DHCP маршруттары трафигиңизди VPN туннелинен сырткары жөнөтө алабы?

Шифрлөө чек арадан башталат, жана ал чек ара — ар кандай пакет инкапсуляцияланганга чейин акыркы чекит кабыл алган маршруттоо чечими. Сиздин ачкычтарыңызды эч качан көрбөгөн тармак да сиздин машинеңизге туннелдин өз маршрутунан артык көргөн маршрут бере алат. Бул жерде эки ийгиликсиздик аралашат: туннелдин ичинде турган пакетти окуу жана ал жерге эч качан коюлбаган пакетти багыттоо.

Айырма маанилүү, анткени экинчи ийгиликсиздикти уюштуруу арзаныраак жана байкабай калуу алда канча оңой. Ал туура эмес интерфейстен чыккан сурам катары көрүнөт, ал эми клиент дагы эле соо туташуу тууралуу билдирип турат.

Тармак сизге эки жол менен таасир этиши мүмкүн

Туннелге жеткен пакеттин пайдалуу жүгү ал өткөн ар бир секирүүдөн жашырылган, жана бул коргоо жол сизди таң калтырганда да сакталат. Туннелге эч качан жетпеген пакет — сиздин дарегиңизден келген кадимки сурам, маршрут таблицасы көрсөткөн жерге жөнөтүлгөн. Биринчи ийгиликсиздикке бузулган шифр же бузулган өнөктөш керек, ал эми экинчисине машинеңиз ишенүүнү тандаган конфигурация билдирүүсү жетишет. Ушул асимметрия маршруттоо жарымы өзүнчө текшерүүгө татыктуу экенинин себеби.

Жолдогу жабдуу экинчи учурга таасир этиш үчүн сиздин ачкычтарыңызды талап кылбайт. Ага акыркы чекитиңиздин маршрутту, чечүүчүнү же аны жараткан саясат эрежесин кабыл алышы гана керек.

expected:  app -> tunnel device -> encapsulation -> internet
observed:  app -> wlan0        -> plaintext     -> internet

Туннел пайда болгонго чейин маршрут кайдан келиши мүмкүн

DHCP даректи ижарага берүүдөн көбүрөөк бөлүштүрөт. Классыз статикалык маршрут опциясы максаттуу префикстерди жана кийинки секирүүлөрдү алып жүрүшү мүмкүн, жана RFC 3442 туура эмес маршрутизатор дарегинин коопсуздук кесепеттерин талкуулайт: адашкан трафик, кызматтан баш тартуу же жолдо отурган байкоочу. Туннел көтөрүлө электе бул маршруттарды кабыл алган клиент провайдериңизге эч кандай тиешеси жок артык көрүлгөн жол менен калышы мүмкүн.

Булардын эч бири маршрут киргизүүнү универсалдуу кылбайт. Клиент опцияны кабыл алышы керек, префикс сиз үчүн маанилүү трафикти жабышы керек, тандалган кийинки секирүү жеткиликтүү болушу керек, жана аткаруу саясаты пакеттин ошол жол менен чыгышына жол бериши керек. Булардын бирин алып салсаңыз, ошол эле жооп зыянсыз болуп калат. Ошондуктан бир тармактагы эки машине ар башка жүрүм-турум кылса болот, анткени алар бир клиентти, бир саясатты же бир дарек үй-бүлөсүн иштетпейт.

IPv6 өзүнчө өтүүгө татыктуу, анткени маршрутизатор жарыялоолору демейки маршрутту DHCPv4 опциясына караганда башка код аркылуу алып жүрөт. v4 таблицасын гана текшерген сыноо аны камтыган эмес.

Ядро чындап тандаган жолду текшериңиз

Маршрут сурамдарына жооп бар, ошондуктан статус жарыгынан корутунду чыгарбай, алардан сураңыз. Төмөнкү буйруктар бир максат үчүн тандалган маршрутту жана булакты, ошондой эле негизги таблицаны басып өтө алган эрежелерди көрсөтөт. Аларды туташкан абалда жана кайра туташкандан кийин дагы иштетиңиз, анткени ижараны жаңыртуу жоопту өзгөртүшү мүмкүн.

ip route get 203.0.113.10
ip route show table all | grep -E '^(default|203\.0\.113)'
ip rule show
resolvectl query example.com

Чыгымынан эки нерсени окуңуз: маршрутта аталган интерфейс жана тандалган булак дареги. Туннел маршруту туннел түзмөгүн, ал эми агып кеткен маршрут физикалык түзмөктү атайт, жана айырма эч нерсени чечмелебей эле көрүнөт. Эгер жооп иштетүүлөрдүн ортосунда өзгөрсө, эки чыгымды тең сактап, аларды жараткан эрежелерди салыштырыңыз.

Демейки маршрутта токтобоңуз. Колдонмо өзгөчөлүгү, бөлүнгөн туннелдин префикси же экинчи саясат эрежеси белгилүү бир максатты туннелдин айланасы менен алып кетиши мүмкүн, ал эми демейки дагы ичке карап турат.

Аткаруу кайда жашоосу керектигин чечиңиз

Үч шарт клиент тараптагы аткаруу жетиштүүбү же анын сыртында бир нерсе керекпи экенин чечет. Эгер клиент сиз колдонгон ар бир дарек үй-бүлөсү үчүн маршруттарды орнотуп, коргосо, демейкиге ээ туннел адатта жетиштүү. Эгер машине жергиликтүү ресурстарга жетиши керек, ал эми калгандын баары туннелде калса, бул өзгөчөлүктөр тизмеленип, ээликке алынышы керек, кирүү тармагы жарыялаган нерсеге калтырылбашы керек. Ал эми платформа трафикти ар бир колдонмо боюнча интерфейске байлай алса, бул байлоо каалаган нерсе басып өтө алган маршруттан күчтүүрөөк кепилдик.

Кайсынысын тандасаңыз да, чечимди конфигурация жайгашкан жерге жазыңыз. Бирөө окуя учурунда тергендиктен бар болгон эреже кийинки кайра жүктөөдөн өтпөйт, ошондуктан жергиликтүү жана жүктөө өзгөчөлүктөрүн тар кармап, ар бири эмне үчүн бар экенин жазып коюңуз.

Ар бир клиент жаңыртуусунан жана тармактын ар бир өзгөрүүсүнөн кийин издөө буйруктарын кайра иштетип, акыркы жазылган чыгым менен салыштырыңыз. Маршрут таблицасы — аткаруунун чеги, ошондуктан аны ошондой кабыл алыңыз.