Bolehkah Laluan DHCP Menghantar Trafik Anda Mengelilingi Terowong VPN?

Penyulitan bermula pada satu sempadan, dan sempadan itu ialah keputusan penghalaan yang dibuat titik hujung sebelum mana-mana paket dienkapsulasi. Rangkaian yang tidak pernah melihat kunci anda masih boleh memberikan mesin anda laluan yang lebih disukainya daripada laluan terowong itu sendiri. Dua kegagalan dikelirukan di sini: membaca paket yang sudah berada dalam terowong, dan mengemudi paket yang tidak pernah diletakkan di sana.

Perbezaan ini penting kerana kegagalan kedua lebih murah untuk diatur dan jauh lebih mudah terlepas pandang. Ia muncul sebagai permintaan yang keluar melalui antara muka yang salah sementara klien masih melaporkan sambungan yang sihat.

Dua Cara Rangkaian Boleh Mempengaruhi Anda

Paket yang sampai ke terowong mempunyai muatannya tersembunyi daripada setiap hop yang dilaluinya, dan perlindungan itu kekal walaupun laluan itu mengejutkan anda. Paket yang tidak pernah sampai ke terowong ialah permintaan biasa daripada alamat anda, dihantar ke mana jadual laluan menunjuk. Kegagalan pertama memerlukan sifer yang rosak atau rakan setara yang dicemari, manakala yang kedua hanya memerlukan mesej konfigurasi yang dipilih mesin anda untuk dipercayai. Asimetri itulah sebabnya separuh penghalaan wajar mendapat semakan tersendiri.

Peralatan di laluan tidak memerlukan kunci anda untuk mempengaruhi kes kedua. Ia memerlukan titik hujung anda menerima laluan, penyelesai, atau peraturan dasar yang menghasilkan satu.

expected:  app -> tunnel device -> encapsulation -> internet
observed:  app -> wlan0        -> plaintext     -> internet

Dari Mana Laluan Boleh Datang Sebelum Terowong Wujud

DHCP memberikan lebih daripada pajakan alamat. Pilihan laluan statik tanpa kelas boleh membawa awalan destinasi dan hop seterusnya, dan RFC 3442 membincangkan akibat keselamatan alamat penghala yang salah: trafik tersasar, penafian perkhidmatan, atau pemerhati yang duduk di laluan. Klien yang menerima laluan itu sebelum terowong naik boleh berakhir dengan laluan pilihan yang tidak ada kaitan dengan pembekal anda.

Tiada satu pun daripada itu menjadikan suntikan laluan sejagat. Klien mesti menerima pilihan itu, awalan mesti meliputi trafik yang anda pedulikan, hop seterusnya yang dipilih mesti boleh dicapai, dan dasar penguatkuasaan mesti membenarkan paket keluar melalui jalan itu. Buang mana-mana satu daripadanya dan respons yang sama menjadi tidak berbahaya. Itulah juga sebabnya dua mesin pada satu rangkaian boleh berkelakuan berbeza, kerana ia tidak menjalankan klien yang sama, dasar yang sama, malah keluarga alamat yang sama.

IPv6 wajar mendapat semakan tersendiri, kerana pengiklanan penghala membawa laluan lalai melalui kod yang berbeza daripada pilihan DHCPv4. Ujian yang hanya memeriksa jadual v4 belum meliputinya.

Periksa Laluan yang Sebenarnya Dipilih Kernel

Carian laluan boleh dijawab, jadi tanyalah daripada membuat andaian daripada lampu status. Perintah di bawah menunjukkan laluan dan sumber yang dipilih untuk satu destinasi, serta peraturan yang boleh mengatasi jadual utama. Jalankannya semasa bersambung dan sekali lagi selepas menyambung semula, kerana pembaharuan pajakan boleh mengubah jawapannya.

ip route get 203.0.113.10
ip route show table all | grep -E '^(default|203\.0\.113)'
ip rule show
resolvectl query example.com

Baca output untuk dua perkara: antara muka yang dinamakan dalam laluan dan alamat sumber yang dipilih. Laluan terowong menamakan peranti terowong, laluan yang bocor menamakan peranti fizikal, dan perbezaannya kelihatan tanpa menyahsulit apa-apa. Jika jawapan berubah antara larian, simpan kedua-dua output dan bandingkan peraturan yang menghasilkannya.

Jangan berhenti pada laluan lalai. Pengecualian aplikasi, awalan terowong berpecah, atau peraturan dasar kedua boleh membawa destinasi tertentu mengelilingi terowong sementara laluan lalai masih menunjuk ke dalamnya.

Tentukan Di Mana Penguatkuasaan Patut Berada

Tiga syarat menentukan sama ada penguatkuasaan di pihak klien mencukupi atau anda memerlukan sesuatu di luarnya. Jika klien memasang dan mempertahankan laluan untuk setiap keluarga alamat yang anda gunakan, terowong yang memiliki laluan lalai biasanya memadai. Jika mesin mesti mencapai sumber setempat sementara semua yang lain kekal di dalam terowong, pengecualian itu mesti disenaraikan dan dimiliki dan bukan diserahkan kepada apa yang diiklankan rangkaian akses. Dan jika platform boleh mengikat trafik kepada antara muka mengikut aplikasi, ikatan itu jaminan yang lebih kukuh daripada laluan yang boleh diatasi oleh apa sahaja.

Apa pun yang anda pilih, tulis keputusan itu di tempat konfigurasi berada. Peraturan yang wujud kerana seseorang menaipnya semasa insiden tidak akan bertahan selepas but semula seterusnya, jadi kekalkan pengecualian setempat dan bootstrap sempit dan catat mengapa setiap satu wujud.

Jalankan semula perintah carian selepas setiap peningkatan klien dan setiap perubahan rangkaian, dan bandingkan dengan output terakhir yang direkodkan. Jadual laluan ialah sempadan penguatkuasaan, jadi perlakukan ia sebagai satu.