Njia ya blackhole dhidi ya kill switch ya VPN: kila moja hufanya nini
Njia ya blackhole hutupa trafiki inayolingana na hulazimisha njia iliyofungwa inaposhindwa. Linganisha wigo wake na sehemu zisizoonekana na kill switch inayotegemea uchujaji wa pakiti.
Pakiti inaondoka kwenye kompyuta ya mkononi, haifikii kamwe lango la VPN, na hakuna kihesabu cha firewall kinachosogea. Jedwali la njia tayari limeamua hatima ya pakiti: ingizo la blackhole liliendana nayo na kernel ilitupa kabla ya kiolesura chochote kuiona. Tabia hiyo ni muhimu wakati lengwa linapaswa kushindwa kwa hali iliyofungwa, lakini ni kitendo cha uelekezaji chenye wigo mwembamba. Kuichukulia kama kill switch kamili ndiko kunakokosea miundo.
Kitendo cha kutupa kinaendana na nini hasa
Utafutaji wa njia huchagua jedwali, kisha kiambishi awali kinacholingana kirefu zaidi ndani yake. Njia ya blackhole ni ingizo la kawaida ambalo kitendo chake ni kutupa, kwa hiyo huathiri tu pakiti ambazo zingechagua ingizo hilo baada ya uamuzi wote. Badilisha jedwali kwa kanuni ya sera, au ongeza kiambishi awali mahususi zaidi, na utupaji hautumiki tena.
Ndiyo sababu wigo wa blackhole ni sahihi na rahisi kutaja: hufunika kiambishi awali, kwenye jedwali, kwa familia hiyo ya anwani. Haufuniki lengwa ambalo jedwali lingine lingeshinda, na haufuniki IPv6 kwa sababu tu kiambishi awali cha IPv4 kinatupwa.
ip route get huonyesha uamuzi kabla ya kupeleka kitu chochote, ikiwa ni pamoja na jedwali na aina ya njia. Kusoma matokeo hayo ni haraka kuliko kukisia kutoka ombi lililoshindwa ni kanuni au kiambishi awali kipi kilifanya kazi.
Blackhole si sawa na unreachable au prohibit
Linux hutoa aina tatu za njia zinazofanana na utupaji, na zinatofautiana katika kile mtumaji anachoona. Blackhole huacha pakiti bila jibu, kwa hiyo mteja anaona muda kuisha. Njia ya unreachable hurudisha ujumbe wa ICMP unreachable, kwa hiyo muunganisho unashindwa haraka kwa hitilafu ya mwenyeji au mtandao. Njia ya prohibit hurudisha hitilafu ya marufuku ya kiutawala, ambayo iko karibu zaidi na kukataa sera kwa makusudi.
Chagua tabia unayotaka programu ionee. Utupaji wa kimya unafaa wakati hutaki kufichua sera, na hitilafu ya papo hapo ni bora wakati watumiaji wanahitaji kuelewa kwa nini lengwa halipatikani. Kuchanganya aina katika mtandao hutoa tiketi za msaada zinazoelezea sera moja kama hitilafu tatu tofauti.
Usidhani kila ingizo la utupaji linaweza kubadilishana unapotambua muunganisho. Maandishi ya hitilafu, muda na kunasa pakiti vinatofautiana, na aina ya njia kwenye jedwali inakuambia unayoiangalia. mwongozo wa ip-route huorodhesha aina na tabia zao za hitilafu.
Inalinganishwaje na kill switch
Kill switch ni uchujaji wa pakiti: kanuni ya firewall inayotupa trafiki ya nje ambayo ingetoka nje ya handaki. Njia ya blackhole ni uamuzi wa upelekaji uliofanywa mapema kwenye rafu. Zote mbili zinaweza kusimamisha trafiki, lakini zinaona vitu tofauti na hukosa kesi tofauti.
| Mechanism | What it blocks | What it misses | How failure looks |
|---|---|---|---|
| Blackhole route | Destinations matching the prefix and table | Other tables, other address families, traffic with a different route | Silent timeout |
| Firewall kill switch | Egress not bound to the tunnel interface | Rules that are too broad can break the endpoint or DHCP | Dropped packets with counters |
| WireGuard AllowedIPs | Destinations not routed into the interface | Traffic that never enters the interface at all | No tunnel route, direct egress |
Ufunikaji ndiko kunakopendeza kulinganisha. Firewall inaweza kuendana na mmiliki, bandari au kiolesura na kuzuia programu huku kituo cha mwisho kikibaki kufikiwa; njia haiwezi. Kinyume chake, njia inaweza kutuma kiambishi awali kizima kwenye utupaji bila kichujio chochote cha pakiti kupakiwa, jambo ambalo ni muhimu kwenye mfumo mdogo.
AllowedIPs ya WireGuard ni uelekezaji wa ufunguo wa kriptografia, si firewall. Huamua ni viambishi awali vipi vya lengwa vinavyokubaliwa kwenye kiolesura, na wasifu unaoorodhesha tu subneti ya handaki huacha maeneo mengine kwenye njia ya kawaida ya chaguo-msingi. Ndiyo sababu wasifu wa handaki kamili hutumia 0.0.0.0/0 na ndiyo sababu wg-quick pia husakinisha kanuni za firewall inapoweza.
Weka kituo cha mwisho cha handaki nje ya utupaji
Anwani ya nje ya kituo cha mwisho lazima ibaki kufikiwa kupitia kiolesura cha kimwili. Utupaji unaonasa pia anwani hiyo huzuia kupeana mkono kutoka, na handaki haliinuki kamwe, jambo ambalo linaonekana kama hitilafu ya VPN badala ya sera ya uelekezaji. Angalia njia kuelekea kituo cha mwisho kabla na baada ya mabadiliko.
Ufikiaji wa usimamizi ni sehemu ya mapitio hayo hayo. Ikiwa njia pekee kuelekea kipanga njia au mteja ni handaki, utupaji mpana mno unaweza kukufungia nje ya mashine ambayo ingekuruhusu kuiondoa. Weka njia ya nje ya bendi iliyoandikwa, konsoli au urejeshaji wa muda.
IPv6 inahitaji ingizo lake na mapitio yake. Muundo unaotupa IPv4 kwenye blackhole huku ukiacha IPv6 kwenye njia ya chaguo-msingi huvujisha trafiki ambayo sera ilikusudia kuizuia, na hitilafu haionekani katika jaribio la IPv4 pekee.
Ianzishe kwa hatua kwa kutumia kipima muda na urejeshaji
Tumia njia kwa uondoaji wa kiotomatiki mfupi ili hitilafu isidumu baada ya kuwasha upya. Amri zilizo hapa chini hutumia masafa ya nyaraka; badilisha na kiambishi awali ambacho muundo wako hutupa kweli:
sudo ip route replace blackhole 10.0.0.0/8
ip route get 10.1.2.3
sudo systemd-run --on-active=60 /sbin/ip route del blackhole 10.0.0.0/8Amri ya pili inapaswa kuripoti njia ya blackhole na jedwali ilikotoka. Ya tatu hupanga uondoaji baada ya dakika moja, ambayo ni muda wa kutosha kuthibitisha sera na mfupi wa kutosha kupona kutokana na hitilafu kwenye mwenyeji wa mbali. Baada ya tabia kuthibitishwa, fanya ingizo kuwa la kudumu kupitia usimamizi huo huo wa usanidi unaomiliki njia nyingine.
Funga mabadiliko kwa kurekodi kiambishi awali, jedwali, familia ya anwani na mbinu ya urejeshaji. Utupaji ni ubaguzi wa makusudi katika muundo wa uelekezaji, na mhandisi anayefuata anahitaji kujua trafiki ipi iliikusudiwa kuzuia kabla ya kuamua ikiwa bado inafaa hapo.