Можат ли DHCP рутите да го пренасочат вашиот сообраќај околу VPN тунелот?

Шифрирањето започнува на една граница, а таа граница е рутирачка одлука што крајната точка ја донесува пред било кој пакет да биде инкапсулиран. Мрежа која никогаш не ги гледа вашите клучеви сепак може да му даде на вашиот компјутер рута што ѝ се допаѓа повеќе од онаа на тунелот. Овде се мешаат два неуспеха: читање на пакет што веќе е во тунелот и насочување на пакет што воопшто не бил таму ставен.

Разликата е важна затоа што вториот неуспех е поевтин за подготовка и многу полесно се пропушта. Тој се појавува како барање што излегло низ погрешен интерфејс, додека клиентот сè уште пријавува здрава врска.

Два начина на кои мрежата може да влијае врз вас

Пакетот што стигнува до тунелот го има своето оптоварување скриено од секој чекор низ кој поминува, и таа заштита важи дури и кога патеката ве изненадува. Пакетот што никогаш не стигнува до тунелот е обично барање од вашата адреса, испратено онаму каде што покажала табелата со рути. Првиот неуспех бара скршена шифра или компромитиран партнер, додека вториот бара само порака за конфигурација што вашата машина одлучила да ѝ верува. Токму таа асиметрија е причината зошто рутирачката половина заслужува посебен преглед.

Опремата на патеката не ги бара вашите клучеви за да влијае на вториот случај. И треба само вашата крајна точка да прифати рута, резолвер или правило за политика што произведува таква.

expected:  app -> tunnel device -> encapsulation -> internet
observed:  app -> wlan0        -> plaintext     -> internet

Од каде може да дојде рута пред тунелот да постои

DHCP не доделува само закуп на адреса. Опцијата за безкласна статичка рута може да носи префикси на одредиштето и следни скокови, а RFC 3442 ги разгледува безбедносните последици од погрешна адреса на рутер: погрешно насочен сообраќај, одбивање на услуга или набљудувач сместен на патеката. Клиент што ги прифаќа тие рути пред тунелот да биде подигнат може да заврши со претпочитана патека што нема никаква врска со вашиот провајдер.

Ништо од тоа не го прави вбризгувањето рути универзално. Клиентот мора да ја прифати опцијата, префиксот мора да го покрива сообраќајот што ве интересира, избраниот следен скок мора да биде достапен, а политиката за спроведување мора да дозволува пакетот да излезе по тој пат. Отстранете било кој од тие услови и истиот одговор е безопасен. Тоа е и причината зошто две машини на иста мрежа можат да се однесуваат различно, бидејќи не работат со ист клиент, иста политика, па ни со иста фамилија на адреси.

IPv6 заслужува посебен преглед, бидејќи соопштенијата од рутерот носат стандардна рута преку поинаков код отколку опцијата во DHCPv4. Тест што ја проверува само v4 табелата не го опфаќа тоа.

Проверете ја патеката што јадрото навистина ја избира

Пребарувањата на рути можат да дадат одговор, затоа прашајте ги наместо да заклучувате од светлото за статус. Командите подолу ја покажуваат избраната рута и изворот за едно одредиште, плус правилата што можат да ја надминат главната табела. Извршете ги додека сте поврзани и повторно по реконекција, бидејќи обновувањето на закупот може да го промени одговорот.

ip route get 203.0.113.10
ip route show table all | grep -E '^(default|203\.0\.113)'
ip rule show
resolvectl query example.com

Читајте го излезот за две работи: интерфејсот наведен во рутата и избраната изворна адреса. Тунелската рута го именува тунелскиот уред, протечената рута го именува физичкиот, а разликата е видлива без дешифрирање на ништо. Ако одговорот се промени помеѓу извршувањата, зачувајте ги двата излеза и споредете ги правилата што ги произвеле.

Не застанувајте на стандардната рута. Исклучок за апликација, префикс за поделен тунел или второ правило за политика може да носи одредено одредиште околу тунелот, додека стандардната рута сè уште покажува во него.

Одлучете каде треба да живее спроведувањето

Три услови одлучуваат дали спроведувањето на страната на клиентот е доволно или ви треба нешто надвор од него. Ако клиентот поставува и брани рути за секоја фамилија на адреси што ја користите, тунел што ја поседува стандардната рута обично е доволен. Ако машината мора да стигне до локални ресурси додека сè друго останува во тунелот, тие исклучоци мора да бидат набројани и поседувани, а не оставени на она што го рекламирала пристапната мрежа. И ако платформата може да го врзе сообраќајот за интерфејс по апликација, тоа врзување е посилна гаранција од рута што било што може да ја надмине.

Што и да изберете, запишете ја одлуката таму каде што живее конфигурацијата. Правило што постои затоа што некој го напишал за време на инцидент нема да го преживее следното рестартирање, затоа држете ги локалните исклучоци и исклучоците за подигнување тесни и запишете зошто постои секој од нив.

Повторно извршете ги командите за пребарување по секое надградување на клиентот и секоја промена на мрежата, и споредете со последниот запишан излез. Табелата со рути е границата на спроведувањето, затоа третирајте ја како таква.