DHCP маршрутууд таны урсгалыг VPN хонгилыг тойруулан илгээж чадах уу?

Шифрлэлт нь нэг хил дээр эхэлдэг бөгөөд тэр хил нь ямар ч багц инкапсуллагдахаас өмнө төгсгөлийн цэгийн гаргадаг маршрутын шийдвэр юм. Таны түлхүүрийг хэзээ ч хардаггүй сүлжээ ч таны машинд хонгилынхаас илүү таалагдсан маршрутыг өгч чадна. Энд хоёр алдааг андуурдаг: хонгил дотор аль хэдийн орсон багцыг унших, болон тэнд хэзээ ч тавигдаагүй багцыг чиглүүлэх.

Энэ ялгаа чухал, учир нь хоёр дахь алдааг зохион байгуулах нь хямд бөгөөд анзаарахад хамаагүй хялбар. Клиент эрүүл холболт гэж мэдээлсээр байхад буруу интерфейсээр гарсан хүсэлт хэлбэрээр илэрдэг.

Сүлжээ танд нөлөөлж болох хоёр арга

Хонгилд хүрсэн багцын ачаа нь түүний туулж буй алхам бүрээс нуугддаг бөгөөд зам таныг гайхшруулсан ч тэр хамгаалалт хэвээр байна. Хонгилд хэзээ ч хүрээгүй багц бол таны хаягаас гарсан жирийн хүсэлт бөгөөд маршрутын хүснэгт заасан газар руу илгээгддэг. Эхний алдаанд эвдэрсэн шифр эсвэл эвдэрсэн хамтрагч хэрэгтэй бол хоёр дахь алдаанд таны машин итгэхээр сонгосон тохиргооны мессеж л хангалттай. Тийм тэгш бус байдал нь маршрутын хагас нь өөрийн гэсэн хяналт хүртэх шалтгаан юм.

Замын тоног төхөөрөмж хоёр дахь тохиолдолд нөлөөлөхийн тулд таны түлхүүр хэрэггүй. Таны төгсгөлийн цэг маршрут, резолвер эсвэл түүнийг үүсгэдэг бодлогын дүрмийг хүлээн авах нь хангалттай.

expected:  app -> tunnel device -> encapsulation -> internet
observed:  app -> wlan0        -> plaintext     -> internet

Хонгил үүсэхээс өмнө маршрут хаанаас гарч болох вэ

DHCP нь зөвхөн хаягийн түрээс олгодоггүй. Классгүй статик маршрутын сонголт нь очих префикс болон дараагийн алхмыг агуулж болох бөгөөд RFC 3442 буруу чиглүүлэгчийн хаягийн аюулгүй байдлын үр дагаврыг авч үздэг: буруу чиглэсэн урсгал, үйлчилгээнээс татгалзах, эсвэл зам дээр суусан ажиглагч. Хонгил босохоос өмнө тэдгээр маршрутыг хүлээн авсан клиент таны үйлчилгээ үзүүлэгчтэй ямар ч холбоогүй сонгосон зам дээр очдог.

Энэ нь маршрут шахахыг бүх нийтийнх болгодоггүй. Клиент сонголтыг хүлээн авах ёстой, префикс таны сонирхож буй урсгалыг хамарсан байх ёстой, сонгосон дараагийн алхам хүрэх боломжтой байх ёстой, хэрэгжүүлэх бодлого багцыг тэр замаар гаргахыг зөвшөөрөх ёстой. Аль нэгийг нь хасвал мөнөөх хариулт хор хөнөөлгүй. Нэг сүлжээний хоёр машин өөрөөр ажиллах болсон шалтгаан мөн энэ: тэд ижил клиент, ижил бодлого, бүр ижил хаягийн гэр бүл ажиллуулдаггүй.

IPv6 нь өөрийн гэсэн шалгалт хүртэх ёстой, учир нь чиглүүлэгчийн зарлал нь DHCPv4 сонголтоос өөр кодоор анхдагч маршрутыг дамжуулдаг. Зөвхөн v4 хүснэгтийг шалгасан тест үүнийг хамраагүй байна.

Цөм бодитоор сонгож буй замыг шалга

Маршрутын хайлтад хариу өгч болно, тиймээс төлөвийн гэрлээс таамаглахын оронд тэднээс асуу. Доорх командууд нэг очих газарт сонгосон маршрут болон эх сурвалжийг, мөн үндсэн хүснэгтийг дарж болох дүрмүүдийг харуулна. Холбогдсон үедээ, дахин холбогдсоны дараа дахин ажиллуул, учир нь түрээсийн сунгалт хариуг өөрчилж болно.

ip route get 203.0.113.10
ip route show table all | grep -E '^(default|203\.0\.113)'
ip rule show
resolvectl query example.com

Гаралтыг хоёр зүйлээр унш: маршрутад нэрлэгдсэн интерфейс болон сонгосон эх хаяг. Хонгилын маршрут хонгилын төхөөрөмжийг нэрлэдэг, алдагдсан маршрут физик төхөөрөмжийг нэрлэдэг бөгөөд ялгаа нь юуг ч тайлахгүйгээр харагдана. Хэрэв гүйлтийн хооронд хариу өөрчлөгдвөл хоёр гаралтыг хадгалаад тэдгээрийг үүсгэсэн дүрмүүдийг харьцуул.

Анхдагч маршрут дээр бүү зогс. Аппын үл хамаарах зүйл, хуваасан хонгилын префикс эсвэл хоёр дахь бодлогын дүрэм нь анхдагч хэвээр хонгил руу зааж байхад тодорхой очих газрыг хонгилыг тойруулан авч явж болно.

Хэрэгжүүлэлт хаана байх ёстойг шийд

Клиентийн талын хэрэгжүүлэлт хангалттай эсэх, эсвэл түүний гадна ямар нэг зүйл хэрэгтэй эсэхийг гурван нөхцөл шийднэ. Хэрэв клиент таны ашигладаг хаягийн гэр бүл бүрт маршрут суулгаж, хамгаалдаг бол анхдагчийг эзэмшсэн хонгил ихэвчлэн хангалттай. Бусад бүхэн хонгил дотор үлдэхдээ машин локал нөөцөд хүрэх ёстой бол тэдгээр үл хамаарах зүйлийг нэвтрэх сүлжээ зарласан зүйлд үлдээхгүйгээр тоолж, эзэмших ёстой. Платформ урсгалыг апп тус бүрээр интерфейст уяж чаддаг бол тэр уялдаа нь хэн ч дарж болох маршрутаас илүү хүчтэй баталгаа юм.

Аль нэгийг сонгосон ч шийдвэрийг тохиргоо байгаа газарт бич. Ослын үеэр хэн нэгэн бичсэнээс болж оршин байгаа дүрэм дараагийн дахин ачаалалтыг давахгүй, тиймээс локал болон ачаалалтын үл хамаарах зүйлсийг нарийн байлгаж, тус бүр яагаад байгааг бичиж тэмдэглэ.

Клиент шинэчлэгдэх, сүлжээ өөрчлөгдөх бүрд хайлтын командуудыг дахин ажиллуулж, хамгийн сүүлд бүртгэсэн гаралттай харьцуул. Маршрутын хүснэгт бол хэрэгжүүлэлтийн хил, тиймээс түүнийг тэгж үз.