TunnelCrack iyo TunnelVision: mid kastaa runtii waxa uu jebiyaa

Laba magac cilmi-baaris ayaa si is-beddel ah loo isticmaalaa mar kasta oo VPN taraafik ah oo ka baxa tunnel-ka, laakiin hababka ka dambeeya isku mid ma aha. TunnelCrack waxa uu sharraxayaa laba qoys oo ka-reebyo dariiqa; TunnelVision waxa uu sharraxayaa dariiq uu DHCP ku bixiyo qalabka ugu dambeeya. Midkoodna ma jebiyo sireedka, mana jiro mid sheegaya waxa nooc gaar ah oo macmiil sameeyo maanta. Shan baaritaan ayaa hababka ka sooca cinwaanka.

Tallaabada koowaad: magac u dhig habka aad dib u eegayso

Daaha ka qaadista TunnelCrack ee Agoosto 2023 waxa ay sharraxaysaa laba qoys oo weerarro. Marka la eego shabakada maxalliga, taraafik ay macmiilku u arko mid ka tirsan shabakada maxalliga waxa uu qaataa ka-reeb gelitaan maxalli ah oo ka baxa tunnel-ka. Marka la eego cinwaanka server-ka, dariiqa ay macmiilku u baahan yahay si uu u gaadho server-ka VPN laftiisa waxa uu ku yaal tunnel-ka dibaddiisa, oo cadow maamula cinwaankaas ayaa ka faa'iidaysan kara ka-reebka.

TunnelVision waa warbixin gooni ah oo ku saabsan dariiqooyin static ah oo aan faslan ahayn oo DHCP bixiyo. Server DHCP xun waxa uu qalabka ugu dambeeya siin karaa dariiqooyin beddela dariiqa taraafikku qaato, oo ay ku jirto dariiqa dhanka server-ka VPN. Warbixintu waxa ay aqoonsanaysaa shaqo hore oo ku saabsan saameynno dariiq oo la xiriira, taas oo xusuusinaysa in habka aasaasiga ahi ka duqsan yahay magaca.

Magacyada ku xidh hababkooda. In lagu dabaqo hagaajin mid sababtoo ah kan kale ayaa wararka ku jira waa sida dib u eegisku u abuuro dhaqdhaqaaq aan dabool lahayn.

Tallaabada labaad: eeg ka-reebka gelitaanka maxalliga

Inta badan macmiillada waxa ay ka reebaan taraafik shabakada maxalliga si daabacadaha, bandhigga shaashadda iyo wadaagga faylalka ay sii shaqeeyaan inta tunnel-ku shaqaynayo. Ka-reebkaas waa go'aan siyaasad oo leh kharash amni: cadow ku sugan isla shabakada ayaa isu soo bandhigi kara martigeliye maxalli ah, taraafikka gaadha isagana waligiis ma galin tunnel-ka.

Weydii in borofaylka la rakibay uu ka-reebka u baahan yahay haba yaraatee. Shaqaale fog oo aan waligood isticmaalin ogaanshaha maxalliga ayaa inta badan dami kara, adeegyada maxalliga ee hadhayna dariiq la diiwaangeliyey ayaa lagu gaadhi karaa. Meesha ka-reebku lagama maarmaan yahay, sheeg meelaha uu daboolayo halkii aad ku tilmaami lahayd taraafik maxalli ah.

Baaritaanku waa su'aal habayneed, ma aha qabashada baakadaha. Akhri dejinta borofaylka iyo dukumentiga macmiilka ee nooca aad rakibayso, maxaa yeelay qiimaha caadiga ah wuu ku kala duwan yahay badeecadaha iyo noocyada isla badeecad. Jawaabta ku qor borofaylka agtiisa, si dib u eegaha xiga uusan uga qiyaasi karin dhaqanka. Ka-reeb aan qofna diiwaangelin waa ka-reeb aan qofna dib u eegin.

Tallaabada saddexaad: eeg sida cinwaanka server-ka loo barto

Macmiilku waa in uu gaadho server-ka VPN ka hor inta aan tunnel uun jirin, sidaas darteed meeshaas waxa loo maraa tunnel-ka dibaddiisa naqshad ahaan. Haddii cinwaanka laga barto magac, tallaabada xallintu waa qayb ka mid ah dariiqa kalsoonida, cadow karti u leh in uu ka jawaabo su'aashaasna waxa uu macmiilka u weeciyaa martigeliye uu maamulo.

Cinwaanka oo la dhejiyo, shahaado la xaqiijiyey oo magac sax ah la isticmaalo iyo diidmada ku laabashada server aan la xaqiijin dhammaantood waxa ay yareeyaan soo-gaadhista. Midkoodna ma tirtiro baahida in server-ka laga gaadho tunnel-ka dibaddiisa; waxa ay beddelaan cidda ka jawaabi karta cinwaankaas.

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

Raadinta dariiqaa waxa ay tusaa interface-ka uu macmiilku u isticmaali lahaa cinwaanka server-ka, taas oo ah ka-reebka qaab macne leh. Haddii raadintaas ay soo celiso interface-ka tunnel-ka, macmiilku ma dhisi karo tunnel-ka, sidaas darteed dariiq dibadeed waa la filayaa oo su'aashu waa sida loo doorto meesha uu aadayo.

Tallaabada afraad: eeg dariiqooyinka uu DHCP bixiyo

Dariiqooyinka static ee aan faslan ahayn waxa ay u oggolaadaan server DHCP in uu qaybiyo gelitaannada shaxda dariiqa, qalabka ugu dambeeyaana caadi ahaan wuu aqbalaa isagoon weydiin. Shabakad uu cadow kaga jawaabi karo DHCP ka si degdeg badan server-ka sharci ah, gelitaannadaas waxa ay u weeciyaan karaan taraafik uu isticmaaluhu u malaynayo in uu tunnel-ka ku jiro.

Isbarbardhig dariiqooyinka qalabka ugu dambeeya iyo dariiqooyinka aad filayso. Dariiq caadi ah ama horgale ballaaran oo u jeeda albaabka maxalliga inta tunnel-ku shaqaynayo waa calaamad mudan baaritaan, oo la arki karo iyada oo aan jirin wax taraafik weerar ah.

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

Dejinta ugu dambeysa waa xakamaynta dhinaca qalabka ugu dambeeya oo macmiillo iyo barxado badan u soo bandhigaan qaab uun: iska indhatir dariiqooyinka uu shabakadu bixiyo. Damiidda aqbalaadda dariiqa otomaatiga ah waa is-dheellitir, maxaa yeelay waxa ay damisaa sidoo kale dariiqa qaybsan ee sharci ah ee ka yimaada server DHCP shirkadeed, sidaas darteed ku go'aanso fasalka shabakada halkii aad caalami ka dhigi lahayd.

Tallaabada shanaad: kala saar ogeysiiska iyo dhismaha hadda

Weerar la daabacay waxa uu sharraxayaa dhaqan lagu arkay noocyo gaar ah oo macmiil waqti gaar ah. Ma caddeeyo in kombuyuutarka laabta ah ee hortaalaa uu saameeyay, mana caddeeyo in la hagaajiyay. Labada sheegasho waxa ay u baahan yihiin lambarka dhismaha dhabta ah iyo ogeysiiska hadda ee iibiyaha.

Diiwaangeli nooca macmiilka, barxadda, dejinta borofaylka ee xakameeya ka-reebyada kore iyo taariikhda aad baartay. Diiwaankaas si daacad ah ayuu u duqoobaa, halka qoraal sheegaya in VPN-ka loo hagaajiyay TunnelCrack uusan si daacad ah u duqoobin. Dib u akhri mar kasta oo macmiilku cusboonaysiiyo, maxaa yeelay qiimaha caadiga ah ee borofaylku wuu isbeddeli karaa nooc aadan taaban.

Marka aad runtii xaqiijinayso, isticmaal qorshe la ansixiyay oo ka hortimid qalabkaaga ugu dambeeya iyo meel aan waxyeello lahayn. Soo-saaridda weerarka ka hortimid isticmaalayaasha kale ee shabakad wadaag ah ma aha tijaabo, damiidda xaqiijinta asaagga ama sireedka abka si loo fududeeyo indho-indhaynta waxa ay meesha ka saaraysaa difaaca aad isku dayaysay in aad cabbirto.

Ugu dambayntii, hay difaaca heerka abka sawirka dhexdiisa. Ka-reeb dariiq ayaa soo bandhigi kara taraafik uu tunnel-ku qaadi lahaa, iyo TLS-ka abka ayaa wali difaacaya taraafikkaas min dhinac ilaa dhinac. Labada lakab si madax-bannaan ayay u guuldarraystaan, sidaas darteed kanaalka xakamaynta oo xiran ma aha caddayn in qulqul kastaa uu qaaday dariiqa loogu talagalay.