Bi ataka, VPN bat: zergatik aukeratzen du OpenVPNek gorako esteka okerra

Bi gorako esteka, tunel bat, eta trafikoak zuk aukeratu ez duzunetik irteten du. Azpisare pribatuak irisgarri daude, erregistroak konexio arrakastatsua jakinarazten du, eta neurtutako esteka da hura daramana. OpenVPNren irteeran ez da atakarik aipatzen, bezeroak inoiz ez baitzuen bat aukeratu. Socket bat ireki zuen urruneko helbide batera eta nukleoari utzi zion helbide horretara nola iritsi erabakitzen.

Tunelaren helbidea ez da amaiera-puntua

Saiakera bakoitzean bi bide desberdin daude. Kanpoaldeko bideak zifratutako garraioa zerbitzariaren helbide publikoraino darama. Barruko bideak zerbitzariak tunelera bultzatzen duen guztia darama, eta baten bideratze-arauk ez du eraginik bestean.

Profilaren remote sarrerak kanpoko helmuga izendatzen du, beraz helbide hori da finkatu beharrekoa. Hori da, halaber, ostalari-izen bat modu desberdinean ebazten denean edo profilean remote ugari zerrendatzen direnean aldatzen den balioa.

Aurkitu bezeroak benetan deitu zuen helbidea

Irakurri socket bizia konfigurazio-fitxategia beharrean. Socketen taulak prozesuak benetan konektatu zen parea erakusten du, eta balio horrekin bat etorri behar du salbuespenak. Profila saiakeraren hasieraren ondoren editatu daiteke, eta socketa da deitu zitzaionaren froga bakarra:

ss -tunp | grep -i openvpn
journalctl -u openvpn-client@work --no-pager | grep -i "Peer Connection Initiated"

Erregistro-lerroak parearen helbidea eta ataka aipatzen ditu konexioaren unean. Profilarekin bat ez badator, bezeroaren aurrean zerbait helmuga berridazten ari da konexioa hasi aurretik.

Egiaztatu helbide-familia ere. Pila biko profilek IPv6 bidez konekta dezake zure salbuespenak IPv4 soilik estaltzen duen bitartean, eta orduan trafikoak idatzi zenuen arauaz bestelakoa jarraitzen du. Gauza bera gertatzen da amaiera-puntuaren izenean erantzuten duen proxy batekin. Bi kasuek tunel bat sortzen dute, zure bideak ezer egiten ez duen bitartean.

Finkatu amaiera-puntua eta irakurri politikaren ordena

Ostalari-bide bat edozein bide lehenetsi baino zehatzagoa da. Horregatik, parearen helbiderako /32 batek irabazten du hura duen taularen barruan. Ohiko formak ataka eta gailua esplizituki aipatzen ditu:

ip route add 203.0.113.40/32 via 192.168.10.1 dev eth0

Bide horrek bakarrik laguntzen du bilaketak taula horretara iristen bada. Politika-arauak ordenan ebaluatzen dira eta lehen bat etortzeak erabakitzen du, beraz dena bigarren taula batera bidaltzen duen arau batek zure ostalari-bidea main-en saihesten du. Irakurri arauak bidea autoritarioa dela pentsatu aurretik:

ip rule show
ip route get 203.0.113.40

Galdetu bigarren komandua bezeroak erabiltzen duen jatorrizko helbide edo marka berarekin, politikak horien mende dagoenean. Nukleoak aukeratuko lukeen bidea jakinarazten du, eta hori bilaketari buruzko froga da, ez socket biziak bide hori erabiltzen duen froga.

Amaiera-puntua mugitzen denean

Helbide anitzetan ebazten den ostalari-izen batek /32 iraunkor bat baliogabetzen du erantzuna aldatzen den unetik. Remote-lerro anitzeko profilek arazo bera du, bezeroa horietako edozeinetan lurreratu baitaiteke. Freskatu bidea bezeroaren bizitza-zikloaren kakoetatik, eskuz gehitu beharrean. up script batek negoziatutako parea irakurtzen du eta ostalari-bidea instalatzen du salbuespena errealitatearekin lerrokatuta mantentzeko, eta dagokion down script batek kentzen du.

Erregistratu freskatzea ostalariaren gainerako bideratze-konfigurazioaren leku berean. Hurrengo berrabiaraztea arte soilik existitzen den bide bat proba bat da, ez konponketa.

Eduki barruko politika bereizita

Kanpoko bidea mugitzeak ez du azpisare pribatu berrirako sarbiderik ematen eta ez du aldatzen zerbitzariak tunelera zein helmuga bultzatzen dituen. Azpiko geruzako bideak hautatzen du alanbrea; bultzatutako bideek hautatzen dute tunelera zer sartzen den. Bi erabaki horiek bereizita edukitzeak egiten du zatiketa aurreikusteko modukoa.

Helburua garraio zifratua neurtutako estekatik urrun edukitzea besterik ez bada, utzi bide lehenetsia bakean eta gehitu ostalari-salbuespen bakarra. VPN konexio bat mugitzeko makina osoko bide lehenetsia ordezteak ostalariko beste edozein aplikazio hausten du.

Egiaztatu emaitza bi behaketa independenterekin: socketaren tokiko helbidea eta gailua, eta helmuga pribatua ebazten den bidea. Biak zure asmoarekin bat etortzen direnean, zatiketa erreala da. OpenVPN 2.6 eskuliburuak remote eta tokiko lotura aukerak biltzen ditu, bezeroak zein helbideri deitzen dion erabakitzen dutenak.