TunnelCrack ба TunnelVision: аль нь үнэндээ юу эвддэг

Туннель орхиж буй аливаа VPN урсгалд хоёр судалгааны нэрийг хольж хэрэглэдэг ч тэдгээрийн ард байгаа механизмууд ижил биш. TunnelCrack нь маршрутжуулалтын үл хамаарах зүйлсийн хоёр бүлгийг тайлбарладаг; TunnelVision нь төгсгөлийн төхөөрөмжид DHCP-ээр өгөгдөх маршрутыг тайлбарладаг. Аль нь ч шифрлэлтийг эвддэггүй, аль нь ч тодорхой клиентийн хувилбар өнөөдөр юу хийдгийг хэлж өгөхгүй. Таван шалгалт нь механизмуудыг гарчигаас тусгаарладаг.

Нэгдүгээр алхам: шалгаж буй механизмын нэрийг тодорхойл

2023 оны наймдугаар сарын TunnelCrack илчилэл нь хоёр төрлийн халдлагыг тайлбарладаг. Локал сүлжээний тохиолдолд клиент локал сүлжээнд хамаарна гэж үзсэн урсгал локал хандалтын үл хамаарах зүйлийг авч туннелийг орхидог. Серверийн хаягийн тохиолдолд VPN серверт өөрт нь хүрэхэд клиентэд шаардлагатай маршрут туннелийн гадна байдаг бөгөөд тэр хаягийг хянадаг өрсөлдөгч энэ үл хамаарах зүйлийг ашиглаж болно.

TunnelVision нь DHCP-ээс өгөгдөх ангилалгүй статик маршрутуудын тухай тусдаа тайлан юм. Хортой DHCP сервер төгсгөлийн төхөөрөмжид урсгалын замыг өөрчилдөг маршрутуудыг өгч болох бөгөөд VPN сервер рүү чиглэсэн зам ч багтана. Тайлан нь холбогдох маршрутжуулалтын нөлөөллийн талаарх өмнөх ажлыг хүлээн зөвшөөрдөг нь үндсэн механизм нэрнээс хуучин гэдгийг сануулдаг.

Нэрсийг механизмтай нь холбоотой байлга. Нөгөө нь мэдээнд гарсан учраас нэгэнд нь засвар хэрэглэх нь шалгалт хамрах хүрээгүйгээр хөдөлгөөн үүсгэдэг арга юм.

Хоёрдугаар алхам: локал хандалтын үл хамаарах зүйлийг хар

Ихэнх клиент туннель ажиллаж байх үед принтер, дэлгэц дамжуулалт, файл хуваалцалт ажиллахын тулд локал сүлжээний урсгалыг чөлөөлдөг. Энэ чөлөөлөлт нь аюулгүй байдлын өртөгтэй бодлогын шийдвэр: ижил сүлжээн дэх өрсөлдөгч өөрийгөө локал хост гэж танилцуулж болох бөгөөд түүнд хүрэх урсгал туннельд ороогүй.

Байршуулсан профайлд энэ чөлөөлөлт огт хэрэгтэй юу гэж асуу. Локал илрүүлэлтийг хэзээ ч ашигладаггүй алсын ажиллах хүчин үүнийг ихэвчлэн унтрааж болох бөгөөд үлдсэн локал үйлчилгээнд баримтжуулсан замаар хүрч болно. Чөлөөлөлт шаардлагатай газарт үүнийг локал урсгал гэж тодорхойлохын оронд ямар чиглэлүүдийг хамардагийг хэл.

Шалгалт бол тохиргооны асуулт, пакет барих биш. Байршуулж буй хувилбарын профайлын тохиргоо болон клиентийн баримт бичгийг унш, учир нь анхдагч утга бүтээгдэхүүн хооронд болон нэг бүтээгдэхүүний хувилбаруудын хооронд өөр байдаг. Хариултыг профайлын дэргэд бич, дараагийн шалгагч үүнийг зан төлөвөөс таамаглах шаардлагагүй болно. Хэн ч баримтжуулаагүй чөлөөлөлт бол хэн ч шалгадаггүй чөлөөлөлт юм.

Гуравдугаар алхам: серверийн хаяг хэрхэн сурагдаж байгааг хар

Клиент аливаа туннель бий болохоос өмнө VPN серверт хүрэх ёстой тул энэ чиглэл зохион бүтээлтээр туннелийн гадна маршрутлагддаг. Хэрэв хаягийг нэрнээс сурдаг бол шийдвэрлэх алхам нь итгэлцлийн замын хэсэг бөгөөд тэр асуултад хариулж чадах өрсөлдөгч клиентийг өөрийн хянадаг хост руу чиглүүлж болно.

Хаягийг бэхлэх, зөв нэртэй баталгаажсан гэрчилгээ ашиглах, баталгаажаагүй серверт буцаж очихоос татгалзах нь бүгд өртөлтийг бууруулдаг. Аль нь ч туннелийн гадна серверт хүрэх шаардлагыг арилгахгүй; тэд тэр хаягийн төлөө хэн хариуцаж болохыг өөрчилдөг.

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

Маршрутын хайлт нь клиент серверийн хаягт ашиглах интерфейсийг харуулдаг бөгөөд энэ нь чөлөөлөлтийн бодит хэлбэр юм. Хэрэв тэр хайлт туннелийн интерфейсийг буцаавал клиент туннель огт барьж чадахгүй тул гадна маршрут хүлээгдэж байгаа бөгөөд асуулт зөвхөн түүний чиглэл хэрхэн сонгогддогт л байна.

Дөрөвдүгээр алхам: DHCP-ээс өгөгдөх маршрутуудыг хар

Ангилалгүй статик маршрутууд нь DHCP серверт маршрутжуулалтын хүснэгтийн бичлэгүүдийг хуваарилах боломж олгодог бөгөөд төгсгөлийн төхөөрөмж тэдгээрийг ихэвчлэн асуулгүй хүлээн авдаг. Өрсөлдөгч хууль ёсны серверээс хурдан DHCP-д хариулж чадах сүлжээнд тэдгээр бичлэгүүд хэрэглэгч туннель дотор гэж бодсон урсгалыг өөр тийш чиглүүлж болно.

Төгсгөлийн төхөөрөмж дээрх маршрутуудыг хүлээж буй маршрутуудтай харьцуул. Туннель ажиллаж байх үед локал гарц руу заасан анхдагч маршрут эсвэл өргөн префикс нь мөрдөн шалгах үнэ цэнэтэй шинж бөгөөд ямар ч халдлагын урсгалгүйгээр харагддаг.

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

Сүүлийн тохиргоо бол олон клиент, платформ ямар нэг хэлбэрээр санал болгодог төгсгөлийн төхөөрөмжийн талын хяналт: сүлжээнээс өгөгдсөн маршрутуудыг үл хайхран. Маршрутыг автоматаар хүлээн авахыг унтраах нь солилцоо бөгөөд байгууллагын DHCP серверээс ирэх хууль ёсны хуваагдсан маршрутжуулалтыг ч унтраадаг тул үүнийг дэлхийн хэмжээнд биш, сүлжээний ангиллаар шийд.

Тавдугаар алхам: мэдэгдлийг одоогийн хувилбараас тусгаарла

Нийтлэгдсэн халдлага нь тодорхой цагт тодорхой клиентийн хувилбаруудад ажиглагдсан зан төлөвийг тайлбарладаг. Энэ нь таны өмнөх зөөврийн компьютер өртсөн гэдгийг батлахгүй, мөн зассан гэдгийг батлахгүй. Хоёр мэдэгдэлд бодит хувилбарын дугаар болон нийлүүлэгчийн одоогийн мэдэгдэл шаардлагатай.

Клиентийн хувилбар, платформ, дээрх чөлөөлөлтүүдийг удирддаг профайлын тохиргоо, шалгасан огноогоо бич. Тэр бүртгэл шударгаар хуучирдаг бол VPN-ийг TunnelCrack-ийн төлөө зассан гэсэн тэмдэглэл шударгаар хуучирдаггүй. Клиент шинэчлэгдэх бүрт дахин унш, учир нь та хүрээгүй хувилбарын дор профайлын анхдагч өөрчлөгдөж болно.

Үнэхээр баталгаажуулахдаа зөвшөөрөгдсөн төлөвлөгөөг өөрийн төгсгөлийн төхөөрөмж болон хор хөнөөлгүй чиглэлд ашигла. Хуваалцсан сүлжээн дэх бусад хэрэглэгчдийн эсрэг халдлагыг давтах нь туршилт биш бөгөөд ажиглалтыг хялбарчлахын тулд хост хоорондын баталгаажуулалт эсвэл програмын шифрлэлтийг унтраах нь хэмжихийг оролдсон хамгаалалтыг чинь арилгадаг.

Эцэст нь програмын түвшний хамгаалалтыг зурагт байлга. Маршрутжуулалтын чөлөөлөлт нь туннель зөөх байсан урсгалыг ил гаргаж болох бөгөөд програмын TLS тэр урсгалыг эхнээс эцэс хүртэл хамгаас хэвээр байна. Хоёр давхарга бие даан бүтэлгүйтдэг тул холбогдсон хяналтын суваг нь урсгал бүр зорьсон замаар явсан гэдгийг нотлохгүй.