Kinne DHCP-rûtes jo ferkear bûten de VPN-tunnel om stjoere?

Fersifering begjint by in grins, en dy grins is in routingbeslút dat it einpunt nimt foardat hokker pakket dan ek ynkapsulearre wurdt. In netwurk dat jo kaaien nea sjocht, kin jo masine dochs in rûte jaan dy't it better fynt as dy fan de tunnel sels. Hjir wurde twa flaters trochinoar helle: in pakket lêze dat al yn de tunnel sit, en in pakket stjoere dat der nea yn pleatst is.

It ûnderskied is wichtich, want de twadde flater is goedkeaper te regeljen en folle makliker te missen. Hy docht him foar as in fersyk dat troch de ferkearde ynterface fuortgien is wylst de klient noch in sûne ferbining meldde.

Twa manieren wêrop in netwurk jo beynfloedzje kin

In pakket dat de tunnel berikt, hat syn lading ferburgen foar elke hop dy't it krúst, en dy beskerming hâldt stân sels as it paad jo ferrast. In pakket dat de tunnel nea berikt, is in gewoan fersyk fan jo adres, stjoerd nei wêr't de rûtetabel ek wiisde. De earste flater freget in brutsen sifer of in kompromittearre partner, wylst de twadde allinnich in konfiguraasjeboadskip freget dat jo masine keas te fertrouwen. Dy asymmetry is wêrom't de routinghelte in eigen resinsje fertsjinnet.

Apparatuer op it paad hat jo kaaien net nedich om it twadde gefal te beynfloedzjen. It hat allinnich nedich dat jo einpunt in rûte, in resolver of in beliedsregel akseptearret dy't ien produsearret.

expected:  app -> tunnel device -> encapsulation -> internet
observed:  app -> wlan0        -> plaintext     -> internet

Wêr't in rûte wei komme kin foardat de tunnel bestiet

DHCP dielt mear út as in adreshiersetting. De opsje foar klassleaze statyske rûtes kin bestimmingsprefiksen en folgjende hops drage, en RFC 3442 besprekt de feiligensgefolgen fan in ferkeard routeradres: ferkeard rjochte ferkear, in tsjinstwegering, of in waarnimmer dy't op it paad sit. In klient dy't dy rûtes akseptearret foardat de tunnel omheech is, kin einigje mei in foarkarspaad dat neat mei jo provider te meitsjen hat.

Net ien fan dat makket rûte-ynjeksje universeel. De klient moat de opsje akseptearje, it prefiks moat it ferkear dekke dat jo oan giet, de keazen folgjende hop moat berikber wêze, en it hanthaveningsbelied moat it pakket dy wei út gean litte. Helje ien fan dy fuort en itselde antwurd is skaadleas. Dat is ek wêrom't twa masines op ien netwurk har oars gedrage kinne, om't se net deselde klient, itselde belied of sels deselde adresfamylje draaie.

IPv6 fertsjinnet in eigen gong, om't routeroankundigings in standertrûte drage fia oare koade as de DHCPv4-opsje. In test dy't allinnich de v4-tabel besjocht, hat dat net dekt.

Kontrolearje it paad dat de kearn eins kiest

Rûte-opfregen binne te be-antwurdzjen, dat freegje se ynstee fan út in statuslampe ôf te lieden. De kommando's hjirûnder litte de keazen rûte en boarne foar ien bestimmingsplak sjen, plus de regels dy't de haadtabel oergean kinne. Rin se wylst jo ferbûn binne en wer nei in opnij ferbinen, om't in hierynferring it antwurd feroarje kin.

ip route get 203.0.113.10
ip route show table all | grep -E '^(default|203\.0\.113)'
ip rule show
resolvectl query example.com

Lês de útfier foar twa dingen: de ynterface neamd yn 'e rûte en it keazen boarneaadres. In tunnelrûte neamt it tunnelapparaat, in lekte rûte it fysike, en it ferskil is sichtber sûnder eat te ûntsiferjen. As it antwurd tusken runs feroaret, bewarje dan beide útfieren en fergelykje de regels dy't se makken.

Stop net by de standertrûte. In app-útsûndering, in prefiks fan in splitst tunnel of in twadde beliedsregel kinne in beskaat bestimmingsplak om 'e tunnel hinne liede wylst de standert noch nei binnen wiist.

Beslút wêr't hanthavening wenje moat

Trije betingsten beslute oft hanthavening oan 'e klientkant genôch is of oft jo eat bûten dy nedich hawwe. As de klient rûtes ynstallearret en ferdigenet foar elke adresfamylje dy't jo brûke, is in tunnel dy't de standert besit meast genôch. As de masine lokale boarnen berikke moat wylst al it oare yn 'e tunnel bliuwt, moatte dy útsûnderingen opsomd en besit wurde ynstee fan oerlitten te wurden oan wat it tagongsnetwurk oankundige hat. En as it platfoarm ferkear bine kin oan in ynterface per app, is dy bining in sterker garânsje as in rûte dy't eat dan ek oergean kin.

Wat jo ek kieze, skriuw it beslút dêr't de konfiguraasje wennet. In regel dy't bestiet om't immen him by in ynsidint yntypke, oerlibbet de folgjende werstart net, dus hâld lokale en opstartútsûnderingen smel en skriuw op wêrom't elk bestiet.

Rin de sykkommando's wer nei elke klientfernijing en elke netwurkferoaring, en fergelykje mei de lêst opnommen útfier. De rûtetabel is de hanthaveningsgrins, dus behannelje him as ien.