TunnelCrack ընդդեմ TunnelVision-ի՝ ինչ է իրականում կոտրում յուրաքանչյուրը
TunnelCrack-ը և TunnelVision-ը չարաշահում են երթուղավորման տարբեր բացառություններ. վերանայեք տեղական ցանցի բացառությունը, սերվերի երթուղին և DHCP 121 տարբերակը յուրաքանչյուր հաճախորդի կառուցվածքի համար։
Երկու հետազոտական անուն փոխարինաբար օգտագործվում են թունելից դուրս եկող ցանկացած VPN երթևեկության համար, սակայն դրանց հետևում կանգնած մեխանիզմները նույնը չեն։ TunnelCrack-ը նկարագրում է երթուղավորման բացառությունների երկու ընտանիք, TunnelVision-ը՝ DHCP-ի կողմից վերջնական սարքին տրվող երթուղի։ Ոչ մեկը չի կոտրում գաղտնագրումը, և ոչ մեկը ձեզ չի ասում, թե ինչ է այսօր անում հաճախորդի կոնկրետ կառուցվածքը։ Հինգ ստուգում բաժանում են մեխանիզմները վերնագրից։
Առաջին քայլ՝ անվանեք ձեր ստուգվող մեխանիզմը
2023 թվականի օգոստոսի TunnelCrack բացահայտումը նկարագրում է հարձակման երկու ընտանիք։ Տեղական ցանցի դեպքում այն երթևեկությունը, որը հաճախորդը համարում է տեղական ցանցին պատկանող, ստանում է տեղական հասանելիության բացառություն և դուրս գալիս թունելից։ Սերվերի հասցեի դեպքում այն երթուղին, որն անհրաժեշտ է հաճախորդին հենց VPN սերվերին հասնելու համար, գտնվում է թունելից դուրս, և այդ հասցեն վերահսկող հակառակորդը կարող է օգտվել բացառությունից։
TunnelVision-ը առանձին զեկույց է DHCP-ի մատակարարած դասազուրկ ստատիկ երթուղիների մասին։ Չարամիտ DHCP սերվերը կարող է վերջնական սարքին տալ երթուղիներ, որոնք փոխում են երթևեկության ուղին, ներառյալ դեպի VPN սերվեր տանող ուղին։ Զեկույցը ճանաչում է հարակից երթուղավորման ազդեցությունների վերաբերյալ ավելի վաղ աշխատանքը, ինչը հիշեցնում է, որ հիմնական մեխանիզմը անվանումից հին է։
| Case | Exception it abuses |
|---|---|
| TunnelCrack local network | Traffic classified as local bypasses the tunnel |
| TunnelCrack server address | The route to the VPN server sits outside the tunnel |
| TunnelVision | DHCP option 121 installs routes that redirect traffic |
Անունները կապված պահեք իրենց մեխանիզմներին։ Մեկի համար ուղղում կիրառելը, քանի որ մյուսը լուրերում է, այն ձևն է, որով վերանայումը շարժում է ստեղծում առանց ծածկույթի։
Երկրորդ քայլ՝ նայեք տեղական հասանելիության բացառությանը
Հաճախորդների մեծ մասը բացառում է տեղական ցանցի երթևեկությունը, որպեսզի տպիչները, էկրանի հեռարձակումը և ֆայլերի համօգտագործումը շարունակեն աշխատել, քանի դեռ թունելը միացված է։ Այդ բացառությունը քաղաքականության որոշում է անվտանգության արժեքով. նույն ցանցում գտնվող հակառակորդը կարող է իրեն ներկայացնել որպես տեղական հոսթ, և նրան հասնող երթևեկությունը երբեք չի մտել թունել։
Հարցրեք՝ արդյոք տեղակայված պրոֆիլին ընդհանրապես պետք է այդ բացառությունը։ Հեռավար աշխատուժը, որը երբեք չի օգտագործում տեղական հայտնաբերում, հաճախ կարող է այն անջատել, իսկ մնացած տեղական ծառայություններին կարելի է հասնել փաստաթղթավորված ուղով։ Այնտեղ, որտեղ բացառությունն անհրաժեշտ է, ասեք, թե որ նպատակակետերն է այն ընդգրկում, փոխանակ այն տեղական երթևեկություն անվանելու։
Ստուգումը կազմաձևման հարց է, ոչ թե փաթեթների որսում։ Կարդացեք պրոֆիլի կարգավորումը և հաճախորդի փաստաթղթերը ձեր տեղակայած կառուցվածքի համար, քանի որ լռելյայն տարբերվում է ապրանքների և նույն ապրանքի տարբերակների միջև։ Պատասխանը գրեք պրոֆիլի կողքին, որպեսզի հաջորդ ստուգողը ստիպված չլինի այն եզրակացնել վարքից։ Բացառությունը, որը ոչ ոք չի փաստաթղթավորել, այն բացառությունն է, որը ոչ ոք չի վերանայում։
Երրորդ քայլ՝ նայեք, թե ինչպես է սովորվում սերվերի հասցեն
Հաճախորդը պետք է հասնի VPN սերվերին նախքան որևէ թունելի գոյությունը, ուստի այդ նպատակակետը նախագծմամբ երթուղավորվում է թունելից դուրս։ Եթե հասցեն սովորում են անունից, լուծման քայլը վստահության ուղու մասն է, և այդ հարցմանը պատասխանել կարող հակառակորդը կարող է հաճախորդին ուղղել իր վերահսկող հոսթին։
Հասցեի ամրագրումը, ճիշտ անունով ստուգված վկայագրի օգտագործումը և չստուգված սերվերին հետ ընկնելու մերժումը բոլորը նվազեցնում են ազդեցությունը։ Դրանցից ոչ մեկը չի վերացնում թունելից դուրս սերվերին հասնելու անհրաժեշտությունը. դրանք փոխում են, թե ով կարող է պատասխանել այդ հասցեի համար։
resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule showԵրթուղու որոնումը ցույց է տալիս այն ինտերֆեյսը, որը հաճախորդը կօգտագործեր սերվերի հասցեի համար, և դա բացառությունն է կոնկրետ ձևով։ Եթե այդ որոնումը վերադարձնում է թունելի ինտերֆեյսը, հաճախորդը ընդհանրապես չի կարող կառուցել թունելը, ուստի արտաքին երթուղի է սպասվում, և հարցը միայն այն է, թե ինչպես է ընտրվում դրա նպատակակետը։
Չորրորդ քայլ՝ նայեք DHCP-ի տրամադրած երթուղիներին
Դասազուրկ ստատիկ երթուղիները թույլ են տալիս DHCP սերվերին բաժանել երթուղավորման աղյուսակի գրառումներ, և վերջնական սարքը սովորաբար ընդունում է դրանք առանց հարցնելու։ Ցանցում, որտեղ հակառակորդը կարող է DHCP-ին պատասխանել ավելի արագ, քան օրինական սերվերը, այդ գրառումները կարող են վերահասցեավորել երթևեկությունը, որը օգտվողը կարծում է, թե թունելի ներսում է։
Համեմատեք վերջնական սարքի երթուղիները ձեր սպասած երթուղիների հետ։ Կանխադրված երթուղին կամ լայն նախածանցը, որը ցույց է տալիս տեղական դարպասին, քանի դեռ թունելը միացված է, այն նշանն է, որն արժե հետաքննել, և այն տեսանելի է առանց որևէ հարձակող երթևեկության։
ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"Վերջին կարգավորումը վերջնական սարքի կողմի կառավարումն է, որը շատ հաճախորդներ և հարթակներ առաջարկում են ինչ-որ ձևով. անտեսել ցանցի մատակարարած երթուղիները։ Ավտոմատ երթուղիների ընդունումն անջատելը փոխզիջում է, քանի որ անջատում է նաև կորպորատիվ DHCP սերվերի օրինական բաժանված երթուղավորումը, ուստի որոշեք այն ըստ ցանցի դասի, ոչ գլոբալ։
Հինգերորդ քայլ՝ անջատեք ծանուցումը ընթացիկ կառուցվածքից
Հրապարակված հարձակումը նկարագրում է վարք, որը դիտվել է որոշակի հաճախորդի տարբերակներում որոշակի ժամանակ։ Այն չի հաստատում, որ ձեր առջևի նոութբուքը տուժել է, և չի հաստատում, որ այն ուղղվել է։ Երկու պնդումներն էլ պահանջում են իրական կառուցվածքի համարը և մատակարարի ընթացիկ ծանուցումը։
Գրանցեք հաճախորդի տարբերակը, հարթակը, վերը նշված բացառությունները կարգավորող պրոֆիլի կարգավորումները և ձեր ստուգման ամսաթիվը։ Այդ գրառումը ծերանում է ազնվորեն, մինչդեռ այն նշումը, թե VPN-ը կարկատվել է TunnelCrack-ի դեմ, այդպես չի ծերանում։ Կրկին կարդացեք այն ամեն անգամ, երբ հաճախորդը թարմացվում է, քանի որ պրոֆիլի լռելյայնը կարող է փոխվել ձեր չշոշափած տարբերակի ներքո։
Երբ իրոք վավերացնում եք, օգտագործեք հաստատված պլան ձեր սեփական վերջնական սարքի և անվնաս նպատակակետի դեմ։ Հարձակումը համօգտագործվող ցանցում այլ օգտվողների դեմ վերարտադրելը փորձարկում չէ, և զուգընկերոջ ստուգումը կամ հավելվածի գաղտնագրումն անջատելը դիտարկումը հեշտացնելու համար հեռացնում է այն պաշտպանությունը, որը փորձում էիք չափել։
Վերջում, հավելվածի մակարդակի պաշտպանությունը պահեք պատկերի մեջ։ Երթուղավորման բացառությունը կարող է բացահայտել երթևեկություն, որը թունելը կտաներ, և հավելվածի TLS-ը դեռ պաշտպանում է այդ երթևեկությունը ծայրից ծայր։ Երկու շերտերը ձախողվում են անկախ, դրա համար էլ միացված կառավարման ալիքը ապացույց չէ, որ յուրաքանչյուր հոսք գնաց նախատեսված ուղով։