A mund t'i dërgojnë rrugët DHCP trafikun tuaj përreth tunelit VPN?

Enkriptimi fillon në një kufi, dhe ai kufi është një vendim rrugëtimi që pika fundore merr përpara se çdo paketë të inkapsulohet. Një rrjet që nuk i shikon kurrë çelësat tuaj mund t'i japë gjithsesi makinës tuaj një rrugë që i pëlqen më shumë se ajo e tunelit. Këtu ngatërrohen dy dështime: leximi i një pakete që është tashmë brenda tunelit, dhe drejtimi i një pakete që nuk u vendos kurrë atje.

Dallimi ka rëndësi sepse dështimi i dytë është më i lirë për t'u organizuar dhe shumë më i lehtë për t'u anashkaluar. Shfaqet si një kërkesë që doli nga ndërfaqja e gabuar ndërsa klienti ende raportonte një lidhje të shëndetshme.

Dy mënyra se si një rrjet mund t'ju prekë

Një paketë që arrin në tunel e ka ngarkesën e fshehur nga çdo hop që kalon, dhe ajo mbrojtje qëndron edhe kur rruga ju surprizon. Një paketë që nuk arrin kurrë në tunel është një kërkesë e zakonshme nga adresa juaj, e dërguar atje ku tregonte tabela e rrugëve. Dështimi i parë kërkon një shifër të thyer ose një palë të komprometuar, ndërsa i dyti kërkon vetëm një mesazh konfigurimi që makina juaj zgjodhi t'i besojë. Kjo asimetri është arsyeja pse gjysma e rrugëtimit meriton një shqyrtim të vetin.

Pajisjet në rrugë nuk kanë nevojë për çelësat tuaj për të ndikuar në rastin e dytë. Atyre u duhet vetëm që pika juaj fundore të pranojë një rrugë, një zgjidhës ose një rregull politike që prodhon një të tillë.

expected:  app -> tunnel device -> encapsulation -> internet
observed:  app -> wlan0        -> plaintext     -> internet

Nga mund të vijë një rrugë para se tuneli të ekzistojë

DHCP shpërndan më shumë se një qira adrese. Opsioni i rrugëve statike pa klasë mund të mbajë prefikse destinacioni dhe hop-et e ardhshme, dhe RFC 3442 diskuton pasojat e sigurisë të një adrese të gabuar ruteri: trafik i drejtuar gabimisht, një mohim shërbimi ose një vëzhgues i vendosur në rrugë. Një klient që i pranon ato rrugë përpara se tuneli të ngrihet mund të përfundojë me një rrugë të preferuar që nuk ka asnjë lidhje me ofruesin tuaj.

Asgjë nga kjo nuk e bën injektimin e rrugëve universal. Klienti duhet ta pranojë opsionin, prefiksi duhet të mbulojë trafikun që ju intereson, hop-i i ardhshëm i zgjedhur duhet të jetë i arritshëm dhe politika e zbatimit duhet ta lejojë paketën të dalë në atë rrugë. Hiq cilindo prej këtyre dhe e njëjta përgjigje bëhet e padëmshme. Kjo është edhe arsyeja pse dy makina në të njëjtin rrjet mund të sillen ndryshe, sepse nuk ekzekutojnë të njëjtin klient, të njëjtën politikë apo edhe të njëjtën familje adresash.

IPv6 meriton një kalim të vetin, sepse shpalljet e ruterit mbajnë një rrugë të paracaktuar përmes kodit të ndryshëm nga opsioni DHCPv4. Një test që inspekton vetëm tabelën v4 nuk e mbulon atë.

Kontrolloni rrugën që kernel-i zgjedh në të vërtetë

Kërkimet e rrugëve mund të marrin përgjigje, ndaj pyesni ato në vend që të nxirrni përfundime nga një dritë statusi. Komandat më poshtë tregojnë rrugën dhe burimin e zgjedhur për një destinacion, plus rregullat që mund të anashkalojnë tabelën kryesore. Ekzekutoni ato ndërsa jeni i lidhur dhe përsëri pas një rilidhjeje, sepse rinovimi i qirasë mund ta ndryshojë përgjigjen.

ip route get 203.0.113.10
ip route show table all | grep -E '^(default|203\.0\.113)'
ip rule show
resolvectl query example.com

Lexoni daljen për dy gjëra: ndërfaqen e emërtuar në rrugë dhe adresën burimore të zgjedhur. Një rrugë tuneli emërton pajisjen e tunelit, një rrugë e rrjedhur emërton atë fizike, dhe dallimi duket pa deshifruar asgjë. Nëse përgjigja ndryshon midis ekzekutimeve, ruani të dyja daljet dhe krahasoni rregullat që i prodhuan.

Mos u ndalni te rruga e paracaktuar. Një përjashtim aplikacioni, një prefiks tuneli të ndarë ose një rregull i dytë politike mund të çojnë një destinacion të caktuar përreth tunelit ndërsa e paracaktuara vazhdon të tregojë brenda.

Vendosni ku duhet të jetë zbatimi

Tre kushte vendosin nëse zbatimi në anën e klientit mjafton ose nëse ju nevojitet diçka jashtë tij. Nëse klienti instalon dhe mbron rrugë për çdo familje adresash që përdorni, një tunel që zotëron rrugën e paracaktuar zakonisht mjafton. Nëse makina duhet të arrijë burime lokale ndërsa gjithçka tjetër mbetet brenda tunelit, ato përjashtime duhet të numërohen dhe të merren përsipër, jo të lihen asaj që reklamoi rrjeti i aksesit. Dhe nëse platforma mund ta lidhë trafikun me një ndërfaqe për çdo aplikacion, ajo lidhje është garanci më e fortë se një rrugë që çdo gjë mund ta anashkalojë.

Çfarëdo që të zgjidhni, shkruajeni vendimin atje ku jeton konfigurimi. Një rregull që ekziston sepse dikush e shtypi gjatë një incidenti nuk do t'i mbijetojë rinisjes tjetër, ndaj mbajini përjashtimet lokale dhe të nisjes të ngushta dhe shënoni pse ekziston secili.

Riekzekutoni komandat e kërkimit pas çdo përditësimi të klientit dhe çdo ndryshimi rrjeti, dhe krahasoni me daljen e fundit të regjistruar. Tabela e rrugëve është kufiri i zbatimit, ndaj trajtojeni si të tillë.