DHCP റൂട്ടുകൾക്ക് നിങ്ങളുടെ ട്രാഫിക് VPN ടണലിന് ചുറ്റും അയയ്ക്കാൻ കഴിയുമോ?

ഏതൊരു പാക്കറ്റും എൻക്യാപ്സുലേറ്റ് ചെയ്യുന്നതിന് മുമ്പ് എൻഡ്പോയിന്റ് എടുക്കുന്ന ഒരു റൂട്ടിംഗ് തീരുമാനത്തിലാണ് എൻക്രിപ്ഷൻ ആരംഭിക്കുന്നത്. നിങ്ങളുടെ കീകൾ ഒരിക്കലും കാണാത്ത ഒരു നെറ്റ്വർക്കിന് പോലും ടണലിന്റേതിനേക്കാൾ ഇഷ്ടമുള്ള ഒരു റൂട്ട് നിങ്ങളുടെ മെഷീന് നൽകാൻ കഴിയും. ഇവിടെ രണ്ട് പരാജയങ്ങൾ കൂടിച്ചേരുന്നു: ഇതിനകം ടണലിനുള്ളിലുള്ള ഒരു പാക്കറ്റ് വായിക്കുന്നതും, ഒരിക്കലും അവിടെ ഇടാത്ത ഒരു പാക്കറ്റ് വഴിതിരിച്ചുവിടുന്നതും.

ഈ വ്യത്യാസം പ്രധാനമാണ്, കാരണം രണ്ടാമത്തെ പരാജയം ഒരുക്കാൻ വിലകുറവാണ്, എളുപ്പത്തിൽ വിട്ടുപോകുന്നതുമാണ്. ക്ലൈന്റ് ആരോഗ്യകരമായ ഒരു കണക്ഷൻ റിപ്പോർട്ട് ചെയ്യുമ്പോൾ തന്നെ തെറ്റായ ഇന്റർഫേസിലൂടെ പുറത്തുപോയ ഒരു അഭ്യർത്ഥനയായി അത് പ്രത്യക്ഷപ്പെടുന്നു.

ഒരു നെറ്റ്വർക്കിന് നിങ്ങളെ ബാധിക്കാനുള്ള രണ്ട് വഴികൾ

ടണലിൽ എത്തുന്ന ഒരു പാക്കറ്റിന്റെ പേലോഡ് അത് കടന്നുപോകുന്ന ഓരോ ഹോപ്പിൽ നിന്നും മറയ്ക്കപ്പെട്ടിരിക്കുന്നു; പാത നിങ്ങളെ അമ്പരപ്പിച്ചാലും ആ സംരക്ഷണം നിലനിൽക്കും. ടണലിൽ എത്താത്ത പാക്കറ്റ് നിങ്ങളുടെ വിലാസത്തിൽ നിന്നുള്ള ഒരു സാധാരണ അഭ്യർത്ഥനയാണ്, റൂട്ട് ടേബിൾ ചൂണ്ടിയിടത്തേക്ക് അയയ്ക്കപ്പെടുന്നു. ആദ്യത്തെ പരാജയത്തിന് തകർന്ന ഒരു സൈഫർ അല്ലെങ്കിൽ തകരാറിലായ ഒരു പിയർ ആവശ്യമാണ്; രണ്ടാമത്തേതിന് നിങ്ങളുടെ മെഷീൻ വിശ്വസിക്കാൻ തിരഞ്ഞെടുത്ത ഒരു കോൺഫിഗറേഷൻ സന്ദേശം മാത്രം മതി. ആ അസമത്വമാണ് റൂട്ടിംഗ് പകുതിക്ക് സ്വന്തം അവലോകനം അർഹത നൽകുന്നത്.

രണ്ടാമത്തെ കേസിനെ സ്വാധീനിക്കാൻ പാതയിലെ ഉപകരണങ്ങൾക്ക് നിങ്ങളുടെ കീകൾ ആവശ്യമില്ല. ഒരു റൂട്ടോ റസോൾവറോ അത് ഉണ്ടാക്കുന്ന ഒരു പോളിസി നിയമമോ സ്വീകരിക്കാൻ നിങ്ങളുടെ എൻഡ്പോയിന്റ് മതി.

expected:  app -> tunnel device -> encapsulation -> internet
observed:  app -> wlan0        -> plaintext     -> internet

ടണൽ നിലവിൽ വരുന്നതിന് മുമ്പ് ഒരു റൂട്ട് എവിടെ നിന്ന് വരാം

DHCP ഒരു വിലാസ ലീസ് മാത്രമല്ല നൽകുന്നത്. ക്ലാസ്ലെസ് സ്റ്റാറ്റിക് റൂട്ട് ഓപ്ഷന് ലക്ഷ്യ പ്രിഫിക്സുകളും അടുത്ത ഹോപ്പുകളും വഹിക്കാം, കൂടാതെ RFC 3442 തെറ്റായ റൂട്ടർ വിലാസത്തിന്റെ സുരക്ഷാ പ്രത്യാഘാതങ്ങൾ ചർച്ച ചെയ്യുന്നു: തെറ്റായി വഴിതിരിച്ചുവിട്ട ട്രാഫിക്, ഒരു സേവന നിരാകരണം, അല്ലെങ്കിൽ പാതയിൽ ഇരിക്കുന്ന ഒരു നിരീക്ഷകൻ. ടണൽ ഉയരുന്നതിന് മുമ്പ് ആ റൂട്ടുകൾ സ്വീകരിക്കുന്ന ഒരു ക്ലൈന്റ് നിങ്ങളുടെ പ്രൊവൈഡറുമായി യാതൊരു ബന്ധവുമില്ലാത്ത ഒരു മുൻഗണനാ പാതയിൽ എത്തിച്ചേരാം.

അതൊന്നും റൂട്ട് കുത്തിവയ്പ്പിനെ സാർവ്വലൗകികമാക്കുന്നില്ല. ക്ലൈന്റ് ആ ഓപ്ഷൻ സ്വീകരിക്കണം, പ്രിഫിക്സ് നിങ്ങൾക്ക് പ്രധാനമായ ട്രാഫിക് ഉൾക്കൊള്ളണം, തിരഞ്ഞെടുത്ത അടുത്ത ഹോപ്പ് എത്താവുന്നതായിരിക്കണം, നിർവ്വഹണ പോളിസി ആ വഴിയിൽ പാക്കറ്റ് പുറത്തുപോകാൻ അനുവദിക്കണം. ഇവയിലേതെങ്കിലും ഒന്ന് ഒഴിവാക്കിയാൽ അതേ പ്രതികരണം നിരുപദ്രവമാണ്. ഒരേ നെറ്റ്വർക്കിലെ രണ്ട് മെഷീനുകൾ വ്യത്യസ്തമായി പെരുമാറുന്നതിന്റെ കാരണവും അതാണ്; അവ ഒരേ ക്ലൈന്റോ ഒരേ പോളിസിയോ ഒരേ വിലാസ കുടുംബമോ ഓടിക്കുന്നില്ല.

IPv6 ന് സ്വന്തമായ ഒരു പരിശോധന അർഹതയുണ്ട്, കാരണം റൂട്ടർ പരസ്യങ്ങൾ DHCPv4 ഓപ്ഷനിൽ നിന്ന് വ്യത്യസ്ത കോഡിലൂടെയാണ് ഒരു ഡിഫോൾട്ട് റൂട്ട് കൊണ്ടുവരുന്നത്. v4 ടേബിൾ മാത്രം പരിശോധിക്കുന്ന ഒരു പരീക്ഷണം അത് ഉൾക്കൊള്ളുന്നില്ല.

കേർണൽ യഥാർത്ഥത്തിൽ തിരഞ്ഞെടുക്കുന്ന പാത പരിശോധിക്കുക

റൂട്ട് ലുക്കപ്പുകൾക്ക് ഉത്തരം നൽകാൻ കഴിയും, അതിനാൽ സ്റ്റാറ്റസ് ലൈറ്റിൽ നിന്ന് അനുമാനിക്കാതെ അവയോട് നേരിട്ട് ചോദിക്കുക. ചുവടെയുള്ള കമാൻഡുകൾ ഒരു ലക്ഷ്യത്തിനായി തിരഞ്ഞെടുത്ത റൂട്ടും സ്രോതസ്സും കാണിക്കുന്നു, കൂടാതെ പ്രധാന ടേബിളിനെ അസാധുവാക്കാനാകുന്ന നിയമങ്ങളും. കണക്ട് ചെയ്തിരിക്കുമ്പോഴും വീണ്ടും കണക്ട് ചെയ്തതിന് ശേഷവും അവ പ്രവർത്തിപ്പിക്കുക, കാരണം ലീസ് പുതുക്കൽ ഉത്തരം മാറ്റാം.

ip route get 203.0.113.10
ip route show table all | grep -E '^(default|203\.0\.113)'
ip rule show
resolvectl query example.com

ഔട്ട്പുട്ടിൽ രണ്ട് കാര്യങ്ങൾ നോക്കുക: റൂട്ടിൽ പേരിട്ട ഇന്റർഫേസും തിരഞ്ഞെടുത്ത സ്രോതസ്സ് വിലാസവും. ടണൽ റൂട്ട് ടണൽ ഉപകരണത്തെ പേരിടുന്നു, ചോർന്ന റൂട്ട് ഫിസിക്കൽ ഉപകരണത്തെ പേരിടുന്നു, ഒന്നും ഡീക്രിപ്റ്റ് ചെയ്യാതെ തന്നെ വ്യത്യാസം കാണാം. ഓടിക്കുന്നതിനിടയിൽ ഉത്തരം മാറുകയാണെങ്കിൽ രണ്ട് ഔട്ട്പുട്ടുകളും സൂക്ഷിച്ച് അവ ഉണ്ടാക്കിയ നിയമങ്ങൾ താരതമ്യം ചെയ്യുക.

ഡിഫോൾട്ട് റൂട്ടിൽ നിർത്തരുത്. ഒരു ആപ്ലിക്കേഷൻ ഒഴിവാക്കൽ, ഒരു സ്പ്ലിറ്റ്-ടണൽ പ്രിഫിക്സ്, അല്ലെങ്കിൽ രണ്ടാമത്തെ പോളിസി നിയമം എന്നിവ ഡിഫോൾട്ട് ഇപ്പോഴും ടണലിലേക്ക് ചൂണ്ടിക്കൊണ്ടിരിക്കുമ്പോൾ ഒരു നിർദ്ദിഷ്ട ലക്ഷ്യത്തെ ടണലിന് ചുറ്റും കൊണ്ടുപോകാം.

നിർവ്വഹണം എവിടെ ആയിരിക്കണമെന്ന് തീരുമാനിക്കുക

ക്ലൈന്റ് വശത്തെ നിർവ്വഹണം മതിയോ അതിന് പുറത്ത് എന്തെങ്കിലും വേണോ എന്നത് മൂന്ന് വ്യവസ്ഥകൾ തീരുമാനിക്കുന്നു. നിങ്ങൾ ഉപയോഗിക്കുന്ന ഓരോ വിലാസ കുടുംബത്തിനും ക്ലൈന്റ് റൂട്ടുകൾ ഇൻസ്റ്റാൾ ചെയ്ത് സംരക്ഷിക്കുന്നുവെങ്കിൽ, ഡിഫോൾട്ട് ഉള്ള ഒരു ടണൽ സാധാരണയായി മതി. മറ്റെല്ലാം ടണലിനുള്ളിൽ നിൽക്കുമ്പോൾ മെഷീൻ പ്രാദേശിക വിഭവങ്ങളിൽ എത്തണമെങ്കിൽ, ആ ഒഴിവാക്കലുകൾ ആക്സസ് നെറ്റ്വർക്ക് പരസ്യപ്പെടുത്തിയതിന് വിടാതെ എണ്ണിച്ചെർത്ത് ഉടമസ്ഥത എടുക്കണം. പ്ലാറ്റ്ഫോമിന് ആപ്ലിക്കേഷൻ അനുസരിച്ച് ട്രാഫിക് ഒരു ഇന്റർഫേസിലേക്ക് ബന്ധിക്കാനാകുമെങ്കിൽ, ഏതൊന്നിനും അസാധുവാക്കാവുന്ന ഒരു റൂട്ടിനേക്കാൾ ശക്തമായ ഉറപ്പാണ് ആ ബന്ധനം.

ഏതാണ് തിരഞ്ഞെടുത്താലും, തീരുമാനം കോൺഫിഗറേഷൻ ഉള്ളിടത്ത് എഴുതിവയ്ക്കുക. ഒരു സംഭവസമയത്ത് ആരോ ടൈപ്പ് ചെയ്തതിനാൽ നിലനിൽക്കുന്ന ഒരു നിയമം അടുത്ത റീബൂട്ടിനെ അതിജീവിക്കില്ല, അതിനാൽ പ്രാദേശികവും ബൂട്ട്സ്ട്രാപ്പ് ഒഴിവാക്കലുകളും ഇടുങ്ങിയതായി സൂക്ഷിക്കുക, ഓരോന്നും എന്തിന് നിലനിൽക്കുന്നു എന്ന് രേഖപ്പെടുത്തുക.

ഓരോ ക്ലൈന്റ് അപ്ഗ്രേഡിനും ഓരോ നെറ്റ്വർക്ക് മാറ്റത്തിനും ശേഷം ലുക്കപ്പ് കമാൻഡുകൾ വീണ്ടും ഓടിക്കുക, അവസാനം രേഖപ്പെടുത്തിയ ഔട്ട്പുട്ടുമായി താരതമ്യം ചെയ്യുക. നിർവ്വഹണത്തിന്റെ അതിർത്തിയാണ് റൂട്ട് ടേബിൾ, അതിനാൽ അതിനെ അതുപോലെ കാണുക.