TunnelCrack және TunnelVision: қайсысы шын мәнінде нені бұзады

Туннельден шығатын кез келген VPN трафигі үшін екі зерттеу атауы бір-бірінің орнына қолданылады, бірақ олардың артындағы тетіктер бірдей емес. TunnelCrack маршруттау ерекшеліктерінің екі тобын сипаттайды; TunnelVision соңғы құрылғыға DHCP беретін маршрутты сипаттайды. Екеуі де шифрлауды бұзбайды және екеуі де нақты клиент құрастырмасының бүгін не істейтінін айтпайды. Бес тексеру тетіктерді тақырыптан ажыратады.

Бірінші қадам: тексеретін тетікті атаңыз

2023 жылдың тамызындағы TunnelCrack жариялымы шабуылдың екі тобын сипаттайды. Жергілікті желі жағдайында клиент жергілікті желіге тиесілі деп санайтын трафик жергілікті қатынау ерекшелігін алып, туннельден шығады. Сервер мекенжайы жағдайында клиентке VPN серверінің өзіне жету үшін қажет маршрут туннельден тыс орналасқан, және сол мекенжайды бақылайтын қарсылас ерекшелікті пайдалана алады.

TunnelVision DHCP беретін сыныпсыз статикалық маршруттар туралы жеке есеп. Зиянды DHCP сервері соңғы құрылғыға трафиктің жүретін жолын өзгертетін маршруттар бере алады, оның ішінде VPN серверіне қарай жол. Есеп байланысты маршруттау әсерлері туралы бұрынғы жұмысты мойындайды, бұл негізгі тетіктің атаудан ескі екенін еске салады.

Атауларды өз тетіктеріне байланыстырып ұстаңыз. Екіншісі жаңалықтарда болғандықтан біреуіне түзету қолдану, шолудың қамтусыз қозғалыс тудыратын жолы.

Екінші қадам: жергілікті қатынау ерекшелігін қараңыз

Клиенттердің көбі туннель қосулы кезде принтерлер, экран тарату және файл бөлісу жұмыс істеуі үшін жергілікті желі трафигін босатады. Бұл ерекшелік, қауіпсіздік құны бар саясат шешімі: сол желідегі қарсылас өзін жергілікті хост ретінде көрсете алады, ал оған жететін трафик туннельге ешқашан кірмеген.

Енгізілген профильге бұл ерекшелік мүлдем қажет пе, сұраңыз. Жергілікті анықтауды ешқашан қолданбайтын қашықтағы жұмыс күші оны жиі өшіре алады, ал қалған жергілікті қызметтерге құжатталған жолмен жетуге болады. Ерекшелік қажет жерде оны жергілікті трафик деп сипаттаудың орнына қандай межелерді қамтитынын айтыңыз.

Тексеру, конфигурация мәселесі, пакет түсіру емес. Профиль параметрін және өзіңіз енгізіп жатқан құрастырманың клиент құжаттамасын оқыңыз, өйткені әдепкі мән өнімдер арасында және бір өнімнің нұсқалары арасында өзгеше. Жауапты профильдің қасына жазыңыз, келесі тексеруші оны мінез-құлықтан шығаруға мәжбүр болмас үшін. Ешкім құжаттамаған ерекшелік, ешкім тексермейтін ерекшелік.

Үшінші қадам: сервер мекенжайы қалай үйренілетінін қараңыз

Клиент кез келген туннель пайда болмай тұрып VPN серверіне жетуі керек, сондықтан бұл меже жоба бойынша туннельден тыс маршрутталады. Егер мекенжай атаудан үйренілсе, шешу қадамы сенім жолының бөлігі болып табылады, және бұл сұраққа жауап бере алатын қарсылас клиентті өзі бақылайтын хостқа бағыттай алады.

Мекенжайды бекіту, дұрыс атауы бар тексерілген сертификатты қолдану және тексерілмеген серверге қайта оралудан бас тарту, бәрі әсерді азайтады. Олардың ешқайсысы туннельден тыс серверге жету қажеттілігін жоймайды; олар сол мекенжай үшін кім жауап бере алатынын өзгертеді.

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

Маршрутты іздеу клиент сервер мекенжайы үшін қолданатын интерфейсті көрсетеді, бұл ерекшеліктің нақты көрінісі. Егер бұл іздеу туннель интерфейсін қайтарса, клиент туннельді мүлдем орната алмайды, сондықтан сыртқы маршрут күтіледі және мәселе тек оның межесі қалай таңдалатынында.

Төртінші қадам: DHCP беретін маршруттарды қараңыз

Сыныпсыз статикалық маршруттар DHCP серверіне маршруттау кестесінің жазбаларын таратуға мүмкіндік береді, ал соңғы құрылғы оларды әдетте сұрамай қабылдайды. Қарсылас заңды серверден жылдамырақ DHCP-ге жауап бере алатын желіде бұл жазбалар пайдаланушы туннель ішінде деп ойлайтын трафикті басқа жаққа бұра алады.

Соңғы құрылғыдағы маршруттарды күткен маршруттарыңызбен салыстырыңыз. Туннель қосулы кезде жергілікті шлюзге сілтейтін әдепкі маршрут немесе кең префикс, тергеуге тұрарлық белгі, және ол ешқандай шабуыл трафигінсіз көрінеді.

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

Соңғы параметр, көптеген клиенттер мен платформалар қандай да бір түрде ұсынатын соңғы құрылғы жағындағы бақылау: желі беретін маршруттарды елемеу. Маршруттарды автоматты қабылдауды өшіру, ымыра, өйткені ол корпоративтік DHCP серверінен заңды бөлінген маршруттауды да өшіреді, сондықтан оны жаһандық емес, желі сыныбы бойынша шешіңіз.

Бесінші қадам: хабарламаны ағымдағы құрастырмадан бөліңіз

Жарияланған шабуыл белгілі бір уақытта белгілі бір клиент нұсқаларында байқалған мінез-құлықты сипаттайды. Ол алдыңыздағы ноутбуктің әсер еткенін дәлелдемейді және оның түзетілгенін дәлелдемейді. Екі тұжырымға да нақты құрастырма нөмірі мен жеткізушінің ағымдағы хабарламасы қажет.

Клиент нұсқасын, платформаны, жоғарыдағы ерекшеліктерді басқаратын профиль параметрлерін және тексерген күніңізді жазып қойыңыз. Бұл жазба адал түрде ескіреді, ал VPN TunnelCrack үшін жамалды деген жазба адал ескірмейді. Клиент жаңарған сайын оны қайта оқыңыз, өйткені профильдің әдепкі мәні сіз тимеген нұсқа астында өзгеруі мүмкін.

Шынымен тексеретін болсаңыз, бекітілген жоспарды өз соңғы құрылғыңызға және қауіпсіз межеге қарсы қолданыңыз. Ортақ желідегі басқа пайдаланушыларға қарсы шабуылды қайталау, сынақ емес, ал бақылауды жеңілдету үшін тең дәрежелі тексеруді немесе қолданба шифрлауын өшіру өлшегіңіз келген қорғанысты алып тастайды.

Соңында, қолданба деңгейіндегі қорғанысты суретте ұстаңыз. Маршруттау ерекшелігі туннель тасымалдар еді деген трафикті әшкерелей алады, ал қолданбаның TLS-і бұл трафикті ұшынан ұшына әлі де қорғайды. Екі қабат тәуелсіз істен шығады, сондықтан қосылған басқару арнасы әр ағынның көзделген жолмен жүргенінің дәлелі емес.