Tunnel sħiħ kontra rotta tal-punt tat-tmiem: inżommu s-server VPN aċċessibbli

Żid rotta awtomatika mit-tunnel, u l-pakketti tat-tunnel stess se jsegwuha. It-tabella mbagħad fiha regola li tegħleb lilha nnifisha. Il-konnessjoni mgħammra bil-moħbi mas-server tipprova tivvjaġġa ġewwa l-konnessjoni li qed tipprova tistabbilixxi.

Żewġ mekkaniżmi jipprevjenu dik iċ-ċirku. Wieħed jidher fit-tabella tal-irrotar, l-ieħor jgħix ġewwa l-applikazzjoni.

It-traffiku intern u estern huma deċiżjonijiet differenti

Pakkett tal-applikazzjoni jidħol fl-interface virtwali u jiġi inkapsulat. Ir-riżultat huwa pakkett ġdid indirizzat lejn l-indirizz pubbliku tas-server. Dak il-pakkett jeħtieġ rotta fuq in-netwerk fiżiku, għax xejn minnu ma jista' jidħol fit-tunnel.

It-tnejn huma deċiżjonijiet ta' rotot, u biss l-ewwel waħda tappartjeni lit-tunnel. Meta l-klijent jinstalla rotta awtomatika li tkopri wkoll is-server, il-pakkett ta' barra jinqabad ukoll.

Is-sintomi huma immedjati u totali. Il-handshake jitlesta u mbagħad xejn ma jiċċirkola, jew il-konnessjoni taqa' fil-mument li tiġi installata r-rotta. Fiż-żewġ każijiet il-keepalive ma jistax joħroġ aktar.

L-ewwel għażla: rotta tal-host għall-punt tat-tmiem

L-approċċ dirett iżid rotta għall-indirizz tas-server permezz tal-gateway oriġinali. Tieħu linja waħda. Hija viżibbli għal kulħadd li jaqra t-tabella. Hija wkoll faċli li tiġi spjegata f'rekord tal-bidliet.

Id-dgħufija tagħha tidher meta jinbidel il-mogħdija sottostanti. Ir-rotta salvata ssemmi gateway u interface min-netwerk il-qadim. Wara bidla tal-Wi-Fi dak il-gateway jista' ma jkunx hemm, u r-rotta tibqa' lura, tidher korretta u ma tagħmel xejn.

# before the tunnel: which path reaches the endpoint?
ip route get 198.51.100.7

# pin it through the current gateway
ip route add 198.51.100.7/32 via 192.168.1.1 dev wlan0

# after the tunnel is up, confirm the pin survived
ip route get 198.51.100.7

L-isem tal-host jagħmel dan aktar diffiċli. Jekk il-punt tat-tmiem huwa isem li jiġi riżolt f'diversi indirizzi, l-eċċezzjoni trid tkopri l-indirizz li tassew qed jintuża. Tfittxija aktar tard tista' tirritorna xi ħaġa li r-rotta qatt ma kopriet.

It-tieni għażla: nipproteġu s-socket

L-approċċ l-ieħor qatt ma jmiss it-tabella tal-irrotar. Il-klijent jimmarka jew jipproteġi s-socket li ġġorr it-tunnel, u għalhekk is-sistema operattiva tibgħat it-traffiku ta' dak is-socket barra mit-tunnel skont il-politika. Android jesponi l-mekkaniżmu direttament lill-applikazzjonijiet VPN. Il-klijenti tad-desktop jimplimentaw ekwivalenti b'marki tal-firewall jew sejħiet ta' rabta mad-device.

Il-vantaġġ huwa li l-eċċezzjoni ssegwi l-konnessjoni minflok gateway salvata. Bidla fin-netwerk terġa' tikteb il-mogħdija sottostanti, u s-socket protetta timxi magħha għax qatt ma kienet marbuta ma' indirizz. It-tabella tal-irrotar tibqa' nadifa.

L-ispiża hija l-viżibilità. Xejn fit-tabella tal-irrotar ma juri l-eċċezzjoni, għalhekk reviżur li jfittex rotta tal-host ma jsib xejn u jista' jikkonkludi li d-disinn mhux sigur. Il-protezzjoni tgħix fil-kodiċi tal-klijent u fir-regoli tal-politika li dak il-kodiċi jinstalla.

L-għażla bejn it-tnejn

Agħżel il-mekkaniżmu fil-livell tas-socket meta l-klijent jappoġġjah, għax jiflaħ għall-bidliet fin-netwerk li jkissru rotta marbuta. Agħżel ir-rotta tal-host meta l-eċċezzjoni trid tkun viżibbli għal għodod oħra, jew meta l-klijent ma joffri xejn aħjar.

L-ebda mekkaniżmu ma jneħħi l-ħtieġa li l-indirizz tas-server ikun aċċessibbli xejn. Gateway privat għandu indirizz ta' smigħ pubbliku, u dak l-indirizz huwa dak li jrid jibqa' barra mit-tunnel. In-netwerks interni warajh isiru aċċessibbli biss wara li jkun hemm it-tunnel.

Liema wieħed li tagħżel, żommu mal-komponent li jippossjedi t-tunnel. Rotta tal-host mitlufa miżjuda bl-idejn taħdem sal-ħin tan-netwerk li jmiss, u mbagħad issir il-waqfa misterjuża ta' għada.