OpenWrt politikazko bideratzea: DNS lokala harrapatzen duen katea

LANeko bezeroek tunelaren bidez ebazten dute eta routerraren beraren kontsultek isilka ez dute hori egiten. Paketeen eguneratzeek, orduaren sinkronizazioak eta DNS dinamikoak bide arruntetik ateratzen dira, aurreratutako kontsulta bakoitzak VPN-a hartzen duen bitartean, eta interfazean ez dago ezer bi bide desberdin daudela iradokitzen duenik. Azalpena ez da politikaren akats bat, baizik eta zein kakok ikusten duen paketea. Bi fluxu, resolutzaile helbide bat, eta haietako bakarra igarotzen da routerretik. Haiek bereiztea da konponketa osoa.

Bi fluxu, resolutzaile helbide bat

Lehen fluxua jendeak imajinatzen duena da. Bezero batek routerraren resolutzaileari galdetzen dio, resolutzaileak gorago bidaltzen du, eta birbidalitako pakete hori routerretik pasatzen da irteterakoan. Pakete hori birbidalitako trafikoa behatzen duen edozerk ikus dezake.

Bigarren fluxua ez da inoiz inongo lekutatik iristen. Routerrak sortzen du, beraz ez dago sarrerako paketerik ezta parekatzeko birbidaltze-urratsik ere.

Biek resolutzaile helbide bera izan dezakete helburu, eta horregatik zehazki erraza da aldea ez nabaritzea. Helburu bera, jatorri desberdina, kate desberdina. Jatorria ikusten duzunean, diagnostikoaren gainerakoa dator.

Birbidalitako eta tokian sortutako paketeak desberdin sartzen dira

Birbidalitako trafikoa beste interfaze batetik iristen denean ebaluatzen da. Politika-bideratzeko paketeek prerouting kate gisa erakusten dute hori, eta han jarritako erregela batek routerretik igarotzen den pakete guztiak ikusten ditu. Horregatik jokatzen dute bezeroen kontsultek politikak deskribatzen duen bezalaxe, eta horregatik alde batera uzten du routerrak. Erregela ez da okerra, routerrak inoiz iristen ez den kako batera lotuta dago soilik. Mugitu ezazu, eta parekatze berak funtzionatzen hasten da.

Tokian sortutako trafikoa routerreko prozesu batek sortzen du eta irteera-bidera sartzen da. Routerraren beraren erabakiak bideratzen du eta politikarekin topo egiten du soilik politikak kate hori estaltzen badu. Ez dago parekatzeko sarrerako interfazerik ezta behatzeko birbidaltze-erabakirik ere.

Hori paketeak non jaiotzen diren araberako propietatea da, ez pakete zehatz baten araberakoa. Kate batentzat idatzitako erregelak ez du besterik iritzirik. Erregelak doitzeak ez du hori aldatzen.

Hautatu irteerako katea eta gero estutu parekatzea

Konponketa asmo bera irteerako kateari ere lotzea da, edo erregela hara mugitzea routerraren beraren kontsultek axola dizutenean. Politika-bideratze pakete baten gainean eraikitako OpenWrt instalazioan, horrek esan nahi du erregelaren kate-ezarpenetan prerouting beharrean output hautatzea. Eduki bi erregelak, bi populazioek estaldura behar badute.

Gero estutu erregelak zer parekatzen duen. Resolutzaileak benetan erabiltzen duen atakan helburuko resolutzaile helbideak erabaki askoz txikiagoa dira routerrak sortzen duen guztia tunelera bidaltzea baino.

Eduki bi erregelak esplizitu, bi kateak estaltzen dituen bat idazten saiatu beharrean. Erregela bereiziak errazago irakurtzen dira, eta arazketa egiten duzun bitartean bezeroen trafikoa molestatu gabe routerraren bidea desgaitzeko aukera ematen dizute. Kontagailuak banan-banan esanguratsu egiten dituzte gainera.

Eduki tunelaren beraren garraioa erregelatik kanpo

Tunelaren kanpoko konexioa ere routerrak sortzen du. Tokian sortutako trafiko guztia tunelera bidaltzen duen erregela batek tunela bere burutik bideratuko du, eta ez da batere igoko.

Kudeaketa-sarbidea da bigarren biktima. Routerretik sortutako sesio administratiboak, edo horiei erantzunak, tokiko erregela zabalegiak tunelera tira ditzake eta LANetik eskuraezin bihur daitezke.

Baztertu tunelaren amaiera-puntua parekatzeetik eta eduki erregela resolutzaile helbideetara mugatuta. Hori nahikoa da DNS eskakizunerako eta nahikoa txikia da hari buruz arrazoitzeko.

Probatu bi populazioak, ez bat

Behatu routerra bere kontsulta propioa egiten eta ohartu zein interfazek eraman zuen. Errepikatu kontsulta LANeko host batekin eta ohartu zein bide hartu zuen. Politika-erregelen kontagailuek bi erantzunak ikusgai egiten dituzte asmatu gabe.

Hartu emaitzak bi aurkikuntza gisa. Tunelaren bidez ebazten duen bezeroak ez du ezer esaten routerrari buruz, eta zuzen ebazten duen routerrak ez du ezer esaten beste entzule bateko bezeroari buruz. Idatzi lerro bereizi gisa aldaketen erregistroan.

Egiaztatu ataka ere: helburuko 53 ataka parekatzen duen erregelak huts egiten du 853an DNS over TLS bidez edo HTTPS amaiera-puntu bidez iristen den resolutzailean. Pareka ezazu konfiguratutako upstreamak benetan erabiltzen duen garraioa, eta ihesa arrazoi zuzenagatik ixten da.