Kënnen DHCP-Routen deinen Traffic um VPN-Tunnel ronderëm schécken?

Verschlësselung fänkt un enger Grenz un, an déi Grenz ass eng Routing-Entscheedung, déi den Endpunkt mécht, ier ee Paket verkapst gëtt. En Netz, dat deng Schlësselen ni gesäit, kann dengem Rechner nach ëmmer eng Route ginn, déi et besser fënnt wéi déi vum Tunnel selwer. Hei ginn zwou Feeler verwiesselt: ee Paket liesen, dat schonn am Tunnel ass, an ee Paket ëmleeden, dat ni dohinner gesat gouf.

Den Ënnerscheed ass wichteg, well den zweete Feeler méi bëlleg ze arrangéieren an däitlech méi liicht ze iwwersinn ass. Hie weist sech als eng Ufro, déi iwwer déi falsch Interface erausgaangen ass, während de Client nach eng gesond Verbindung gemellt huet.

Zwou Aarten, wéi en Netz dech beaflosse kann

E Paket, dat den Tunnel erreecht, huet seng Notzlaascht virun all Hop verstoppt, deen et iwwerquiert, an dee Schutz hält och, wann de Wee dech iwwerrascht. E Paket, dat den Tunnel ni erreecht, ass eng gewéinlech Ufro vun denger Adress, dohinner geschéckt, wou d'Routentabell higewisen huet. Den éischte Feeler brauch eng gebrachen Chiffre oder ee kompromittéierte Partner, während den zweete just eng Konfiguratiounsmessage brauch, där deng Maschinn decidéiert huet ze vertrauen. Déi Asymmetrie ass de Grond, firwat d'Halschent mam Routing eng eegen Iwwerpréiwung verdéngt.

D'Ausrüstung um Wee brauch deng Schlësselen net, fir den zweete Fall ze beaflossen. Si brauch just, datt den Endpunkt eng Route, en Resolver oder eng Richtlinn akzeptéiert, déi eng produzéiert.

expected:  app -> tunnel device -> encapsulation -> internet
observed:  app -> wlan0        -> plaintext     -> internet

Wou eng Route hierkomme kann, éier den Tunnel existéiert

DHCP verdeelt méi wéi eng Adressleasing. D'Optioun vun der klasseloser statescher Route kann Destinatiounspräfixer an nächst Hops droen, an RFC 3442 diskutéiert d'Sécherheetsfolgen enger falscher Routeradress: fehlgeleet Traffic, eng Déngschtverweigerung oder en Observateur, dee um Wee sëtzt. E Client, deen déi Route virum Tunnel ugeholl huet, kann mat engem bevorzugte Wee ophalen, deen näischt mat dengem Provider ze dinn huet.

Näischt dovun mécht d'Routeninjeksioun universell. De Client muss d'Optioun akzeptéieren, de Präfix muss den Traffic decken, dee dir wichteg ass, den ausgewielten nächsten Hop muss erreechbar sinn, an d'Duerchsetzungsrichtlinn muss dem Paket erlaben, dee Wee erauszegoen. Huelt ee vun dësen ewech, an déi selwecht Äntwert ass harmlos. Dofir kënnen och zwee Rechner am selwechten Netz sech anescht behuelen, well si net dee selwechte Client, déi selwecht Richtlinn oder souguer déi selwecht Adressfamill lafen.

IPv6 verdéngt eng eege Pass, well Routerannoncen eng Standardroute iwwer anere Code droen wéi d'DHCPv4-Optioun. En Test, deen nëmmen d'v4-Tabell préift, huet dat net ofgedeckt.

Préift de Wee, deen de Kernel tatsächlech wielt

Route-Sich hunn eng Äntwert, also frot si, amplaz aus enger Statusluucht ze schléissen. D'Befehler hei drënner weisen déi gewielte Route an d'Quell fir een Zil, plus d'Regelen, déi d'Haapttabell kënnen iwwerstëmmen. Fuert si aus, während dir verbonnen sidd, an nach eng Kéier no enger Neiverbindung, well eng Leasing-Erneierung d'Äntwert ka änneren.

ip route get 203.0.113.10
ip route show table all | grep -E '^(default|203\.0\.113)'
ip rule show
resolvectl query example.com

Liest d'Ausgab fir zwou Saachen: d'Interface, déi an der Route genannt gëtt, an d'gewielt Quelladress. Eng Tunnelroute nennt den Tunnelgerät, eng geläschte Route dat physescht, an den Ënnerscheed ass siichtbar, ouni eppes ze decryptéieren. Wann d'Äntwert tëschent de Lafen ännert, behält béid Ausgaben a vergläicht d'Regelen, déi se produzéiert hunn.

Stoppt net bei der Standardroute. Eng App-Ausnam, ee Präfix vun engem gedeelten Tunnel oder eng zweet Richtlinn kënnen eng bestëmmt Destinatioun ëm den Tunnel leeden, während de Standard nach dobannen zeigt.

Entscheet, wou d'Duerchsetzung solle wunnen

Dräi Bedingunge entscheeden, ob Duerchsetzung op der Clientsäit genuch ass, oder ob dir eppes dobausse braucht. Wann de Client Routen fir all Adressfamill installéiert a verdeedegt, déi dir benotzt, ass en Tunnel, deen de Standard besëtzt, meeschtens genuch. Wann de Rechner lokal Ressourcen erreeche muss, während alles anescht am Tunnel bleift, mussen déi Ausnamen opgezielt an agetraff ginn, amplaz si dem z'iwwerloossen, wat den Accessnetz annoncéiert huet. A wann d'Plattform Traffic pro App un eng Interface ka bannen, ass déi Bindung eng méi staark Garantie wéi eng Route, déi alles ka iwwerstëmmen.

Wat dir och wielt, schreift d'Entscheedung dohin, wou d'Konfiguratioun wunnt. Eng Regel, déi existéiert, well een si während engem Incident getippt huet, iwwerlieft den nächste Neistart net, also haalt lokal Ausnamen an Ausname beim Start enk a notéiert, firwat jiddwereng existéiert.

Fuert d'Sichbefehler no all Client-Update an all Netzwierkännerung nach eng Kéier aus, a vergläicht mat der lescht opgezeichneter Ausgab. D'Routentabell ass d'Grenz vun der Duerchsetzung, also behandelt si esou.