Zergatik saihesten du routerraren DNS propioak VPN tunela?

Bezeroen kontsultak tunelari jarraitzen diote, routerraren beraren kontsultak WANetik irteten diren bitartean, eta bata arautzen duen suebakiaren erregelak ez du eraginik bestean. Arrazoia ez da akats bat: birbidalitako eskaera eta routerrak berak sortutako eskaera bi fluxu bereizi dira, eta bakoitza konfigurazioaren zati ezberdin batekin parekatzen da. Bezeroaren erdia bakarrik harrapatzeak konfiantzazko erantzun bat ematen du bigarren erdiak inoiz erabiltzen ez duen bide bati buruz. Konponbidea resolverraren bidea nahita zuzentzea da, eta gero bi bideak bereizita probatzea.

Pakete-harrapaketa zein fluxuri dagokio benetan

Kontsulta batek bi truke dakartza. LAN bezero batek kontsulta bidaltzen dio routerraren resolverrari, eta hura LAN interfazean birbidalitako trafiko gisa iristen da, beraz birbidalitako paketeetarako idatzitako politika-bide edo NAT erregela batek bat etor daiteke harekin. Ondoren routerrak cachetik erantzuten du edo, huts eginez gero, bere kontsulta propioa irekitzen du gorako zerbitzari baterantz.

Bigarren kontsulta horrek routerra du iturburu eta helmuga propio, eta plataformak bere bidea konfigurazio-bloke ezberdin batetik aukeratzen du. Bi trukeek izen bera daramate, eta bat ere ez da bestearen kopia. Beraz, LAN aldean hartutako harrapaketa batek frogatzen du bezeroaren paketea noraino joan zen, eta ez du ezer esaten irteten den paketeari buruz.

Egiaztapen praktikoa bi aldeak aldi berean behatzea da. Routerrean, zerrendatu resolverraren socket-a, kontsultatu lokaletik eta harrapatu WAN interfazea:

sockstat -4 -l | grep :53
dig +short @127.0.0.1 example.com
tcpdump -ni igb0 udp port 53

Socket zerrendak loopback edo LAN helbideari lotutako entzule bat erakusten badu, routerrak lokalki erantzuten du beste ostalari batera birbidali beharrean. Orduan harrapaketak erakusten du sortutako gorako kontsulta tuneleko interfazetik edo WANetik irteten den, eta hori da politika-bidearen erregelak inoiz emango ez zukeen erantzuna.

Zergatik ez duen politika-bideak bigarren kontsulta inoiz ikusten

Suebakiaren erregelak interfaze, iturburu, helmuga eta ataka baten aurka idazten dira, eta gailutik igarotzen diren paketeetarako ebaluatzen dira. Routerrak sortutako kontsulta ez da ezeretatik igarotzen, prozesu lokal batek zuzenean bideratze-taulari ematen baitio. Politika-bideratzea eta NAT beraz, birbidalitako bideari soilik aplikatzen zaizkio, eta horregatik erregela-multzo bat osoa izan daiteke eta, hala ere, routerraren DNS tunelaz kanpo utzi.

Bereizketa horrek firmware berridazketa bakoitzaren ondoren irauten du, paketearen bidetik sortzen baita, ez ezaugarri batetik. Gailuak bere buruarentzat sortzen duen guztia, dela resolverraren kontsultak, dela denboraren sinkronizazioa, dela eguneratze-egiaztapenak, dela pakete-ispiluetarako sarbidea, jatorri lokala du eta itsuune berean erortzen da. Horregatik ere, eramangarri batetik egindako proba batek ez du ezer frogatzen routerrari buruz.

Non erabakitzen duen pfSense resolverrak bere gorako bidea

pfSense-k banaketa ikusgai egiten du. Bezeroen trafikoa politika-bidez bideratu daiteke VPN atebide batetik, suebakiaren trafikoak resolverraren irteera-ezarpena jarraitzen duen bitartean, LAN erregelak jarraitu beharrean. Web interfazean ezarpen hori Services > DNS Resolver > Outgoing Network Interfaces azpian dago, eta haren balioa resolverrak gorako kontsultetarako erabil ditzakeen interfazeen zerrenda da.

Tuneleko interfazea han izendatzeak, eta interfaze horrek bakarrik, egiten du routerraren kontsultak tunelari jarraitzea. Lehenetsitako balioan utzita, resolverrak irteera bat aukeratzen du bideratze-taulatik, eta bi WAN edo VPN dituen ostalari batean WAN izaten da sarri.

Beste firmware batzuek erabaki bera etiketa ezberdin baten pean erakusten dute: iturburu-helbideari lotutako gorako zerbitzarien zerrenda, birbidaltzeko soilik den modua edo dokumentatutako bide-politika. Bilatu beharreko ezarpena beti da lokalki sortutako kontsultetarako irteera edo iturburu bat aukeratzen duena. Resolverraren konfigurazioaren erreferentzia pfSense-rako aukera hori dokumentatzen du eta aldaketaren aurretik irakurtzea merezi du.

Aukeratu hutsegite-portaera ezarpenaren aurretik

Tunela erortzen denean, bi portaera defendagarri dira: gorako kontsultak gelditzea ezer ez dadin filtratu, edo bide ezagun batean onartutako resolver batera jotzea. Biak politika dira, eta bat ere ez da lehenespenez lortzen dena. Erabaki sareak zein behar duen interfazeen zerrenda ukitu aurretik.

Hutsegitean ixtea errazagoa da defendatzen, baina tunelaren erorketa izenen ebazpenaren erorketa bihurtzen du routerraren atzeko gailu bakoitzarentzat. Atzerako jauziak bulegoa erabilgarri mantentzen du, tuneletik kanpoko gorako truke baten truke, eta truke hori nahita izan behar da onargarri, ez ustekabean. Idatzi aukera, VPN-tik kanpo resolver helbide bat ikusten duen hurrengo pertsonak filtrazio gisa irakurriko baitu, ohar batek kontrakoa esaten ez badu. Ohar hori da dokumentatutako atzerako jauzia hurrengo hiruhilekoaren berrikuspenean azalpenik gabeko aurkikuntza batetik bereizten duena.

Bi kasuk zailtzen dute erabakia. Izen pribatuek tuneletik iristeko moduko barne-resolver bat behar izan dezakete, eta DNS enkriptatu propioa duen nabigatzaile edo aplikazio batek erabat saihets dezake routerra, beraz konfiguratutako resolverra ez da beti aplikazio jakin batek erabiltzen duena.

Probatu bi bideak eta eduki emaitzak bereizita

Nabigatzailean egindako DNS proba batek galdera estu bat erantzuten du: zein resolver erabili zituen nabigatzaile horrek, proba horren baldintzetan. Ez du sareko gailuen inbentarioa egiten eta ezin du routerrak berarentzat sortutako kontsulta bat ikusi. Hartu haren irteera datu-puntu bat bezala, ez auditoretza bat bezala.

LAN bezero batetik, eskatu routerrari izen publiko bat eta gero barne-zoiak soilik erantzun beharko lukeen izen pribatu bat. Bigarren kontsultan soilik huts egiteak izenen birbidaltzea adierazten du, ez tunela:

dig @192.168.1.1 example.com
dig @192.168.1.1 intranet.example.lan

Gero jaitsi tunela eta errepikatu bi kontsultak. Ukatutako erantzunek resolverra hutsegitean ixten dela esan nahi dute; erantzun arrakastatsuak atzerako resolver bat eta erabilitako bidea adierazten ditu. Alderatu hori idatzitako oharrarekin eta minutu berean WAN interfazean hartutako harrapaketa batekin.

Eduki behaketak bereizita erregistroan: bezeroaren eta routerraren arteko trukea, routerraren eta gorakoaren arteko trukea, eta bigarrena erabaki zuen konfigurazioa. Geroagoko bideratze-aldaketa batek bigarren truke hori abisu gabe erabiliko du. VPNren amaierako puntua ez den beste leku batetik iristen den erantzuna ez da berez filtrazioa; filtrazio bihurtzen da konfigurazioak bide hori ustekabean aukeratu duenean soilik.