TunnelCrack жана TunnelVision: ар бири чындыгында эмнени бузат

Туннелден чыккан ар кандай VPN трафиги үчүн эки изилдөө аталышы бири-биринин ордуна колдонулат, бирок алардын артындагы механизмдер бирдей эмес. TunnelCrack маршруттоо өзгөчөлүктөрүнүн эки үй-бүлөсүн сүрөттөйт; TunnelVision акыркы түзмөккө DHCP берген маршрутту сүрөттөйт. Экөө тең шифрлоону бузбайт жана экөө тең бүгүн белгилүү бир клиент курулушу эмне кыларын айтпайт. Беш текшерүү механизмдерди аталыштан ажыратат.

Биринчи кадам: текшерип жаткан механизмди атаңыз

2023-жылдын августундагы TunnelCrack жарыялоосу чабуулдун эки үй-бүлөсүн сүрөттөйт. Жергиликтүү тармак учурунда клиент жергиликтүү тармакка таандык деп эсептеген трафик жергиликтүү кирүү өзгөчөлүгүн алып, туннелден чыгат. Сервер дареги учурунда клиентке VPN серверинин өзүнө жетүү үчүн керектүү маршрут туннелден тышкары жайгашкан, жана ошол даректи көзөмөлдөгөн каршылаш өзгөчөлүктү пайдалана алат.

TunnelVision — DHCP берген класстык эмес статикалык маршруттар тууралуу өзүнчө баяндама. Зыяндуу DHCP сервери акыркы түзмөккө трафиктин жүрүү жолун өзгөрткөн маршруттарды бере алат, анын ичинде VPN серверине карай жолду. Баяндама байланыштуу маршруттоо таасирлери боюнча мурунку иштерди тааныйт, бул негизги механизмдин аталыштан эски экенин эскертет.

Аталыштарды өз механизмдерине байланыштырып кармаңыз. Экинчиси жаңылыктарда болгондуктан бирине түзөтүү колдонуу — кароонун камтуусуз кыймыл жаратуу жолу.

Экинчи кадам: жергиликтүү кирүү өзгөчөлүгүн караңыз

Клиенттердин көбү туннел күйүп турганда принтерлер, экран берүү жана файл бөлүшүү иштеши үчүн жергиликтүү тармактын трафигине өзгөчөлүк берет. Бул өзгөчөлүк коопсуздук баасы бар саясат чечими: ошол эле тармактагы каршылаш өзүн жергиликтүү хост катары көрсөтө алат, жана ага жеткен трафик туннелге эч качан кирген эмес.

Жайгаштырылган профилге бул өзгөчөлүк таптакыр керекпи, сураңыз. Жергиликтүү аныктоону эч качан колдонбогон алыскы жумушчу күч аны көп учурда өчүрө алат, ал эми калган жергиликтүү кызматтарга документтелген жол менен жетүүгө болот. Өзгөчөлүк керек болгон жерде аны жергиликтүү трафик деп сүрөттөөнүн ордуна кайсы багыттарды камтый турганын айтыңыз.

Текшерүү — конфигурация маселеси, пакетти кармоо эмес. Профилдин жөндөөсүн жана өзүңүз жайгаштырып жаткан курулуштун клиент документтерин окуңуз, анткени демейки маани буюмдардын ортосунда жана бир буюмдун версияларынын ортосунда айырмаланат. Жоопту профилдин жанына жазыңыз, кийинки текшерүүчү аны жүрүм-турумдан чыгарууга аргасыз болбосун. Эч ким документтештирбеген өзгөчөлүк — эч ким текшербеген өзгөчөлүк.

Үчүнчү кадам: сервер дареги кантип үйрөнүлөрүн караңыз

Клиент кандайдыр бир туннел пайда боло электе VPN серверине жетүүгө тийиш, ошондуктан бул багыт долбоор боюнча туннелден тышкары маршрутталат. Эгер дарек аттан үйрөнүлсө, чечүү кадамы ишеним жолунун бөлүгү болуп саналат, жана бул суроого жооп бере алган каршылаш клиентти өзү көзөмөлдөгөн хостко багыттай алат.

Даректи бекемдөө, туура аты бар текшерилген сертификатты колдонуу жана текшерилбеген серверге кайра түшүүдөн баш тартуу — баары таасирди азайтат. Алардын эч бири туннелден тышкары серверге жетүү зарылдыгын жок кылбайт; алар ошол дарек үчүн ким жооп бере аларын өзгөртөт.

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

Маршрутту издөө клиент сервер дареги үчүн колдоно турган интерфейсти көрсөтөт, бул өзгөчөлүктүн конкреттүү көрүнүшү. Эгер бул издөө туннелдин интерфейсин кайтарса, клиент туннелди такыр орното албайт, ошондуктан сырткы маршрут күтүлөт жана маселе анын багыты кантип тандаларында гана.

Төртүнчү кадам: DHCP берген маршруттарды караңыз

Класстык эмес статикалык маршруттар DHCP серверине маршруттоо таблицасынын жазууларын таратууга мүмкүндүк берет, жана акыркы түзмөк аларды адатта сурабастан кабыл алат. Каршылаш мыйзамдуу серверден тезирээк DHCPге жооп бере алган тармакта бул жазуулар колдонуучу туннелдин ичинде деп ойлогон трафикти башка жакка бура алат.

Акыркы түзмөктөгү маршруттарды күткөн маршруттарыңыз менен салыштырыңыз. Туннел күйүп турганда жергиликтүү шлюзга багытталган демейки маршрут же кенен префикс — иликтөөгө татыктуу белги, жана ал эч кандай чабуул трафиги жок эле көрүнөт.

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

Акыркы жөндөө — көптөгөн клиенттер жана платформалар кандайдыр бир формада сунуш кылган акыркы түзмөк тараптагы көзөмөл: тармак берген маршруттарды этибарга албоо. Маршруттарды автоматтык кабыл алууну өчүрүү — компромисс, анткени ал корпоративдик DHCP серверинен мыйзамдуу бөлүнгөн маршруттоону да өчүрөт, ошондуктан аны глобалдык эмес, тармак классы боюнча чечиңиз.

Бешинчи кадам: билдирүүнү учурдагы курулуштан ажыратыңыз

Жарыяланган чабуул белгилүү убакта белгилүү клиент версияларында байкалган жүрүм-турумду сүрөттөйт. Ал алдыңыздагы ноутбук жабыркаганын далилдебейт жана анын оңдолгонун далилдебейт. Эки ырастоо үчүн тең чыныгы курулуш номери жана жеткирүүчүнүн учурдагы билдирүүсү керек.

Клиент версиясын, платформаны, жогорудагы өзгөчөлүктөрдү башкарган профил жөндөөлөрүн жана текшерген күнүңүздү жазып коюңуз. Бул жазуу адал түрдө эскирет, ал эми VPN TunnelCrack үчүн жамалды деген жазуу адал эскирбейт. Клиент жаңырган сайын аны кайра окуңуз, анткени профилдин демейки мааниси сиз тийбеген версиянын астында өзгөрүшү мүмкүн.

Чындап текшерүүдө бекитилген планды өзүңүздүн акыркы түзмөгүңүзгө жана зыянсыз багытка каршы колдонуңуз. Бөлүшүлгөн тармакта башка колдонуучуларга каршы чабуулду кайталоо — сыноо эмес, ал эми байкоону жеңилдетүү үчүн теңтуш текшерүүсүн же колдонмо шифрлоосун өчүрүү өлчөгүңүз келген коргоону алып салат.

Аягында, колдонмо деңгээлиндеги коргоону сүрөттө кармаңыз. Маршруттоо өзгөчөлүгү туннел ташымак трафикти ачыкка чыгарышы мүмкүн, ал эми колдонмонун TLS’и бул трафикти учтан учка чейин дагы эле коргойт. Эки катмар көз карандысыз иштен чыгат, ошондуктан туташкан башкаруу каналы ар бир агымдын көздөлгөн жол менен жүргөнүнүн далили эмес.