DHCP маршруттары трафигіңізді VPN туннелінен тыс жібере ала ма?

Шифрлау шекарадан басталады, ал бұл шекара — кез келген пакет инкапсуляцияланбай тұрып, соңғы нүкте қабылдайтын маршруттау шешімі. Сіздің кілттеріңізді ешқашан көрмейтін желі бәрібір машинаңызға туннельдің өз маршрутынан артық көретін маршрут бере алады. Мұнда екі сәтсіздік шатастырылады: туннельдің ішінде тұрған пакетті оқу және ол жерге ешқашан қойылмаған пакетті бағыттау.

Айырмашылық маңызды, өйткені екінші сәтсіздікті ұйымдастыру арзанырақ және байқамай қалу әлдеқайда оңай. Ол дұрыс емес интерфейстен шыққан сұраныс ретінде көрінеді, ал клиент әлі де сау қосылым туралы хабарлап тұрады.

Желі сізге әсер ете алатын екі жол

Туннельге жеткен пакеттің пайдалы жүктемесі ол кесіп өтетін әрбір секірістен жасырылған, және бұл қорғаныс жол сізді таңғалдырған кезде де сақталады. Туннельге ешқашан жетпейтін пакет — сіздің мекенжайыңыздан келетін қарапайым сұраныс, маршрут кестесі нұсқаған жерге жіберілген. Бірінші сәтсіздікке бұзылған шифр немесе бұзылған серіктес керек, ал екіншісіне машинаңыз сенуді таңдаған конфигурация хабарламасы жеткілікті. Осы асимметрия маршруттау жартысының жеке тексеруге лайық екенінің себебі.

Жолдағы жабдық екінші жағдайға әсер ету үшін сіздің кілттеріңізді қажет етпейді. Оған тек соңғы нүктеңіздің маршрутты, шешушіні немесе оны тудыратын саясат ережесін қабылдауы керек.

expected:  app -> tunnel device -> encapsulation -> internet
observed:  app -> wlan0        -> plaintext     -> internet

Туннель пайда болмай тұрып маршрут қайдан келуі мүмкін

DHCP тек мекенжай жалдауын таратпайды. Классыз статикалық маршрут опциясы мақсатты префикстер мен келесі секірістерді тасымалдай алады, және RFC 3442 қате маршрутизатор мекенжайының қауіпсіздік салдарларын талқылайды: адасқан трафик, қызметтен бас тарту немесе жолда отырған бақылаушы. Туннель көтерілмей тұрып бұл маршруттарды қабылдаған клиент провайдеріңізге қатысы жоқ артық көрілген жолмен қалуы мүмкін.

Осылардың ешқайсысы маршрутты енгізуді әмбебап етпейді. Клиент опцияны қабылдауы керек, префикс сізге маңызды трафикті жабуы керек, таңдалған келесі секіріс қолжетімді болуы керек, және орындау саясаты пакеттің сол жолмен шығуына рұқсат беруі керек. Осылардың кез келгенін алып тастаңыз, сол жауап зиянсыз болады. Сондықтан да бір желідегі екі машина әртүрлі әрекет ете алады, өйткені олар бір клиентті, бір саясатты немесе тіпті бір мекенжай тобын іске қоспайды.

IPv6 жеке өтуге лайық, өйткені маршрутизатор хабарландырулары әдепкі маршрутты DHCPv4 опциясына қарағанда басқа код арқылы тасымалдайды. Тек v4 кестесін тексеретін сынақ оны қамтымаған.

Ядро шын мәнінде таңдайтын жолды тексеріңіз

Маршрут сұрауларына жауап беруге болады, сондықтан күй шамынан қорытынды шығармай, олардан сұраңыз. Төмендегі командалар бір мақсат үшін таңдалған маршрут пен көзді, сондай-ақ негізгі кестені басып кете алатын ережелерді көрсетеді. Оларды қосылған күйде және қайта қосылғаннан кейін тағы іске қосыңыз, өйткені жалдауды жаңарту жауапты өзгертуі мүмкін.

ip route get 203.0.113.10
ip route show table all | grep -E '^(default|203\.0\.113)'
ip rule show
resolvectl query example.com

Шығыстан екі нәрсені оқыңыз: маршрутта аталған интерфейс және таңдалған көз мекенжайы. Туннель маршруты туннель құрылғысын, ал ағып кеткен маршрут физикалық құрылғыны атайды, және айырмашылық ештеңені шифрсыз да көрінеді. Егер жауап іске қосулар арасында өзгерсе, екі шығысты да сақтап, оларды тудырған ережелерді салыстырыңыз.

Әдепкі маршрутта тоқтамаңыз. Қолданба ерекшелігі, бөлінген туннель префиксі немесе екінші саясат ережесі белгілі бір мақсатты туннельдің айналасымен алып кете алады, ал әдепкі әлі ішке қарап тұрады.

Орындау қайда тұруы керектігін шешіңіз

Үш шарт клиент жағындағы орындау жеткілікті ме, әлде одан тыс нәрсе керек пе, соны шешеді. Егер клиент сіз пайдаланатын әрбір мекенжай тобы үшін маршруттарды орнатып, қорғаса, әдепкіге ие туннель әдетте жеткілікті. Егер машина жергілікті ресурстарға жетуі керек болып, қалғаны туннельде қалса, бұл ерекшеліктер тізіліп, иелікке алынуы керек, қолжетімділік желісі жариялаған нәрсеге қалдырылмауы керек. Ал егер платформа трафикті әрбір қолданба бойынша интерфейске байлай алса, бұл байлау кез келген нәрсе басып кете алатын маршруттан күштірек кепілдік.

Қайсысын таңдасаңыз да, шешімді конфигурация тұратын жерге жазыңыз. Біреу оқиға кезінде тергендіктен бар болған ереже келесі қайта жүктеуден өтпейді, сондықтан жергілікті және жүктелу ерекшеліктерін тар ұстап, әрқайсысының не үшін бар екенін жазып қойыңыз.

Әрбір клиент жаңартуынан және желінің әрбір өзгерісінен кейін іздеу командаларын қайта іске қосып, соңғы жазылған шығыспен салыстырыңыз. Маршрут кестесі — орындау шекарасы, сондықтан оны солай қарастырыңыз.