Rotta blackhole kontra kill switch VPN: x'jagħmel kull wieħed
Rotta blackhole tarmi t-traffiku li jaqbel u timponi mogħdija magħluqa meta tfalli. Qabbel il-firxa u l-punti għomja tagħha ma' kill switch ibbażat fuq il-filtrazzjoni tal-pakketti.
Pakkett joħroġ minn laptop, qatt ma jasal sal-gateway VPN, u l-ebda kontatur tal-firewall ma jiċċaqlaq. It-tabella tar-rotot diġà ddeċidiet id-destin tal-pakkett: entrata blackhole qabblet miegħu u l-kernel tarmieh qabel ma raha xi interface. Din l-imġiba hija utli meta destinazzjoni għandha tfalli magħluqa, iżda hija azzjoni ta' routing b'firxa dejqa. Li titqies bħala kill switch sħiħ huwa l-post fejn id-disinji jiżbaljaw.
X'jaqbel tassew l-azzjoni tat-tarmija
Tfittxija tar-rotta tagħżel tabella, imbagħad l-itwal prefiss li jaqbel fiha. Rotta blackhole hija entrata normali li l-azzjoni tagħha hija tarmi, għalhekk taffettwa biss il-pakketti li kienu jagħżlu dik l-entrata wara d-deċiżjoni kollha. Ibdel it-tabella b'regola ta' politika, jew żid prefiss aktar speċifiku, u t-tarmija ma tibqax tapplika.
Għalhekk il-firxa ta' blackhole hija preċiża u faċli biex titqal: tkopri l-prefiss, fit-tabella, għal dik il-familja ta' indirizzi. Ma tkoprix destinazzjoni li tabella oħra tkun tirbaħ, u ma tkoprix IPv6 biss għax il-prefiss IPv4 jiġi mormi.
ip route get juri d-deċiżjoni qabel ma tiskjerament xi ħaġa, inkluż it-tabella u t-tip tar-rotta. Li taqra dak l-output huwa aktar malajr milli tiddeduċi minn talba falluta liema regola jew prefiss aġixxa.
Blackhole mhuwiex l-istess bħal unreachable jew prohibit
Linux joffri tliet tipi ta' rotta simili għat-tarmija, u jvarjaw f'dak li josserva l-mittent. Blackhole jaqa' l-pakkett mingħajr tweġiba, għalhekk il-klijent jara timeout. Rotta unreachable tirritorna messaġġ ICMP unreachable, għalhekk il-konnessjoni tfalli malajr b'żball ta' host jew netwerk. Rotta prohibit tirritorna żball ta' projbizzjoni amministrattiva, li huwa eqreb għal rifjut ta' politika deliberat.
Agħżel l-imġiba li trid li tara l-applikazzjoni. Tarmija siekta hija xierqa meta ma tridx tiżvela l-politika, u żball immedjat huwa aħjar meta l-utenti jridu jifhmu għaliex destinazzjoni mhix disponibbli. It-taħlit tat-tipi madwar netwerk jipproduċi tickets ta' appoġġ li jiddeskrivu l-istess politika bħala tliet ħsarat differenti.
Tassumix li kull entrata tat-tarmija hija interkambjabbli meta tiddijanjostika konnessjoni. It-test tal-iżball, il-ħin u l-qbid tal-pakketti jvarjaw, u t-tip tar-rotta fit-tabella jgħidlek liema qed tħares lejh. Il-manwal ta' ip-route jelenka t-tipi u l-imġiba tagħhom fl-iżball.
Kif tqabbel ma' kill switch
Kill switch hija filtrazzjoni tal-pakketti: regola tal-firewall li tarmi traffiku ħiereġ li jkun se joħroġ barra mit-tunnel. Rotta blackhole hija deċiżjoni ta' trażmissjoni meħuda aktar kmieni fl-istack. It-tnejn jistgħu jwaqqfu traffiku, iżda jaraw affarijiet differenti u jaqbeż lil xulxin f'każijiet differenti.
| Mechanism | What it blocks | What it misses | How failure looks |
|---|---|---|---|
| Blackhole route | Destinations matching the prefix and table | Other tables, other address families, traffic with a different route | Silent timeout |
| Firewall kill switch | Egress not bound to the tunnel interface | Rules that are too broad can break the endpoint or DHCP | Dropped packets with counters |
| WireGuard AllowedIPs | Destinations not routed into the interface | Traffic that never enters the interface at all | No tunnel route, direct egress |
Il-kopertura hija fejn il-paragun jgħodd. Firewall jista' jaqbel ma' sid, port jew interface u jimblokka applikazzjoni filwaqt li l-punt tat-tmiem jibqa' jintlaħaq; rotta ma tistax. Bil-maqlub, rotta tista' tibgħat prefiss sħiħ fit-tarmija mingħajr ebda filtru tal-pakketti mgħobbi, li huwa utli fuq sistema minima.
AllowedIPs ta' WireGuard hija routing b'ċavetta kriptografika, mhux firewall. Tiddeċiedi liema prefissi tad-destinazzjoni huma aċċettati fl-interface, u profil li jelenka biss is-subnet tat-tunnel iħalli destinazzjonijiet oħra għar-rotta default tas-soltu. Għalhekk il-profili tat-tunnel sħiħ jużaw 0.0.0.0/0 u għalhekk wg-quick ukoll jinstalla regoli tal-firewall meta jista'.
Żomm il-punt tat-tmiem tat-tunnel barra mit-tarmija
L-indirizz ta' barra tal-punt tat-tmiem għandu jibqa' jintlaħaq mill-interface fiżika. Tarmija li taqbad ukoll dak l-indirizz tipprevjeni l-ħsieb mill-ħruġ, u t-tunnel qatt ma jitla', li jidher bħal ħsara VPN aktar milli politika tar-routing. Iċċekkja r-rotta lejn il-punt tat-tmiem qabel u wara l-bidla.
L-aċċess amministrattiv jaqa' fl-istess reviżjoni. Jekk l-uniku triq lejn ir-router jew il-klijent hija t-tunnel, tarmija wiesgħa wisq tista' tissakkek barra mill-magna li kienet tħallik tneħħiha. Żomm rotta out-of-band dokumentata, console jew treġġigħ lura b'ħin.
IPv6 jeħtieġ entrata tiegħu u reviżjoni tiegħu. Disinn li jarmi IPv4 fi blackhole filwaqt li jħalli IPv6 fuq ir-rotta default inixxi eżattament it-traffiku li l-politika kellha twaqqaf, u l-iżball huwa inviżibbli fi prova b'IPv4 biss.
Daħħalha bil-mod b'timer u treġġigħ lura
Applika r-rotta b'tneħħija awtomatika qasira sabiex żball ma jibqax wara restart. Il-kmandi hawn taħt jużaw firxa ta' dokumentazzjoni; ibdelha bil-prefiss li d-disinn tiegħek tassew jarmi:
sudo ip route replace blackhole 10.0.0.0/8
ip route get 10.1.2.3
sudo systemd-run --on-active=60 /sbin/ip route del blackhole 10.0.0.0/8It-tieni kmand għandu jirrapporta r-rotta blackhole u t-tabella li minnha ġiet. It-tielet jiskeda t-tneħħija f'minuta, li hija biżżejjed ħin biex tikkonferma l-politika u qasira biżżejjed biex tirkupra minn żball fuq host remot. Ladarba l-imġiba tiġi kkonfermata, agħmel l-entrata permanenti permezz tal-istess ġestjoni tal-konfigurazzjoni li għandha r-rotot l-oħra.
Agħlaq il-bidla billi tirreġistra l-prefiss, it-tabella, il-familja tal-indirizzi u l-metodu tat-treġġigħ lura. It-tarmija hija eċċezzjoni deliberata fid-disinn tar-routing, u l-inġinier li jmiss irid ikun jaf liema traffiku kellha twaqqaf qabel jiddeċiedi jekk għadhiex tagħmel parti minnu.