It-Toroq DHCP Jistgħu Jaqbdu t-Traffiku Tiegħek Madwar il-Mina VPN?

L-encryption tibda f'konfini, u dak il-konfini huwa deċiżjoni ta' routing li l-endpoint jieħu qabel ma jiġi encapsulated xi packet. Netwerk li qatt ma jara ċ-ċwievet tiegħek xorta jista' jagħti lill-magna tiegħek rotta li tħobb aktar minn dik tal-mina. Hawn żewġ fallimenti jiġu konfużi: taqra packet li diġà jinsab fil-mina, u ddawwar packet li qatt ma tpoġġa hemmhekk.

Id-distinzjoni hija importanti għax it-tieni falliment huwa irħas biex jitqiegħed u ħafna aktar faċli biex jinqabeż. Jidher bħala talba li ħarġet mill-interface ħażina filwaqt li l-klijent għadu jirrapporta konnessjoni f'saħħitha.

Żewġ Modi kif Netwerk Jista' Jaffettwak

Packet li jasal sal-mina jkollu l-payload tiegħu moħbi minn kull hop li jaqsam, u dik il-protezzjoni tibqa' wkoll meta t-triq tissorprendik. Packet li qatt ma jasal sal-mina huwa talba ordinarja mill-indirizz tiegħek, mibgħuta fejn indikat it-tabella tat-toroq. L-ewwel falliment jeħtieġ ċifra miksura jew sieħeb kompromess, filwaqt li t-tieni jeħtieġ biss messaġġ ta' konfigurazzjoni li l-magna tiegħek għażlet li tafdah. Dik l-asimmetrija hija r-raġuni għaliex in-nofs tar-routing jistħoqqlu reviżjoni tiegħu.

It-tagħmir fit-triq m'għandux bżonn iċ-ċwievet tiegħek biex jinfluwenza t-tieni każ. Għandu bżonn li l-endpoint tiegħek jaċċetta rotta, resolver, jew regola ta' politika li tipproduċi waħda.

expected:  app -> tunnel device -> encapsulation -> internet
observed:  app -> wlan0        -> plaintext     -> internet

Minn Fejn Tista' Tiġi Rotta Qabel ma Teżisti l-Mina

DHCP jagħti aktar minn kiri ta' indirizz. L-għażla tar-rotta statika bla klassi tista' ġġorr prefissi tad-destinazzjoni u l-hops li jmiss, u RFC 3442 tiddiskuti l-konsegwenzi tas-sigurtà ta' indirizz tar-router ħażin: traffiku dirett ħażin, ċaħda ta' servizz, jew osservatur bilqiegħda fit-triq. Klijent li jaċċetta dawk it-toroq qabel ma titla' l-mina jista' jispiċċa b'rotta ppreferuta li m'għandha x'taqsam xejn mal-fornitur tiegħek.

Xejn minn dan ma jagħmel l-injezzjoni tar-rotot universali. Il-klijent irid jaċċetta l-għażla, il-prefiss irid ikopri t-traffiku li jimpurtak minnu, il-hop li jmiss magħżul irid ikun jintlaħaq, u l-politika tal-infurzar irid tħalli l-packet joħroġ minn dik it-triq. Neħħi waħda minn dawn u l-istess risposta ssir bla ħsara. Huwa wkoll għalhekk li żewġ magni fuq netwerk wieħed jistgħu jġibu ruħhom b'mod differenti, għax mhumiex qed iħaddmu l-istess klijent, l-istess politika, u lanqas l-istess familja ta' indirizzi.

IPv6 jistħoqqlu pass tiegħu, għax ir-reklami tar-router iġorru rotta default permezz ta' kodiċi differenti mill-għażla DHCPv4. Test li jispezzjona biss it-tabella v4 ma jkunx kopriha.

Iċċekkja t-Triq li l-Kernel Fil-Fatt Jagħżel

It-tiftixiet tar-rotot jistgħu jingħataw tweġiba, mela staqsihom minflok ma tislet konklużjonijiet mid-dawl tal-istatus. Il-kmandi hawn taħt juru r-rotta u s-sors magħżula għal destinazzjoni waħda, flimkien mar-regoli li jistgħu jaqbżu t-tabella prinċipali. Mexxihom waqt li tkun konness u għal darb'oħra wara li terġa' tikkonnettja, għax tiġdid tal-kirja jista' jbiddel it-tweġiba.

ip route get 203.0.113.10
ip route show table all | grep -E '^(default|203\.0\.113)'
ip rule show
resolvectl query example.com

Aqra l-output għal żewġ affarijiet: l-interface imsemmija fir-rotta u l-indirizz tas-sors magħżul. Rotta tal-mina ssemmi l-apparat tal-mina, rotta li nixxet issemmi dak fiżiku, u d-differenza tidher mingħajr ma tiddikripta xejn. Jekk it-tweġiba tinbidel bejn il-ġirjiet, żomm iż-żewġ outputs u qabbel ir-regoli li pproduċewhom.

Tieqafx fir-rotta default. Eċċezzjoni tal-app, prefiss ta' mina maqsuma, jew it-tieni regola ta' politika jistgħu jġorru destinazzjoni speċifika madwar il-mina filwaqt li d-default għadu jindika ġo fiha.

Iddeċiedi Fejn Għandu Jkun l-Infurzar

Tliet kundizzjonijiet jiddeċiedu jekk l-infurzar fuq in-naħa tal-klijent huwiex biżżejjed jew jekk għandekx bżonn xi ħaġa barra minnu. Jekk il-klijent jinstalla u jiddefendi t-toroq għal kull familja ta' indirizzi li tuża, mina li tippossjedi d-default normalment tkun biżżejjed. Jekk il-magna trid tilħaq riżorsi lokali filwaqt li kull ħaġa oħra tibqa' fil-mina, dawk l-eċċezzjonijiet iridu jiġu enumerati u posseduti minflok ma jitħallew f'idejn dak li rreklama n-netwerk tal-aċċess. U jekk il-pjattaforma tista' torbot it-traffiku ma' interface għal kull app, dak irbit huwa garanzija aktar b'saħħitha minn rotta li xi ħaġa tista' taqbeż.

Liema waħda tagħżel, ikteb id-deċiżjoni fejn tgħix il-konfigurazzjoni. Regola li teżisti għax xi ħadd ittajpjaha waqt inċident mhix se tgħix wara r-riavvjar li jmiss, mela żomm l-eċċezzjonijiet lokali u tal-bootstrap dejqa u rreġistra għaliex teżisti kull waħda.

Erġa' mexxi l-kmandi tat-tiftix wara kull aġġornament tal-klijent u kull bidla fin-netwerk, u qabbel mal-aħħar output irreġistrat. It-tabella tat-toroq hija l-konfini tal-infurzar, mela ittrattaha bħala tali.