Geta DHCP-leiðir sent umferðina þína fram hjá VPN-göngunum?

Dulkóðun hefst á landamærum, og þau landamæri eru leiðarvalsákvörðun sem endapunkturinn tekur áður en nokkur pakki er umbúinn. Net sem sér aldrei lyklana þína getur samt gefið vélinni þinni leið sem því þykir betri en leið ganganna sjálfra. Hér eru tveir brestir ruglaðir saman: að lesa pakka sem er þegar inni í göngunum, og að beina pakka sem var aldrei settur þangað.

Greinin skiptir máli því seinni bresturinn er ódýrari í uppsetningu og miklu auðveldara að missa af. Hann birtist sem beiðni sem fór út um rangt viðmót á meðan biðlarinn tilkynnti enn um heilbrigða tengingu.

Tvær leiðir sem net getur haft áhrif á þig

Pakki sem nær í göngin hefur hleðslu sína faldar fyrir hverju stökki sem hann fer yfir, og sú vörn heldur jafnvel þegar leiðin kemur þér á óvart. Pakki sem nær aldrei í göngin er venjuleg beiðni frá vistfangi þínu, send þangað sem leiðartöflan vísaði. Fyrsti bresturinn krefst brotins dulmáls eða mákaðs jafningja, en sá seinni krefst aðeins stillingarskilaboðs sem vélin þín ákvað að treysta. Þessi ósamhverfa er ástæðan fyrir því að leiðarvalshelmingurinn á skilið sína eigin endurskoðun.

Búnaður á leiðinni þarf ekki lyklana þína til að hafa áhrif á seinna tilfellið. Hann þarf aðeins að endapunkturinn þinn samþykki leið, leysir eða stefnureglu sem framleiðir eina.

expected:  app -> tunnel device -> encapsulation -> internet
observed:  app -> wlan0        -> plaintext     -> internet

Hvaðan leið getur komið áður en göngin eru til

DHCP úthlutar meiru en vistfangaleigu. Valkosturinn um stéttlausa kyrrstæða leið getur borið áfangaforskeyti og næstu stökk, og RFC 3442 fjallar um öryggisafleiðingar rangs vistfangs beinis: rangbeinda umferð, þjónustuneitun eða áhorfandi sem situr á leiðinni. Biðlari sem samþykkir þessar leiðir áður en göngin rísa getur endað með valda leið sem hefur ekkert með veituna þína að gera.

Ekkert af þessu gerir innspýtingu leiða algilda. Biðlarinn verður að samþykkja valkostinn, forskyrtið verður að ná yfir umferðina sem þér er annt um, valið næsta stökk verður að vera aðgengilegt, og framfylgdstefnan verður að leyfa pakkanum að fara út þá leið. Fjarlægðu eitthvað af þessu og sama svar er skaðlaust. Þess vegna geta tvær vélar á sama neti hagað sér mismunandi, því þær keyra ekki sama biðlara, sömu stefnu eða jafnvel sama vistfangafjölskyldu.

IPv6 á skilið eigin ferð, því beinatilkynningar bera sjálfgefna leið með öðrum kóða en DHCPv4-valkosturinn. Próf sem skoðar aðeins v4-töfluna hefur ekki náð yfir hana.

Athugaðu leiðina sem kjarninn velur í raun

Hægt er að svara leiðarfyrirspurnum, svo spurðu þeirra í stað þess að álykta út frá stöðuljósi. Skipanirnar hér að neðan sýna valda leið og uppruna fyrir einn áfangastað, auk reglnanna sem geta hnekkt aðaltöflunni. Keyrðu þær í tengingu og aftur eftir endurtengingu, því endurnýjun leigu getur breytt svarinu.

ip route get 203.0.113.10
ip route show table all | grep -E '^(default|203\.0\.113)'
ip rule show
resolvectl query example.com

Lestu úttakið eftir tvennu: viðmótinu sem nefnt er í leiðinni og völdu upprunavistfanginu. Gönguleið nefnir göngutækið, lekin leið nefnir það líkamlega, og munurinn sést án þess að afkóða nokkuð. Ef svarið breytist milli keyrslna skaltu geyma bæði úttökin og bera saman reglurnar sem framleiddu þau.

Ekki staldra við sjálfgefnu leiðina. Undantekning forrits, forskyrti skiptiganga eða önnur stefnuregla getur borið tiltekinn áfangastað fram hjá göngunum á meðan sjálfgefna leiðin vísar enn inn.

Ákveddu hvar framfylgdin á að búa

Þrjú skilyrði ráða því hvort framfylgd á biðlarahlið er nóg eða hvort þú þarft eitthvað fyrir utan hana. Ef biðlarinn setur upp og ver leiðir fyrir hverja vistfangafjölskyldu sem þú notar er göng sem eiga sjálfgefnu leiðina yfirleitt nóg. Ef vélin verður að ná í staðbundnar auðlindir á meðan allt annað er í göngunum verða þær undantekningar taldar upp og áttar, í stað þess að láta aðgangsnetið ráða því sem það tilkynnti. Og ef pallurinn getur bundið umferð við viðmót fyrir hvert forrit er sú binding sterkari ábyrgð en leið sem hvað sem er getur hnekkt.

Hvað sem þú velur, skrifaðu ákvörðunina þar sem stillingarnar búa. Regla sem er til vegna þess að einhver sló hana inn í atviki lifir ekki næstu endurræsingu, svo haltu staðbundnum undantekningum og ræsiundanþekningum þröngum og skráðu hvers vegna hver er til.

Keyrðu leitarfyrirskipanirnar aftur eftir hverja biðlarauppfærslu og hverja netbreytingu, og berðu saman við síðasta skráða úttak. Leiðartafan er framfylgdarmörkin, svo farðu með hana sem slík.