TunnelCrack વિરુદ્ધ TunnelVision: દરેક ખરેખર શું તોડે છે

ટનલ છોડતા કોઈપણ VPN ટ્રાફિક માટે બે સંશોધન નામો એકબીજાના બદલે વપરાય છે, પણ તેમની પાછળની પદ્ધતિઓ એકસરખી નથી. TunnelCrack રાઉટિંગ અપવાદોના બે કુટુંબો વર્ણવે છે; TunnelVision અંતિમ ઉપકરણ પર DHCP દ્વારા પૂરો પડાતો રૂટ વર્ણવે છે. બંનેમાંથી કોઈ એન્ક્રિપ્શન તોડતું નથી, અને કોઈ તમને કહેતું નથી કે આજે ચોક્કસ ક્લાયન્ટ બિલ્ડ શું કરે છે. પાંચ ચકાસણી પદ્ધતિઓને મથાળાથી અલગ પાડે છે.

પહેલું પગલું: તમે સમીક્ષા કરી રહ્યા છો તે પદ્ધતિનું નામ આપો

ઓગસ્ટ 2023 ના TunnelCrack જાહેરાત બે હુમલા કુટુંબો વર્ણવે છે. સ્થાનિક નેટવર્કના કિસ્સામાં, ક્લાયન્ટ જે ટ્રાફિકને સ્થાનિક નેટવર્કનો ગણે છે તે સ્થાનિક-પ્રવેશ અપવાદ લે છે અને ટનલ છોડે છે. સર્વર સરનામાના કિસ્સામાં, VPN સર્વર સુધી પહોંચવા માટે ક્લાયન્ટને જે રૂટ જોઈએ છે તે ટનલની બહાર હોય છે, અને જે વિરોધી તે સરનામું નિયંત્રિત કરે છે તે આ અપવાદનો લાભ લઈ શકે છે.

TunnelVision એ DHCP દ્વારા પૂરા પડાતા વર્ગહીન સ્થિર રૂટ વિશે અલગ અહેવાલ છે. દુર્ભાવનાપૂર્ણ DHCP સર્વર અંતિમ ઉપકરણને એવા રૂટ આપી શકે છે જે ટ્રાફિક કયો માર્ગ લે છે તે બદલે છે, જેમાં VPN સર્વર તરફનો માર્ગ પણ સામેલ છે. અહેવાલ સંબંધિત રાઉટિંગ અસરો પરના પહેલાના કામને સ્વીકારે છે, જે યાદ કરાવે છે કે મૂળભૂત પદ્ધતિ નામ કરતાં જૂની છે.

નામોને તેમની પદ્ધતિઓ સાથે જોડેલા રાખો. બીજું સમાચારમાં છે એટલે એક માટે સુધારો લાગુ કરવો એ સમીક્ષા આવરણ વગર ગતિ ઉત્પન્ન કરે તે રીત છે.

બીજું પગલું: સ્થાનિક-પ્રવેશ અપવાદ જુઓ

મોટાભાગના ક્લાયન્ટ સ્થાનિક નેટવર્ક ટ્રાફિકને મુક્ત કરે છે જેથી ટનલ ચાલુ હોય ત્યારે પ્રિન્ટર, કાસ્ટિંગ અને ફાઇલ શેરિંગ કામ કરતા રહે. આ અપવાદ સુરક્ષા કિંમત ધરાવતો નીતિ નિર્ણય છે: એક જ નેટવર્ક પરનો વિરોધી પોતાને સ્થાનિક યજમાન તરીકે રજૂ કરી શકે છે, અને તેના સુધી પહોંચતો ટ્રાફિક કદી ટનલમાં દાખલ થયો નથી.

પૂછો કે તૈનાત પ્રોફાઇલને આ અપવાદની જરૂર છે કે નહીં. જે દૂરસ્થ કાર્યબળ કદી સ્થાનિક શોધનો ઉપયોગ કરતું નથી તે ઘણી વાર તેને બંધ કરી શકે છે, અને બાકીની સ્થાનિક સેવાઓ દસ્તાવેજીકૃત માર્ગે મેળવી શકાય છે. જ્યાં અપવાદ જરૂરી હોય, ત્યાં તેને સ્થાનિક ટ્રાફિક કહેવાને બદલે તે કયા ગંતવ્યોને આવરી લે છે તે કહો.

ચકાસણી એ રૂપરેખાંકનનો પ્રશ્ન છે, પેકેટ કેપ્ચર નહીં. પ્રોફાઇલ સેટિંગ અને તમે તૈનાત કરો છો તે બિલ્ડનું ક્લાયન્ટ દસ્તાવેજીકરણ વાંચો, કારણ કે ડિફોલ્ટ ઉત્પાદનો વચ્ચે અને એક જ ઉત્પાદનની આવૃત્તિઓ વચ્ચે અલગ પડે છે. જવાબ પ્રોફાઇલની બાજુમાં લખો, જેથી આગલા સમીક્ષકને તે વર્તન પરથી અનુમાન કરવું ન પડે. જે અપવાદ કોઈએ દસ્તાવેજીકૃત કર્યો નથી તે એવો અપવાદ છે જેની કોઈ સમીક્ષા કરતું નથી.

ત્રીજું પગલું: સર્વરનું સરનામું કેવી રીતે શીખવાય છે તે જુઓ

કોઈપણ ટનલ અસ્તિત્વમાં આવે તે પહેલાં ક્લાયન્ટે VPN સર્વર સુધી પહોંચવું પડે છે, તેથી તે ગંતવ્ય ડિઝાઇન અનુસાર ટનલની બહાર રાઉટ થાય છે. જો સરનામું નામ પરથી શીખવામાં આવે, તો રિઝોલ્યુશનનું પગલું વિશ્વાસ માર્ગનો ભાગ છે, અને તે પ્રશ્નનો જવાબ આપી શકતો વિરોધી ક્લાયન્ટને પોતે નિયંત્રિત કરતા યજમાન તરફ મોકલી શકે છે.

સરનામું પિન કરવું, સાચા નામ સાથે ચકાસાયેલ પ્રમાણપત્ર વાપરવું અને ચકાસાયેલ ન હોય તેવા સર્વર પર પાછા ન ઊતરવાનો ઇનકાર, આ બધા જોખમ ઘટાડે છે. તેમાંથી કોઈ ટનલની બહાર સર્વર સુધી પહોંચવાની જરૂર દૂર કરતું નથી; તે બદલે છે કે તે સરનામા માટે કોણ જવાબ આપી શકે છે.

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

રૂટ શોધ દર્શાવે છે કે સર્વર સરનામા માટે ક્લાયન્ટ કઈ ઇન્ટરફેસ વાપરશે, જે અપવાદનું મૂર્ત સ્વરૂપ છે. જો તે શોધ ટનલ ઇન્ટરફેસ પરત આપે, તો ક્લાયન્ટ ટનલ સ્થાપિત જ કરી શકતું નથી, તેથી બહારનો રૂટ અપેક્ષિત છે અને પ્રશ્ન ફક્ત એ છે કે તેનું ગંતવ્ય કેવી રીતે પસંદ થાય છે.

ચોથું પગલું: DHCP આપેલા રૂટ જુઓ

વર્ગહીન સ્થિર રૂટ DHCP સર્વરને રાઉટિંગ કોષ્ટકની નોંધો વહેંચવા દે છે, અને અંતિમ ઉપકરણ સામાન્ય રીતે પૂછ્યા વગર તેમને સ્વીકારે છે. જે નેટવર્કમાં વિરોધી કાયદેસર સર્વર કરતાં ઝડપથી DHCPનો જવાબ આપી શકે છે, ત્યાં તે નોંધો વપરાશકર્તા ટનલની અંદર માને છે તે ટ્રાફિકને ફરી માર્ગ આપી શકે છે.

અંતિમ ઉપકરણના રૂટની તમે અપેક્ષા રાખો છો તે રૂટ સાથે સરખામણી કરો. ટનલ ચાલુ હોય ત્યારે સ્થાનિક ગેટવે તરફ ઇશારો કરતો ડિફોલ્ટ રૂટ કે પહોળું પ્રીફિક્સ એ તપાસને લાયક સહી છે, અને તે કોઈ હુમલાખોર ટ્રાફિક વગર દેખાય છે.

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

છેલ્લું સેટિંગ એ અંતિમ ઉપકરણની બાજુનું નિયંત્રણ છે જે ઘણા ક્લાયન્ટ અને પ્લેટફોર્મ કોઈક સ્વરૂપમાં આપે છે: નેટવર્ક દ્વારા પૂરા પડાતા રૂટને અવગણો. સ્વયં રૂટ સ્વીકાર બંધ કરવો એ વેપાર છે, કારણ કે તે કોર્પોરેટ DHCP સર્વર તરફથી કાયદેસર વિભાજિત રાઉટિંગ પણ બંધ કરે છે, તેથી તેને વૈશ્વિક નહીં, નેટવર્ક વર્ગ પ્રમાણે નક્કી કરો.

પાંચમું પગલું: જાહેરાતને વર્તમાન બિલ્ડથી અલગ પાડો

પ્રકાશિત હુમલો ચોક્કસ સમયે ચોક્કસ ક્લાયન્ટ આવૃત્તિઓ પર જોવા મળેલા વર્તનનું વર્ણન કરે છે. તે સાબિત કરતું નથી કે તમારી સામેનું લેપટોપ અસરગ્રસ્ત છે, અને સાબિત કરતું નથી કે તે સુધારાયું છે. બંને દાવાઓને ખરેખરો બિલ્ડ નંબર અને વિક્રેતાની વર્તમાન સૂચના જોઈએ.

ક્લાયન્ટ આવૃત્તિ, પ્લેટફોર્મ, ઉપરના અપવાદોને નિયંત્રિત કરતા પ્રોફાઇલ સેટિંગ અને તમે ચકાસ્યું તે તારીખ નોંધો. તે રેકોર્ડ પ્રામાણિકપણે જૂનો થાય છે, જ્યારે TunnelCrack માટે VPN પેચ થયું હોવાની નોંધ એમ કરતી નથી. ક્લાયન્ટ અપડેટ થાય ત્યારે તેને ફરી વાંચો, કારણ કે તમે સ્પર્શ ન કર્યો હોય તેવી આવૃત્તિ હેઠળ પ્રોફાઇલ ડિફોલ્ટ બદલાઈ શકે છે.

જ્યારે તમે ખરેખર માન્યતા ચકાસો, ત્યારે મંજૂર યોજના તમારા પોતાના અંતિમ ઉપકરણ અને નિરુપદ્રવી ગંતવ્ય સામે વાપરો. વહેંચાયેલા નેટવર્ક પર અન્ય વપરાશકર્તાઓ સામે હુમલો ફરી ચલાવવો પરીક્ષણ નથી, અને અવલોકન સરળ બનાવવા સાથી ચકાસણી કે એપ્લિકેશન એન્ક્રિપ્શન બંધ કરવું તમે માપવા માંગતા હતા તે રક્ષણ દૂર કરે છે.

અંતે, એપ્લિકેશન-સ્તરનું રક્ષણ ચિત્રમાં રાખો. રાઉટિંગ અપવાદ ટનલ વહન કરતું હોત તે ટ્રાફિક ખુલ્લો કરી શકે છે, અને એપ્લિકેશનનું TLS હજી પણ તે ટ્રાફિકને છેડાથી છેડા સુધી રક્ષે છે. બંને સ્તર સ્વતંત્ર રીતે નિષ્ફળ જાય છે, તેથી જોડાયેલ નિયંત્રણ ચેનલ એ પુરાવો નથી કે દરેક પ્રવાહ ઇચ્છિત માર્ગે ગયો.