Կարո՞ղ են DHCP երթուղիները ձեր թրաֆիկը դուրս ուղարկել VPN թունելից

Գաղտնագրումը սկսվում է մի սահմանից, և այդ սահմանը երթուղավորման որոշում է, որը վերջնակետը կայացնում է նախքան որևէ փաթեթի ինկապսուլացումը։ Ցանցը, որը երբեք չի տեսնում ձեր բանալիները, այնուամենայնիվ կարող է ձեր մեքենային տալ երթուղի, որը նրան ավելի հարմար է թվում, քան բուն թունելինը։ Այստեղ շփոթվում են երկու ձախողումներ՝ արդեն թունելի ներսում գտնվող փաթեթ կարդալը և այն փաթեթը շրջելը, որը երբեք այնտեղ չի դրվել։

Տարբերությունը կարևոր է, որովհետև երկրորդ ձախողումն ավելի էժան է կազմակերպել և շատ ավելի հեշտ բաց թողնել։ Այն ի հայտ է գալիս որպես հարցում, որը դուրս է եկել սխալ ինտերֆեյսով, մինչդեռ հաճախորդը դեռ հայտնում էր առողջ կապի մասին։

Երկու եղանակ, որոնցով ցանցը կարող է ազդել ձեզ վրա

Թունել հասնող փաթեթի բեռնվածությունը թաքնված է յուրաքանչյուր ցատկից, որն այն անցնում է, և այդ պաշտպանությունը պահպանվում է նույնիսկ այն դեպքում, երբ ուղին ձեզ անակնկալի է բերում։ Այն փաթեթը, որը երբեք չի հասնում թունել, սովորական հարցում է ձեր հասցեից՝ ուղարկված այնտեղ, ուր ցույց էր տալիս երթուղիների աղյուսակը։ Առաջին ձախողումը պահանջում է կոտրված գաղտնագիր կամ վտանգված գործընկեր, մինչդեռ երկրորդին պետք է միայն կարգավորման հաղորդագրություն, որին ձեր մեքենան որոշել է վստահել։ Այդ անհամաչափությունն է պատճառը, որ երթուղավորման կեսն արժանի է առանձին ստուգման։

Ուղու վրա գտնվող սարքավորումը ձեր բանալիների կարիքը չունի երկրորդ դեպքի վրա ազդելու համար։ Նրան պետք է միայն, որ ձեր վերջնակետը ընդունի երթուղի, լուծիչ կամ քաղաքականության կանոն, որը մեկը ստեղծում է։

expected:  app -> tunnel device -> encapsulation -> internet
observed:  app -> wlan0        -> plaintext     -> internet

Որտեղի՞ց կարող է երթուղի գալ մինչև թունելի գոյությունը

DHCP-ն բաժանում է ավելին, քան հասցեի վարձակալությունը։ Դասազուրկ ստատիկ երթուղու ընտրանքը կարող է կրել նպատակակետ նախածանցեր և հաջորդ ցատկեր, և RFC 3442 քննարկում է սխալ երթուղիչի հասցեի անվտանգության հետևանքները՝ շեղված թրաֆիկ, ծառայության մերժում կամ ուղու վրա նստած դիտորդ։ Հաճախորդը, որը ընդունում է այդ երթուղիները նախքան թունելի բարձրանալը, կարող է հայտնվել նախընտրելի ուղու վրա, որը ոչ մի կապ չունի ձեր մատակարարի հետ։

Այս ոչ մեկը երթուղու ներարկումը համընդհանուր չի դարձնում։ Հաճախորդը պետք է ընդունի ընտրանքը, նախածանցը պետք է ծածկի այն թրաֆիկը, որը ձեզ համար կարևոր է, ընտրված հաջորդ ցատկը պետք է հասանելի լինի, և կիրարկման քաղաքականությունը պետք է թույլ տա փաթեթին դուրս գալ այդ ուղով։ Հեռացրեք դրանցից որևէ մեկը, և նույն պատասխանն անվնաս է դառնում։ Այդ պատճառով էլ մեկ ցանցում երկու մեքենա կարող են տարբեր վարվել, քանի որ նրանք չեն գործարկում նույն հաճախորդը, նույն քաղաքականությունը կամ նույնիսկ նույն հասցեների ընտանիքը։

IPv6-ն արժանի է առանձին անցման, որովհետև երթուղիչի հայտարարությունները լռելյայն երթուղին կրում են այլ կոդով, քան DHCPv4 ընտրանքը։ Թեստը, որը ստուգում է միայն v4 աղյուսակը, դա չի ծածկել։

Ստուգեք այն ուղին, որն իրականում ընտրում է միջուկը

Երթուղու հարցումներին հնարավոր է պատասխանել, ուստի հարցրեք նրանց՝ փոխարենը կարգավիճակի լույսից եզրակացնելու։ Ստորև բերված հրամանները ցույց են տալիս մեկ նպատակակետի համար ընտրված երթուղին և աղբյուրը, ինչպես նաև այն կանոնները, որոնք կարող են շրջանցել հիմնական աղյուսակը։ Գործարկեք դրանք միացված վիճակում և կրկին վերամիանալուց հետո, որովհետև վարձակալության նորացումը կարող է փոխել պատասխանը։

ip route get 203.0.113.10
ip route show table all | grep -E '^(default|203\.0\.113)'
ip rule show
resolvectl query example.com

Կարդացեք ելքը երկու բանի համար՝ երթուղում նշված ինտերֆեյսը և ընտրված աղբյուրի հասցեն։ Թունելի երթուղին նշում է թունելի սարքը, արտահոսած երթուղին՝ ֆիզիկականը, և տարբերությունը տեսանելի է առանց որևէ բան վերծանելու։ Եթե պատասխանը փոխվում է գործարկումների միջև, պահեք երկու ելքերն էլ և համեմատեք դրանք ստեղծած կանոնները։

Մի՛ կանգնեք լռելյայն երթուղու վրա։ Հավելվածի բացառությունը, բաժանված թունելի նախածանցը կամ երկրորդ քաղաքականության կանոնը կարող են որոշակի նպատակակետ տանել թունելի շուրջը, մինչդեռ լռելյայնը դեռ ներս է ցույց տալիս։

Որոշեք, թե որտեղ պետք է ապրի կիրարկումը

Երեք պայման է որոշում՝ բավարա՞ր է հաճախորդի կողմի կիրարկումը, թե՞ դրանից դուրս ինչ-որ բան է պետք։ Եթե հաճախորդը տեղադրում և պաշտպանում է երթուղիներ ձեր օգտագործած յուրաքանչյուր հասցեների ընտանիքի համար, ապա լռելյայնը տիրապետող թունելը սովորաբար բավարար է։ Եթե մեքենան պետք է հասնի տեղական ռեսուրսներին, մինչ մնացած ամեն ինչ մնում է թունելում, այդ բացառությունները պետք է թվարկվեն և տիրապետվեն, այլ ոչ թե թողնվեն մուտքի ցանցի հայտարարածին։ Իսկ եթե հարթակը կարող է թրաֆիկը կապել ինտերֆեյսին ըստ հավելվածի, ապա այդ կապը ավելի ուժեղ երաշխիք է, քան երթուղին, որը ցանկացած բան կարող է շրջանցել։

Ինչ էլ ընտրեք, գրեք որոշումը այնտեղ, որտեղ ապրում է կարգավորումը։ Կանոնը, որը գոյություն ունի այն պատճառով, որ ինչ-որ մեկը մուտքագրել է այն միջադեպի ժամանակ, չի վերապրի հաջորդ վերագործարկումը, ուստի տեղական և բեռնարկման բացառությունները պահեք նեղ և գրանցեք, թե ինչու է յուրաքանչյուրը գոյություն ունենում։

Նորից գործարկեք որոնման հրամանները յուրաքանչյուր հաճախորդի թարմացումից և ցանցի յուրաքանչյուր փոփոխությունից հետո, և համեմատեք վերջին գրանցված ելքի հետ։ Երթուղիների աղյուսակը կիրարկման սահմանն է, ուստի վերաբերվեք դրան որպես այդպիսին։