શું DHCP રૂટ તમારા ટ્રાફિકને VPN ટનલની બહાર મોકલી શકે છે?

એન્ક્રિપ્શન એક સીમા પર શરૂ થાય છે, અને એ સીમા એ રૂટિંગ નિર્ણય છે જે એન્ડપોઇન્ટ કોઈ પણ પેકેટ એન્કેપ્સ્યુલેટ થાય તે પહેલાં લે છે. જે નેટવર્ક તમારી કી ક્યારેય જોતું નથી તે પણ તમારા મશીનને એવો રૂટ આપી શકે છે જે તેને ટનલના પોતાના રૂટ કરતાં વધુ ગમે. અહીં બે નિષ્ફળતાઓ ભેળસેળ થાય છે: પહેલેથી ટનલની અંદર રહેલું પેકેટ વાંચવું, અને જે પેકેટ ક્યારેય ત્યાં મૂકવામાં આવ્યું નથી તેને દિશા આપવી.

આ ભેદ મહત્વનો છે કારણ કે બીજી નિષ્ફળતા ગોઠવવી સસ્તી છે અને ચૂકી જવી ઘણી સહેલી. તે એવી વિનંતી તરીકે દેખાય છે જે ખોટા ઇન્ટરફેસમાંથી નીકળી ગઈ, જ્યારે ક્લાયન્ટ હજુ સ્વસ્થ જોડાણની જાણ કરી રહ્યો હતો.

નેટવર્ક તમને અસર કરી શકે તેવી બે રીતો

ટનલ સુધી પહોંચતા પેકેટનો પેલોડ તે જે પણ હોપ પસાર કરે છે તેનાથી છુપાયેલો રહે છે, અને માર્ગ તમને આશ્ચર્ય કરે ત્યારે પણ એ રક્ષણ ટકે છે. જે પેકેટ ક્યારેય ટનલ સુધી પહોંચતું નથી તે તમારા સરનામેથી આવતી સામાન્ય વિનંતી છે, જે રૂટ ટેબલ જ્યાં ઇશારો કરે ત્યાં મોકલાય છે. પ્રથમ નિષ્ફળતાને તૂટેલું સાઇફર કે સમાધાન થયેલો સાથી જોઈએ, જ્યારે બીજીને ફક્ત એક કન્ફિગરેશન સંદેશ જોઈએ જેને તમારા મશીને ભરોસો કરવાનું નક્કી કર્યું. એ અસમાનતા જ કારણ છે કે રૂટિંગનો અડધો ભાગ પોતાની સમીક્ષાને લાયક છે.

માર્ગ પરનાં ઉપકરણોને બીજા કિસ્સામાં અસર કરવા તમારી કીની જરૂર નથી. તેને ફક્ત એ જોઈએ કે તમારો એન્ડપોઇન્ટ રૂટ, રિઝોલ્વર અથવા નીતિ-નિયમ સ્વીકારે જે એક ઉત્પન્ન કરે.

expected:  app -> tunnel device -> encapsulation -> internet
observed:  app -> wlan0        -> plaintext     -> internet

ટનલ અસ્તિત્વમાં આવે તે પહેલાં રૂટ ક્યાંથી આવી શકે

DHCP સરનામાના ભાડા કરતાં વધુ વહેંચે છે. ક્લાસલેસ સ્ટેટિક રૂટ વિકલ્પ ગંતવ્ય પ્રીફિક્સ અને આગળના હોપ વહન કરી શકે છે, અને RFC 3442 ખોટા રાઉટર સરનામાના સુરક્ષા પરિણામોની ચર્ચા કરે છે: ખોટી દિશામાં મોકલાયેલ ટ્રાફિક, સેવા નકાર, અથવા માર્ગ પર બેઠેલો નિરીક્ષક. જે ક્લાયન્ટ ટનલ ઊભી થાય તે પહેલાં આ રૂટ સ્વીકારે છે તે તમારા પ્રદાતા સાથે કોઈ સંબંધ ન ધરાવતા પ્રાધાન્યવાળા માર્ગ સાથે પૂરો થઈ શકે છે.

એમાંથી કંઈ પણ રૂટ ઇન્જેક્શનને સાર્વત્રિક બનાવતું નથી. ક્લાયન્ટે વિકલ્પ સ્વીકારવો પડે, પ્રીફિક્સે તમને મહત્વનો ટ્રાફિક આવરી લેવો પડે, પસંદ કરેલા આગળના હોપ સુધી પહોંચી શકાય તેવું હોવું પડે, અને અમલ નીતિએ પેકેટને એ માર્ગે બહાર જવા દેવું પડે. એમાંથી કોઈ પણ એક દૂર કરો અને એ જ પ્રતિસાદ હાનિકારક રહેતો નથી. એટલે જ એક જ નેટવર્ક પરનાં બે મશીન અલગ રીતે વર્તી શકે છે, કારણ કે તેઓ એક જ ક્લાયન્ટ, એક જ નીતિ કે એક જ સરનામા કુટુંબ ચલાવતા નથી.

IPv6 પોતાની અલગ પસારીને લાયક છે, કારણ કે રાઉટર જાહેરાતો ડિફોલ્ટ રૂટ DHCPv4 વિકલ્પ કરતાં જુદા કોડ દ્વારા વહન કરે છે. જે પરીક્ષણ ફક્ત v4 ટેબલ તપાસે છે તે તેને આવરી લેતું નથી.

કર્નલ ખરેખર જે માર્ગ પસંદ કરે છે તે તપાસો

રૂટ લુકઅપના જવાબ મળી શકે છે, તેથી સ્ટેટસ લાઇટ પરથી અનુમાન કરવાને બદલે તેમને પૂછો. નીચેની કમાન્ડ એક ગંતવ્ય માટે પસંદ કરેલો રૂટ અને સ્રોત દર્શાવે છે, સાથે એ નિયમો પણ જે મુખ્ય ટેબલને પાછળ પાડી શકે છે. જોડાયેલા હોય ત્યારે અને ફરી જોડાણ પછી ચલાવો, કારણ કે ભાડાનું નવીકરણ જવાબ બદલી શકે છે.

ip route get 203.0.113.10
ip route show table all | grep -E '^(default|203\.0\.113)'
ip rule show
resolvectl query example.com

આઉટપુટમાં બે વસ્તુઓ શોધો: રૂટમાં નામ આપેલું ઇન્ટરફેસ અને પસંદ કરેલું સ્રોત સરનામું. ટનલ રૂટ ટનલ ઉપકરણનું નામ આપે છે, લીક થયેલો રૂટ ભૌતિક ઉપકરણનું, અને કંઈ પણ ડિક્રિપ્ટ કર્યા વિના તફાવત દેખાય છે. જો ચલાવવાની વચ્ચે જવાબ બદલાય તો બંને આઉટપુટ રાખો અને જે નિયમોએ તેમને બનાવ્યા તેની તુલના કરો.

ડિફોલ્ટ રૂટ પર અટકી ન જાઓ. એપ્લિકેશન અપવાદ, સ્પ્લિટ-ટનલ પ્રીફિક્સ અથવા બીજો નીતિ-નિયમ ચોક્કસ ગંતવ્યને ટનલની આસપાસ લઈ જઈ શકે છે જ્યારે ડિફોલ્ટ હજુ અંદર ઇશારો કરે છે.

અમલ ક્યાં રહેવો જોઈએ તે નક્કી કરો

ત્રણ શરતો નક્કી કરે છે કે ક્લાયન્ટ-બાજુનો અમલ પૂરતો છે કે તેની બહાર કંઈક જોઈએ. જો ક્લાયન્ટ તમે વાપરો છો તે દરેક સરનામા કુટુંબ માટે રૂટ સ્થાપિત કરે અને તેનો બચાવ કરે, તો ડિફોલ્ટ ધરાવતી ટનલ સામાન્ય રીતે પૂરતી છે. જો મશીને સ્થાનિક સંસાધનો સુધી પહોંચવું પડે જ્યારે બાકીનું બધું ટનલમાં જ રહે, તો એ અપવાદોની યાદી બનાવીને તેમની માલિકી લેવી પડે, એક્સેસ નેટવર્કે જાહેર કર્યું તેના પર છોડી દેવાય નહીં. અને જો પ્લેટફોર્મ દરેક એપ્લિકેશન માટે ટ્રાફિકને ઇન્ટરફેસ સાથે બાંધી શકે, તો એ બંધન કોઈ પણ વસ્તુ પાછળ પાડી શકે તેવા રૂટ કરતાં મજબૂત બાંયધરી છે.

તમે ગમે તે પસંદ કરો, નિર્ણય ત્યાં લખો જ્યાં કન્ફિગરેશન રહે છે. કોઈએ ઘટનાના સમયે ટાઇપ કર્યું હોવાથી અસ્તિત્વમાં છે તેવો નિયમ આગલા રીબૂટ સુધી ટકશે નહીં, તેથી સ્થાનિક અને બૂટસ્ટ્રેપ અપવાદો સાંકડા રાખો અને દરેક કેમ છે તે નોંધો.

દરેક ક્લાયન્ટ અપગ્રેડ અને દરેક નેટવર્ક ફેરફાર પછી લુકઅપ કમાન્ડ ફરી ચલાવો, અને છેલ્લે નોંધાયેલા આઉટપુટ સાથે તુલના કરો. રૂટ ટેબલ જ અમલની સીમા છે, તેથી તેને એ રીતે ગણો.