker baten segurtasun-ondorioak aztertzen ditu: oker bideratutako trafikoa, zerbitzu-ukapena edo bidean jarritako behatzaile bat. Tunela altxatu aurretik bide horiek onartzen dituen bezeroa zure hornitzailearekin zerikusirik ez duen bide hobetsi batekin gera daiteke.

Horietako ezerk ez du bide-injekzioa unibertsala egiten. Bezeroak aukera onartu behar du, prefixuak axola zaizun trafikoa estali behar du, hautatutako hurrengo jauzia iristeko modukoa izan behar da, eta betearazpen-politikak paketeari bide horretatik irtetea baimendu behar dio. Kendu horietako edozein eta erantzun bera kaltegabea da. Horregatik ere sare bereko bi makina desberdin joka daitezke, ez baitute bezero bera, politika bera edo are helbide-familia bera exekutatzen.

IPv6k bere pasabidea merezi du, bideratzaileen iragarkiek bide lehenetsia DHCPv4 aukerak baino kode desberdinaz eramaten dutelako. v4 taula soilik aztertzen duen probak ez du hori estali.

Egiaztatu kernela benetan hautatzen duen bidea

Bide-kontsultei erantzun dakieke, beraz galdetu haiei status-argi batetik ondorioztatu ordez. Beheko komandoek helmuga baterako hautatutako bidea eta iturria erakusten dituzte, taula nagusia gaindi dezaketen arauekin batera. Exekutatu konektatuta zauden bitartean eta berriz berreraikuntzaren ondoren, errentaren berritzeak erantzuna alda baitezake.

ip route get 203.0.113.10
ip route show table all | grep -E '^(default|203\.0\.113)'
ip rule show
resolvectl query example.com

Irakurri irteera bi gauza bilatuz: bidean aipatzen den interfazea eta hautatutako iturri-helbidea. Tunel-bideek tunel-gailua aipatzen dute, ihes egindako bideek fisikoa, eta aldea agerikoa da ezer deszifratu gabe. Erantzuna exekuzioen artean aldatzen bada, gorde bi irteerak eta alderatu sortu zituzten arauak.

Ez zaitez gelditu bide lehenetsian. Aplikazio-salbuetsi batek, tunel zatituaren prefixu batek edo bigarren politika-arau batek helmuga zehatz bat tunelaren ingurutik eraman dezakete, lehenetsia oraindik barrura seinalatzen duen bitartean.

Erabaki non bizi behar duen betearazpenak

Hiru baldintzek erabakitzen dute bezeroaren aldeko betearazpena nahikoa den edo horretatik kanpo zerbait behar duzun. Bezeroak erabiltzen duzun helbide-familia bakoitzerako bideak instalatzen eta defendatzen baditu, lehenetsia duen tunel bat nahikoa izaten da. Makinak tokiko baliabideak iritsi behar baditu beste guztia tunelean geratzen den bitartean, salbuetsi horiek zerrendatu eta jabetu behar dira, sarbide-sareak iragarri zuenaren esku utzi ordez. Eta plataformak trafikoa aplikazio bakoitzeko interfaze batera lotu badezake, lotura hori edozerk gaindi dezakeen bide bat baino berme sendoagoa da.

Aukeratu duzuna aukeratu, idatzi erabakia konfigurazioa bizi den lekuan. Norbaitek gertakari bat bitartean idatzi zuelako existitzen den arau bat ez da hurrengo berrabiaraztean biziko, beraz, eutsi tokiko salbuetsi eta abio-salbuetsiei estu eta idatzi zergatik existitzen den bakoitza.

Berriz exekutatu kontsulta-komandoak bezeroaren eguneratze bakoitzaren eta sare-aldaketa bakoitzaren ondoren, eta alderatu azken erregistratutako irteerarekin. Bide-taulak betearazpen-muga dira, beraz, trata itzazu hala.