Blackhole-Route géint VPN-Kill-Switch: wat jiddereen mécht

E Pak verléisst en Laptop, erreecht ni de VPN-Gateway, an et beweegt sech kee Firewall-Zieler. D'Routingtabell huet schonn d'Schicksal vum Pak decidéiert: en Blackhole-Andrag huet drop gepasst an de Kernel huet en verworf, ier eng Interface en gesinn huet. Dëst Verhalen ass nëtzlech wann en Destinatioun soll zouen oftrieden, awer et ass eng Routing-Aktioun mat engem schmuele Geltungsberäich. Se als vollständegen Kill-Switch ze behandelen ass de Punkt wou Designen falsch ginn.

Wat d'Verwerfungsaktioun tatsächlech entsprécht

Eng Routensiich hëlt eng Tabell, duerno de längste passenden Prefix dran. Eng Blackhole-Route ass en normale Andrag deem seng Aktioun verwerfen ass, dofir betrëfft se nëmme Paketen déi dësen Andrag no der ganzer Entscheedung gewielt hätten. Ännert d'Tabell mat enger Policy-Regel, oder füügt e méi spezifesche Prefix derbäi, an d'Verwerfung gëlt net méi.

Dofir ass de Geltungsberäich vun engem Blackhole exakt an einfach ze formuléieren: en deckt de Prefix, an der Tabell, fir déi Adressfamill. En deckt keen Destinatioun dee vun enger anerer Tabell gewonne gëtt, an en deckt IPv6 net just well de IPv4-Prefix verworft gëtt.

ip route get weist d'Entscheedung ier Dir eppes deployt, inklusiv d'Tabell an den Routentyp. Dës Ausgab liesen ass méi séier wéi aus enger gescheiterter Ufro ofzeleeden wéi eng Regel oder e Prefix gewierkt huet.

Blackhole ass net d'selwecht wéi unreachable oder prohibit

Linux bitt dräi verwerfunksänlech Routentypen, an se ënnerscheede sech doran wat de Sender observéiert. En Blackhole verwërft de Pak ouni Äntwert, dofir gesäit de Client en Timeout. Eng unreachable-Route gëtt eng ICMP-unreachable-Noriicht zréck, dofir fält d'Verbindung séier mat engem Host- oder Netzwierkfehler. Eng prohibit-Route gëtt e Fehler vun der administrativer Spär zréck, wat méi no un enger bewosster Policy-Refus ass.

Wielt d'Verhalen dat Dir wëllt datt d'Applikatioun gesäit. Eng stëll Verwerfung ass passend wann Dir d'Policy net wëllt verroden, an en direkte Fehler ass besser wann d'Benotzer verstoe mussen firwat en Destinatioun net verfügbar ass. D'Typen iwwer en Netz ze mëschen erzeugt Support-Ticketen déi déi selwecht Policy als dräi verschidde Stéierunge beschreiwen.

Huelt net un datt all Verwerfungsandrag austauschbar ass wann Dir eng Verbindung diagnostizéiert. Den Fehlertext, den Timing an d'Paketopnam ënnerscheede sech, an den Routentyp an der Tabell seet Iech wéien Dir kuckt. Den ip-route-Handbuch listet d'Typen an hire Fehlerverhalen op.

Wéi en sech mam Kill-Switch vergläicht

E Kill-Switch ass Paketfilterung: eng Firewall-Regel déi erausgehend Trafik verwërft déi baussenzeg vum Tunnel géif erausgoen. Eng Blackhole-Route ass eng Weiderleitungsentscheedung déi méi fréi am Stack fält. Béid kënnen Trafik stoppen, awer se gesinn verschidden Saachen a verpassen verschidden Fäll.

De Geltungsberäich ass wou de Verglach zielt. Eng Firewall kann Besëtzer, Port oder Interface entspriechen an eng Applikatioun blockéieren während den Endpunkt erreechbar bleift; eng Route kann dat net. Ëmgedréit kann eng Route e ganzen Prefix an d'Verwerfung schécken ouni datt e Paketfilter gelueden ass, wat op engem minimale System nëtzlech ass.

WireGuard seng AllowedIPs ass Kryptoschlëssel-Routing, keen Firewall. Et entscheet wéi eng Destinatiounspräfixer an d'Interface ugeholl ginn, an e Profil deen nëmmen den Tunnel-Subnet oplëscht léisst aner Destinatiounen einfach op der gewéinlecher Standardroute. Dofir benotzen Volltunnel-Profiler 0.0.0.0/0 an dofir installéiert wg-quick och Firewall-Regelen wann et kann.

Halt den Tunnel-Endpunkt baussenzeg vun der Verwerfung

Déi baussenzeg Adress vum Endpunkt muss iwwer d'physikalesch Interface erreechbar bleiwen. Eng Verwerfung déi dës Adress och fänkt verhënnert datt den Handshake erausgeet, an den Tunnel kënnt ni erop, wat wéi e VPN-Ausfall ausgesäit an net wéi eng Routing-Policy. Iwwerpréift d'Route zum Endpunkt virun an no der Ännerung.

Verwaltungszougang gehéiert an déi selwecht Iwwerpréiwung. Wann den eenzege Wee zum Router oder zum Client den Tunnel ass, kann eng ze breet Verwerfung Iech aus der Maschinn ausschléissen déi Iech et géif ewechhuelen. Halt eng dokumentéiert Out-of-Band-Route, eng Konsole oder eng zäitgesteiert Zréckrollung.

IPv6 brauch seng eege Andrag an seng eege Iwwerpréiwung. En Design deen IPv4 an e Blackhole schéckt an IPv6 op der Standardroute léisst leckt genee den Trafik deen d'Policy sollt stoppen, an de Fehler ass onsichtbar an engem Test nëmme mat IPv4.

Féiert et mat engem Timer an enger Zréckrollung an

Wend d'Route mat enger kuerzer automatescher Ewechhuelung un, sou datt e Fehler net iwwer en Neistart eraus iwwerlieft. D'Befehler hei drënner benotzen eng Dokumentatiounsberäich; ersetzt se duerch de Prefix deen Ären Design tatsächlech verwërft:

sudo ip route replace blackhole 10.0.0.0/8
ip route get 10.1.2.3
sudo systemd-run --on-active=60 /sbin/ip route del blackhole 10.0.0.0/8

Den zweete Befehl sollt d'Blackhole-Route an d'Tabell mellen aus där se koum. Den drëtten plangt d'Ewechhuelung an enger Minutt, wat genuch Zäit ass fir d'Policy ze bestätegen an kuerz genuch fir sech vun engem Fehler op engem entfernte Host z'erhuelen. Wann d'Verhalen bestätegt ass, maacht den Andrag permanent iwwer déi selwecht Konfiguratiounsverwaltung déi déi aner Routen huet.

Schléisst d'Ännerung of andeems Dir de Prefix, d'Tabell, d'Adressfamill an d'Zréckrollungsmethod opschreift. Eng Verwerfung ass eng bewosst Ausnam am Routingdesign, an den nächsten Ingenieur muss wësse wéi en Trafik se sollt stoppen ier en entscheet ob se nach dohi gehéiert.