ಬ್ಲ್ಯಾಕ್‌ಹೋಲ್ ರೂಟ್ ಮತ್ತು VPN ಕಿಲ್ ಸ್ವಿಚ್: ಪ್ರತಿಯೊಂದೂ ಏನು ಮಾಡುತ್ತದೆ
ಬ್ಲ್ಯಾಕ್‌ಹೋಲ್ ರೂಟ್ ಹೊಂದಿಕೆಯಾಗುವ ಸಂಚಾರವನ್ನು ತಿರಸ್ಕರಿಸುತ್ತದೆ ಮತ್ತು ವೈಫಲ್ಯದಲ್ಲಿ ಮುಚ್ಚಿದ ಮಾರ್ಗವನ್ನು ಒತ್ತಾಯಿಸುತ್ತದೆ. ಅದರ ವ್ಯಾಪ್ತಿ ಮತ್ತು ಕುರುಡು ಸ್ಥಳಗಳನ್ನು ಪ್ಯಾಕೆಟ್ ಫಿಲ್ಟರ್ ಆಧಾರಿತ ಕಿಲ್ ಸ್ವಿಚ್‌ನೊಂದಿಗೆ ಹೋಲಿಸಿ.
ಒಂದು ಪ್ಯಾಕೆಟ್ ಲ್ಯಾಪ್‌ಟಾಪ್‌ನಿಂದ ಹೊರಡುತ್ತದೆ, VPN ಗೇಟ್‌ವೇಗೆ ಎಂದಿಗೂ ತಲುಪುವುದಿಲ್ಲ, ಮತ್ತು ಯಾವುದೇ ಫೈರ್‌ವಾಲ್ ಕೌಂಟರ್ ಚಲಿಸುವುದಿಲ್ಲ. ರೂಟ್ ಕೋಷ್ಟಕವು ಈಗಾಗಲೇ ಪ್ಯಾಕೆಟ್‌ನ ಗತಿಯನ್ನು ನಿರ್ಧರಿಸಿದೆ: ಬ್ಲ್ಯಾಕ್‌ಹೋಲ್ ನಮೂದು ಅದಕ್ಕೆ ಹೊಂದಿಕೆಯಾಯಿತು ಮತ್ತು ಯಾವುದೇ ಇಂಟರ್‌ಫೇಸ್ ಅದನ್ನು ನೋಡುವ ಮೊದಲೇ ಕರ್ನಲ್ ಅದನ್ನು ತಿರಸ್ಕರಿಸಿತು. ಗಮ್ಯಸ್ಥಾನವು ಮುಚ್ಚಿದ ರೀತಿಯಲ್ಲಿ ವಿಫಲವಾಗಬೇಕಾದಾಗ ಈ ವರ್ತನೆ ಉಪಯುಕ್ತವಾಗಿದೆ, ಆದರೆ ಇದು ಸಂಕುಚಿತ ವ್ಯಾಪ್ತಿಯ ರೂಟಿಂಗ್ ಕ್ರಿಯೆ. ಇದನ್ನು ಸಂಪೂರ್ಣ ಕಿಲ್ ಸ್ವಿಚ್ ಎಂದು ಪರಿಗಣಿಸುವುದೇ ವಿನ್ಯಾಸಗಳು ತಪ್ಪಾಗುವ ಸ್ಥಳ.
ತಿರಸ್ಕಾರ ಕ್ರಿಯೆ ನಿಜವಾಗಿ ಯಾವುದಕ್ಕೆ ಹೊಂದಿಕೆಯಾಗುತ್ತದೆ
ರೂಟ್ ಹುಡುಕಾಟವು ಒಂದು ಕೋಷ್ಟಕವನ್ನು ಆಯ್ಕೆ ಮಾಡುತ್ತದೆ, ನಂತರ ಅದರೊಳಗೆ ಅತಿ ಉದ್ದದ ಹೊಂದಿಕೆಯಾಗುವ ಪ್ರಿಫಿಕ್ಸ್ ಆಯ್ಕೆ ಮಾಡುತ್ತದೆ. ಬ್ಲ್ಯಾಕ್‌ಹೋಲ್ ರೂಟ್ ಸಾಮಾನ್ಯ ನಮೂದು, ಅದರ ಕ್ರಿಯೆ ತಿರಸ್ಕಾರ, ಆದ್ದರಿಂದ ಇಡೀ ನಿರ್ಧಾರದ ನಂತರ ಆ ನಮೂದನ್ನು ಆಯ್ಕೆ ಮಾಡುತ್ತಿದ್ದ ಪ್ಯಾಕೆಟ್‌ಗಳ ಮೇಲೆ ಮಾತ್ರ ಪರಿಣಾಮ ಬೀರುತ್ತದೆ. ನೀತಿ ನಿಯಮದಿಂದ ಕೋಷ್ಟಕವನ್ನು ಬದಲಿಸಿ, ಅಥವಾ ಹೆಚ್ಚು ನಿರ್ದಿಷ್ಟ ಪ್ರಿಫಿಕ್ಸ್ ಸೇರಿಸಿ, ತಿರಸ್ಕಾರವು ಇನ್ನು ಮುಂದೆ ಅನ್ವಯಿಸುವುದಿಲ್ಲ.
ಆದ್ದರಿಂದ ಬ್ಲ್ಯಾಕ್‌ಹೋಲ್‌ನ ವ್ಯಾಪ್ತಿ ನಿಖರ ಮತ್ತು ಹೇಳಲು ಸುಲಭ: ಅದು ಪ್ರಿಫಿಕ್ಸ್ ಅನ್ನು, ಕೋಷ್ಟಕದಲ್ಲಿ, ಆ ವಿಳಾಸ ಕುಟುಂಬಕ್ಕೆ ಆವರಿಸುತ್ತದೆ. ಬೇರೆ ಕೋಷ್ಟಕ ಗೆಲ್ಲುವ ಗಮ್ಯಸ್ಥಾನವನ್ನು ಅದು ಆವರಿಸುವುದಿಲ್ಲ, ಮತ್ತು IPv4 ಪ್ರಿಫಿಕ್ಸ್ ತಿರಸ್ಕರಿಸಲ್ಪಡುತ್ತದೆ ಎಂಬ ಕಾರಣಕ್ಕೆ ಮಾತ್ರ IPv6 ಅನ್ನು ಆವರಿಸುವುದಿಲ್ಲ.
ip route get ಏನನ್ನೂ ನಿಯೋಜಿಸುವ ಮೊದಲು ನಿರ್ಧಾರವನ್ನು ತೋರಿಸುತ್ತದೆ, ಕೋಷ್ಟಕ ಮತ್ತು ರೂಟ್ ಪ್ರಕಾರ ಸೇರಿದಂತೆ. ಆ ಔಟ್‌ಪುಟ್ ಓದುವುದು ವಿಫಲ ವಿನಂತಿಯಿಂದ ಯಾವ ನಿಯಮ ಅಥವಾ ಪ್ರಿಫಿಕ್ಸ್ ಕೆಲಸ ಮಾಡಿತು ಎಂದು ಊಹಿಸುವುದಕ್ಕಿಂತ ವೇಗವಾಗಿದೆ.
ಬ್ಲ್ಯಾಕ್‌ಹೋಲ್ unreachable ಅಥವಾ prohibit ಗೆ ಸಮಾನವಲ್ಲ
Linux ತಿರಸ್ಕಾರದಂತಹ ಮೂರು ರೂಟ್ ಪ್ರಕಾರಗಳನ್ನು ನೀಡುತ್ತದೆ, ಮತ್ತು ಕಳುಹಿಸುವವರು ಏನನ್ನು ಗಮನಿಸುತ್ತಾರೆ ಎಂಬುದರಲ್ಲಿ ಅವು ಭಿನ್ನವಾಗಿವೆ. ಬ್ಲ್ಯಾಕ್‌ಹೋಲ್ ಪ್ಯಾಕೆಟ್ ಅನ್ನು ಉತ್ತರವಿಲ್ಲದೆ ಬಿಡುತ್ತದೆ, ಆದ್ದರಿಂದ ಕ್ಲೈಂಟ್ ಸಮಯ ಮೀರುವಿಕೆಯನ್ನು ನೋಡುತ್ತದೆ. unreachable ರೂಟ್ ICMP unreachable ಸಂದೇಶವನ್ನು ಹಿಂತಿರುಗಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಸಂಪರ್ಕವು ಹೋಸ್ಟ್ ಅಥವಾ ನೆಟ್‌ವರ್ಕ್ ದೋಷದೊಂದಿಗೆ ಬೇಗ ವಿಫಲವಾಗುತ್ತದೆ. prohibit ರೂಟ್ ಆಡಳಿತಾತ್ಮಕ ನಿಷೇಧದ ದೋಷವನ್ನು ಹಿಂತಿರುಗಿಸುತ್ತದೆ, ಇದು ಉದ್ದೇಶಪೂರ್ವಕ ನೀತಿ ನಿರಾಕರಣೆಗೆ ಹತ್ತಿರವಾಗಿದೆ.
ಅಪ್ಲಿಕೇಶನ್ ನೋಡಬೇಕೆಂದು ನೀವು ಬಯಸುವ ವರ್ತನೆಯನ್ನು ಆಯ್ಕೆ ಮಾಡಿ. ನೀತಿಯನ್ನು ಬಹಿರಂಗಪಡಿಸಲು ಇಷ್ಟವಿಲ್ಲದಿದ್ದಾಗ ಮೌನ ತಿರಸ್ಕಾರ ಸೂಕ್ತವಾಗಿದೆ, ಮತ್ತು ಗಮ್ಯಸ್ಥಾನ ಏಕೆ ಲಭ್ಯವಿಲ್ಲ ಎಂದು ಬಳಕೆದಾರರು ಅರ್ಥಮಾಡಿಕೊಳ್ಳಬೇಕಾದಾಗ ತಕ್ಷಣದ ದೋಷ ಉತ್ತಮವಾಗಿದೆ. ನೆಟ್‌ವರ್ಕ್‌ನಾದ್ಯಂತ ಪ್ರಕಾರಗಳನ್ನು ಮಿಶ್ರಣ ಮಾಡುವುದರಿಂದ ಒಂದೇ ನೀತಿಯನ್ನು ಮೂರು ವಿಭಿನ್ನ ದೋಷಗಳೆಂದು ವಿವರಿಸುವ ಬೆಂಬಲ ಟಿಕೆಟ್‌ಗಳು ಉಂಟಾಗುತ್ತವೆ.
ಸಂಪರ್ಕವನ್ನು ರೋಗನಿರ್ಣಯ ಮಾಡುವಾಗ ಪ್ರತಿ ತಿರಸ್ಕಾರ ನಮೂದೂ ಪರಸ್ಪರ ಬದಲಾಯಿಸಬಹುದು ಎಂದು ಊಹಿಸಬೇಡಿ. ದೋಷ ಪಠ್ಯ, ಸಮಯ ಮತ್ತು ಪ್ಯಾಕೆಟ್ ಸೆರೆಹಿಡಿಯುವಿಕೆ ಭಿನ್ನವಾಗಿವೆ, ಮತ್ತು ಕೋಷ್ಟಕದಲ್ಲಿನ ರೂಟ್ ಪ್ರಕಾರವು ನೀವು ಯಾವುದನ್ನು ನೋಡುತ್ತಿದ್ದೀರಿ ಎಂದು ಹೇಳುತ್ತದೆ. ip-route ಕೈಪಿಡಿ ಪ್ರಕಾರಗಳನ್ನು ಮತ್ತು ಅವುಗಳ ದೋಷ ವರ್ತನೆಯನ್ನು ಪಟ್ಟಿ ಮಾಡುತ್ತದೆ.
ಕಿಲ್ ಸ್ವಿಚ್‌ನೊಂದಿಗೆ ಅದು ಹೇಗೆ ಹೋಲಿಕೆಯಾಗುತ್ತದೆ
ಕಿಲ್ ಸ್ವಿಚ್ ಪ್ಯಾಕೆಟ್ ಫಿಲ್ಟರಿಂಗ್: ಟನಲ್‌ನ ಹೊರಗೆ ಹೋಗುತ್ತಿದ್ದ ಔಟ್‌ಬೌಂಡ್ ಸಂಚಾರವನ್ನು ಬಿಡುವ ಫೈರ್‌ವಾಲ್ ನಿಯಮ. ಬ್ಲ್ಯಾಕ್‌ಹೋಲ್ ರೂಟ್ ಸ್ಟ್ಯಾಕ್‌ನಲ್ಲಿ ಮೊದಲೇ ತೆಗೆದುಕೊಳ್ಳುವ ಫಾರ್ವರ್ಡಿಂಗ್ ನಿರ್ಧಾರ. ಎರಡೂ ಸಂಚಾರವನ್ನು ನಿಲ್ಲಿಸಬಹುದು, ಆದರೆ ಅವು ಬೇರೆ ವಿಷಯಗಳನ್ನು ನೋಡುತ್ತವೆ ಮತ್ತು ಬೇರೆ ಪ್ರಕರಣಗಳನ್ನು ತಪ್ಪಿಸಿಕೊಳ್ಳುತ್ತವೆ.
| Mechanism | What it blocks | What it misses | How failure looks |
|---|---|---|---|
| Blackhole route | Destinations matching the prefix and table | Other tables, other address families, traffic with a different route | Silent timeout |
| Firewall kill switch | Egress not bound to the tunnel interface | Rules that are too broad can break the endpoint or DHCP | Dropped packets with counters |
| WireGuard AllowedIPs | Destinations not routed into the interface | Traffic that never enters the interface at all | No tunnel route, direct egress |
ಹೋಲಿಕೆ ಮುಖ್ಯವಾಗುವುದು ವ್ಯಾಪ್ತಿಯಲ್ಲಿಯೇ. ಫೈರ್‌ವಾಲ್ ಮಾಲೀಕ, ಪೋರ್ಟ್ ಅಥವಾ ಇಂಟರ್‌ಫೇಸ್‌ಗೆ ಹೊಂದಿಕೆಯಾಗಿ ಎಂಡ್‌ಪಾಯಿಂಟ್ ತಲುಪಬಹುದಾದಂತೆ ಇರಿಸಿಕೊಂಡು ಅಪ್ಲಿಕೇಶನ್ ಅನ್ನು ತಡೆಯಬಹುದು; ರೂಟ್‌ಗೆ ಅದು ಸಾಧ್ಯವಿಲ್ಲ. ವಿರುದ್ಧವಾಗಿ, ರೂಟ್ ಯಾವುದೇ ಪ್ಯಾಕೆಟ್ ಫಿಲ್ಟರ್ ಲೋಡ್ ಮಾಡದೆಯೇ ಇಡೀ ಪ್ರಿಫಿಕ್ಸ್ ಅನ್ನು ತಿರಸ್ಕಾರಕ್ಕೆ ಕಳುಹಿಸಬಹುದು, ಇದು ಕನಿಷ್ಠ ವ್ಯವಸ್ಥೆಯಲ್ಲಿ ಉಪಯುಕ್ತವಾಗಿದೆ.
WireGuard ನ AllowedIPs ಕ್ರಿಪ್ಟೋಕೀ ರೂಟಿಂಗ್, ಫೈರ್‌ವಾಲ್ ಅಲ್ಲ. ಯಾವ ಗಮ್ಯಸ್ಥಾನ ಪ್ರಿಫಿಕ್ಸ್‌ಗಳನ್ನು ಇಂಟರ್‌ಫೇಸ್‌ಗೆ ಸ್ವೀಕರಿಸಲಾಗುತ್ತದೆ ಎಂದು ಅದು ನಿರ್ಧರಿಸುತ್ತದೆ, ಮತ್ತು ಟನಲ್ ಉಪಜಾಲವನ್ನು ಮಾತ್ರ ಪಟ್ಟಿ ಮಾಡುವ ಪ್ರೊಫೈಲ್ ಇತರ ಗಮ್ಯಸ್ಥಾನಗಳನ್ನು ಸಾಮಾನ್ಯ ಡಿಫಾಲ್ಟ್ ರೂಟ್‌ಗೆ ಬಿಡುತ್ತದೆ. ಆದ್ದರಿಂದ ಪೂರ್ಣ ಟನಲ್ ಪ್ರೊಫೈಲ್‌ಗಳು 0.0.0.0/0 ಬಳಸುತ್ತವೆ ಮತ್ತು ಆದ್ದರಿಂದ wg-quick ಸಾಧ್ಯವಾದಾಗ ಫೈರ್‌ವಾಲ್ ನಿಯಮಗಳನ್ನೂ ಸ್ಥಾಪಿಸುತ್ತದೆ.
ಟನಲ್ ಎಂಡ್‌ಪಾಯಿಂಟ್ ಅನ್ನು ತಿರಸ್ಕಾರದ ಹೊರಗೆ ಇರಿಸಿ
ಎಂಡ್‌ಪಾಯಿಂಟ್‌ನ ಹೊರ ವಿಳಾಸವು ಭೌತಿಕ ಇಂಟರ್‌ಫೇಸ್ ಮೂಲಕ ತಲುಪಬಹುದಾದಂತೆ ಉಳಿಯಬೇಕು. ಆ ವಿಳಾಸವನ್ನೂ ಹಿಡಿಯುವ ತಿರಸ್ಕಾರವು ಹ್ಯಾಂಡ್‌ಶೇಕ್ ಹೊರಡುವುದನ್ನು ತಡೆಯುತ್ತದೆ, ಮತ್ತು ಟನಲ್ ಎಂದಿಗೂ ಏಳುವುದಿಲ್ಲ, ಇದು ರೂಟಿಂಗ್ ನೀತಿಗಿಂತ VPN ವೈಫಲ್ಯದಂತೆ ಕಾಣುತ್ತದೆ. ಬದಲಾವಣೆಯ ಮೊದಲು ಮತ್ತು ನಂತರ ಎಂಡ್‌ಪಾಯಿಂಟ್‌ನ ರೂಟ್ ಪರಿಶೀಲಿಸಿ.
ನಿರ್ವಹಣಾ ಪ್ರವೇಶವೂ ಅದೇ ಪರಿಶೀಲನೆಗೆ ಸೇರುತ್ತದೆ. ರೌಟರ್ ಅಥವಾ ಕ್ಲೈಂಟ್‌ಗೆ ಏಕೈಕ ಮಾರ್ಗ ಟನಲ್ ಆಗಿದ್ದರೆ, ಅತಿಯಾಗಿ ವಿಸ್ತಾರವಾದ ತಿರಸ್ಕಾರವು ಅದನ್ನು ತೆಗೆದುಹಾಕಲು ಅನುಮತಿಸುವ ಯಂತ್ರದಿಂದ ನಿಮ್ಮನ್ನು ಹೊರಗಿಡಬಹುದು. ದಾಖಲಿತ ಔಟ್-ಆಫ್-ಬ್ಯಾಂಡ್ ರೂಟ್, ಕನ್ಸೋಲ್ ಅಥವಾ ಸಮಯಬದ್ಧ ರೋಲ್‌ಬ್ಯಾಕ್ ಇಟ್ಟುಕೊಳ್ಳಿ.
IPv6 ಗೆ ತನ್ನದೇ ನಮೂದು ಮತ್ತು ತನ್ನದೇ ಪರಿಶೀಲನೆ ಬೇಕು. IPv4 ಅನ್ನು ಬ್ಲ್ಯಾಕ್‌ಹೋಲ್‌ಗೆ ಬಿಟ್ಟು IPv6 ಅನ್ನು ಡಿಫಾಲ್ಟ್ ರೂಟ್‌ನಲ್ಲಿ ಬಿಡುವ ವಿನ್ಯಾಸವು ನೀತಿ ನಿಲ್ಲಿಸಲು ಉದ್ದೇಶಿಸಿದ್ದ ಸಂಚಾರವನ್ನೇ ಸೋರಿಸುತ್ತದೆ, ಮತ್ತು ದೋಷವು IPv4 ಮಾತ್ರದ ಪರೀಕ್ಷೆಯಲ್ಲಿ ಕಾಣುವುದಿಲ್ಲ.
ಟೈಮರ್ ಮತ್ತು ರೋಲ್‌ಬ್ಯಾಕ್‌ನೊಂದಿಗೆ ಹಂತಹಂತವಾಗಿ ಜಾರಿಗೆ ತನ್ನಿ
ಚಿಕ್ಕ ಸ್ವಯಂಚಾಲಿತ ತೆಗೆಯುವಿಕೆಯೊಂದಿಗೆ ರೂಟ್ ಅನ್ನು ಅನ್ವಯಿಸಿ, ಇದರಿಂದ ದೋಷವು ಮರುಪ್ರಾರಂಭದ ನಂತರ ಉಳಿಯದು. ಕೆಳಗಿನ ಆದೇಶಗಳು ದಾಖಲಾತಿ ಶ್ರೇಣಿಯನ್ನು ಬಳಸುತ್ತವೆ; ಅದನ್ನು ನಿಮ್ಮ ವಿನ್ಯಾಸವು ನಿಜವಾಗಿ ತಿರಸ್ಕರಿಸುವ ಪ್ರಿಫಿಕ್ಸ್‌ನೊಂದಿಗೆ ಬದಲಿಸಿ:
sudo ip route replace blackhole 10.0.0.0/8
ip route get 10.1.2.3
sudo systemd-run --on-active=60 /sbin/ip route del blackhole 10.0.0.0/8ಎರಡನೇ ಆದೇಶವು ಬ್ಲ್ಯಾಕ್‌ಹೋಲ್ ರೂಟ್ ಮತ್ತು ಅದು ಬಂದ ಕೋಷ್ಟಕವನ್ನು ವರದಿ ಮಾಡಬೇಕು. ಮೂರನೆಯದು ಒಂದು ನಿಮಿಷದಲ್ಲಿ ತೆಗೆಯುವಿಕೆಯನ್ನು ನಿಗದಿಪಡಿಸುತ್ತದೆ, ಇದು ನೀತಿಯನ್ನು ದೃಢೀಕರಿಸಲು ಸಾಕಷ್ಟು ಸಮಯ ಮತ್ತು ದೂರದ ಹೋಸ್ಟ್‌ನಲ್ಲಿ ದೋಷದಿಂದ ಚೇತರಿಸಿಕೊಳ್ಳಲು ಸಾಕಷ್ಟು ಚಿಕ್ಕದಾಗಿದೆ. ವರ್ತನೆ ದೃಢೀಕರಣವಾದ ನಂತರ, ಇತರ ರೂಟ್‌ಗಳನ್ನು ಹೊಂದಿರುವ ಅದೇ ಸಂರಚನಾ ನಿರ್ವಹಣೆಯ ಮೂಲಕ ನಮೂದನ್ನು ಶಾಶ್ವತಗೊಳಿಸಿ.
ಪ್ರಿಫಿಕ್ಸ್, ಕೋಷ್ಟಕ, ವಿಳಾಸ ಕುಟುಂಬ ಮತ್ತು ರೋಲ್‌ಬ್ಯಾಕ್ ವಿಧಾನವನ್ನು ದಾಖಲಿಸಿ ಬದಲಾವಣೆಯನ್ನು ಮುಚ್ಚಿ. ತಿರಸ್ಕಾರವು ರೂಟಿಂಗ್ ವಿನ್ಯಾಸದಲ್ಲಿ ಉದ್ದೇಶಪೂರ್ವಕ ವಿನಾಯಿತಿ, ಮತ್ತು ಮುಂದಿನ ಎಂಜಿನಿಯರ್ ಅದು ಇನ್ನೂ ಅಲ್ಲಿಗೆ ಸೇರಿದೆಯೇ ಎಂದು ನಿರ್ಧರಿಸುವ ಮೊದಲು ಯಾವ ಸಂಚಾರವನ್ನು ನಿಲ್ಲಿಸಲು ಅದು ಉದ್ದೇಶಿಸಿತ್ತು ಎಂದು ತಿಳಿಯಬೇಕು.