Ali lahko poti DHCP pošljejo vaš promet okoli tunela VPN?

Šifriranje se začne na meji, in ta meja je odločitev o usmerjanju, ki jo končna točka sprejme, preden je kateri koli paket zapakiran. Omrežje, ki nikoli ne vidi vaših ključev, lahko vašemu stroju vseeno ponudi pot, ki mu je bolj všeč od tiste, ki jo ima tunel. Tu se zamenjujeta dve napaki: branje paketa, ki je že v tunelu, in usmerjanje paketa, ki tja ni bil nikoli postavljen.

Razlika je pomembna, ker je drugo napako ceneje pripraviti in veliko lažje spregledati. Pokaže se kot zahteva, ki je odšla skozi napačen vmesnik, medtem ko je odjemalec še vedno poročal o zdravem povezovanju.

Dva načina, kako lahko omrežje vpliva na vas

Paket, ki prispe v tunel, ima vsebino skrito pred vsakim skokom, ki ga prečka, in ta zaščita drži tudi, ko vas pot preseneti. Paket, ki v tunel nikoli ne prispe, je običajna zahteva z vašega naslova, poslana tja, kamor je kazala usmerjevalna tabela. Prva napaka zahteva zlomljeno šifro ali ogroženega partnerja, druga pa le konfiguracijsko sporočilo, ki se mu je vaš stroj odločil zaupati. Zaradi te asimetrije si polovica, ki se ukvarja z usmerjanjem, zasluži lasten pregled.

Oprema na poti ne potrebuje vaših ključev, da bi vplivala na drugi primer. Potrebuje le, da vaša končna točka sprejme pot, razreševalnik ali pravilo politike, ki tako ustvari.

expected:  app -> tunnel device -> encapsulation -> internet
observed:  app -> wlan0        -> plaintext     -> internet

Od kod lahko pride pot, preden tunel obstaja

DHCP razdeli več kot le najem naslova. Možnost brezrazrednih statičnih poti lahko nosi ciljne predpone in naslednje skoke, in RFC 3442 obravnava varnostne posledice napačnega naslova usmerjevalnika: promet, poslan v napačno smer, zavrnitev storitve ali opazovalca, nameščenega na poti. Odjemalec, ki te poti sprejme, preden tunel vstane, lahko konča s prednostno potjo, ki nima nobene zveze z vašim ponudnikom.

Nič od tega ne naredi vbrizgavanja poti univerzalnega. Odjemalec mora možnost sprejeti, predpona mora pokrivati promet, ki vas zanima, izbrani naslednji skok mora biti dosegljiv, politika izvajanja pa mora paketu dovoliti izhod po tej poti. Odstranite katero koli od teh in isti odgovor je neškodljiv. Zato se dva stroja v istem omrežju lahko obnašata različno, saj ne poganjata istega odjemalca, iste politike ali celo iste družine naslovov.

IPv6 si zasluži svoj krog, ker napovedi usmerjevalnika prinašajo privzeto pot po drugi kodi kot možnost DHCPv4. Preizkus, ki pregleda le tabelo v4, tega ne pokrije.

Preverite pot, ki jo jedro dejansko izbere

Na poizvedbe o poteh je mogoče odgovoriti, zato jih vprašajte, namesto da sklepate iz statusne lučke. Ukazi spodaj prikažejo izbrano pot in vir za en cilj ter pravila, ki lahko preglasijo glavno tabelo. Zaženite jih med povezavo in znova po ponovni povezavi, ker podaljšanje najema lahko spremeni odgovor.

ip route get 203.0.113.10
ip route show table all | grep -E '^(default|203\.0\.113)'
ip rule show
resolvectl query example.com

Izhod berite zaradi dveh stvari: vmesnika, navedenega v poti, in izbranega izvornega naslova. Pot tunela navaja tunelsko napravo, uhajajoča pot navaja fizično, in razlika je vidna brez kakršnega koli dešifriranja. Če se odgovor med zagoni spremeni, shranite oba izhoda in primerjajte pravila, ki so ju ustvarila.

Ne ustavite se pri privzeti poti. Izjema za aplikacijo, predpona razdeljenega tunela ali drugo pravilo politike lahko popeljejo določen cilj okoli tunela, medtem ko privzeta še vedno kaže vanj.

Odločite, kje naj živi izvajanje

Trije pogoji odločajo, ali je izvajanje na strani odjemalca dovolj ali potrebujete nekaj zunaj njega. Če odjemalec namešča in brani poti za vsako družino naslovov, ki jo uporabljate, tunel, ki ima privzeto pot, običajno zadostuje. Če mora stroj doseči lokalne vire, medtem ko vse ostalo ostane v tunelu, je treba te izjeme našteti in prevzeti zanje odgovornost, ne pa jih prepustiti temu, kar je oglaševalo dostopovno omrežje. In če lahko platforma veže promet na vmesnik po aplikaciji, je ta vez močnejše jamstvo kot pot, ki jo lahko karkoli preglasi.

Karkoli izberete, odločitev zapišite tam, kjer živi konfiguracija. Pravilo, ki obstaja zato, ker ga je nekdo vtipkal med incidentom, ne bo preživelo naslednjega ponovnega zagona, zato naj bodo lokalne in zagonske izjeme ozke in zabeležite, zakaj vsaka obstaja.

Po vsaki nadgradnji odjemalca in vsaki spremembi omrežja znova zaženite poizvedbene ukaze in jih primerjajte z zadnjim zabeleženim izhodom. Usmerjevalna tabela je meja izvajanja, zato jo tako tudi obravnavajte.