Kan DHCP-ruter senda trafikken din rundt VPN-tunnelen?

Kryptering byrjar ved ei grense, og den grensa er eit rutavgjerdsle endepunktet tek før nokon pakke blir innkapsla. Eit nettverk som aldri ser nøklane dine, kan likevel gje maskina di ei rute det likar betre enn den tunnelen sjølv har. To feil blir forveksla her: å lesa ein pakke som alt er inne i tunnelen, og å styra ein pakke som aldri vart lagd der.

Skilnaden er viktig fordi den andre feilen er billegare å leggja til rette og mykje lettare å oversjå. Han viser seg som ei førespurnad som gjekk ut via feil grensesnitt medan klienten framleis rapporterte ei sunn tilkopling.

To måtar eit nettverk kan påverka deg på

Ein pakke som når tunnelen, har nyttelasta si skjult for kvar hopp han passerer, og den vernet held sjølv når vegen overraskar deg. Ein pakke som aldri når tunnelen, er ei vanleg førespurnad frå adressa di, send dit rutetabellen peika. Den første feilen krev eit brote chiffer eller ein kompromittert motpart, medan den andre berre krev ei konfigurasjonsmelding maskina di valde å stola på. Den asymmetrien er grunnen til at rutingshalvdelen fortener sin eigen gjennomgang.

Utstyr på vegen treng ikkje nøklane dine for å påverka det andre tilfellet. Det treng at endepunktet ditt godtek ei rute, ein resolver eller ein policyregel som lagar ei.

expected:  app -> tunnel device -> encapsulation -> internet
observed:  app -> wlan0        -> plaintext     -> internet

Kvar ei rute kan koma frå før tunnelen finst

DHCP deler ut meir enn ein adresseleige. Alternativet for klasselause statiske ruter kan bera destinasjonsprefiks og neste hopp, og RFC 3442 drøftar tryggleikskonsekvensane av ei feil ruteradresse: feilsend trafikk, tenestenekt eller ein observatør som sit på vegen. Ein klient som godtek desse rutene før tunnelen er oppe, kan enda med ein føretrekt veg som ikkje har noko med leverandøren din å gjera.

Ingenting av dette gjer ruteinjeksjon universell. Klienten må godta alternativet, prefikset må dekkja trafikken du bryr deg om, det valde neste hoppet må vera nåbart, og handhevingpolicyen må tillata pakken ut den vegen. Fjern éin av desse, og den same responsen er harmlaus. Det er også grunnen til at to maskiner på eitt nettverk kan oppføra seg ulikt, sidan dei ikkje køyrer same klient, same policy eller same adressefamilie.

IPv6 fortener sin eigen runde, fordi ruterkunngjeringar ber ei standardrute gjennom annan kode enn DHCPv4-alternativet gjer. Ein test som berre granskar v4-tabellen, har ikkje dekt det.

Sjekk vegen kjernen faktisk vel

Ruteoppslag kan svarast på, så spør dei i staden for å slutta frå eit statuslys. Kommandoane nedanfor viser den valde ruta og kjelda for éin destinasjon, pluss reglane som kan overstyra hovudtabellen. Køyr dei medan du er tilkopla og igjen etter ei ny tilkopling, fordi ei fornying av leiga kan endra svaret.

ip route get 203.0.113.10
ip route show table all | grep -E '^(default|203\.0\.113)'
ip rule show
resolvectl query example.com

Les utdata for to ting: grensesnittet som blir nemnt i ruta, og kjeldeadressa som blir vald. Ei tunnelrute nemner tunnel-eininga, ei leka rute nemner den fysiske, og skilnaden er synleg utan å dekryptera noko. Endrar svaret seg mellom køyringar, ta vare på begge utdata og samanlikn reglane som laga dei.

Ikkje stopp ved standardruta. Eit appunntak, eit prefiks for delt tunnel eller ein andre policyregel kan føra ein bestemd destinasjon rundt tunnelen medan standarden framleis peikar inn i han.

Avgjer kvar handhevinga skal liggja

Tre tilhøve avgjer om handheving på klientsida er nok, eller om du treng noko utanfor henne. Viss klienten installerer og forsvarar ruter for kvar adressefamilie du brukar, er ein tunnel som eig standardruta, vanlegvis tilstrekkeleg. Viss maskina må nå lokale ressursar medan alt anna blir inne i tunnelen, må desse unntaka listast opp og eigast i staden for å overlatast til det tilgangsnettverket annonserte. Og viss plattformen kan binda trafikk til eit grensesnitt per app, er den bindinga ei sterkare garanti enn ei rute som kva som helst kan overstyra.

Uansett kva du vel, skriv avgjerda der konfigurasjonen bur. Ein regel som finst fordi nokon skreiv han under ei hending, overlever ikkje neste omstart, så hald lokale unntak og oppstartsunntak smale og noter kvifor kvart einskild finst.

Køyr oppslagskommandoane på nytt etter kvar klientoppgradering og kvar nettverksendring, og samanlikn med siste registrerte utdata. Rutetabellen er handhevinggrensa, så handsam han som ei.