பிளாக்ஹோல் வழி மற்றும் VPN கில் சுவிட்ச்: ஒவ்வொன்றும் என்ன செய்கிறது
பிளாக்ஹோல் வழி பொருந்தும் டிராஃபிக்கை நிராகரித்து தோல்வியில் மூடிய பாதையை வலியுறுத்துகிறது. அதன் வீச்சு மற்றும் குருட்டு இடங்களை பாக்கெட் வடிகட்டல் அடிப்படையிலான கில் சுவிட்சுடன் ஒப்பிடுங்கள்.
ஒரு பாக்கெட் மடிக்கணினியிலிருந்து வெளியேறுகிறது, VPN நுழைவாயிலை ஒருபோதும் அடையவில்லை, எந்த ஃபயர்வால் கவுண்டரும் அசையவில்லை. வழி அட்டவணை ஏற்கனவே பாக்கெட்டின் தலைவிதியை முடிவு செய்துவிட்டது: ஒரு பிளாக்ஹோல் பதிவு அதனுடன் பொருந்தியது, எந்த இடைமுகமும் அதைப் பார்க்கும் முன்பே கர்னல் அதை நிராகரித்தது. இலக்கு மூடிய நிலையில் தோல்வியடைய வேண்டியிருக்கும் போது இந்த நடத்தை பயனுள்ளது, ஆனால் இது குறுகிய வீச்சுடைய வழியமைப்புச் செயல். இதை முழுமையான கில் சுவிட்சாகக் கருதுவதே வடிவமைப்புகள் தவறும் இடம்.
நிராகரிப்பு செயல் உண்மையில் எதைப் பொருத்துகிறது
வழித் தேடல் ஒரு அட்டவணையைத் தேர்ந்தெடுத்து, பின்னர் அதற்குள் நீளமான பொருந்தும் முன்னொட்டை தேர்ந்தெடுக்கிறது. பிளாக்ஹோல் வழி என்பது செயல் நிராகரிப்பாக உள்ள சாதாரண பதிவு, எனவே முழு முடிவுக்குப் பிறகு அந்தப் பதிவைத் தேர்ந்தெடுத்திருக்கும் பாக்கெட்டுகளை மட்டுமே பாதிக்கிறது. கொள்கை விதியால் அட்டவணையை மாற்றுங்கள், அல்லது மேலும் குறிப்பிட்ட முன்னொட்டைச் சேர்க்கவும், நிராகரிப்பு இனி பொருந்தாது.
எனவே பிளாக்ஹோலின் வீச்சு துல்லியமானது மற்றும் சொல்வது எளிது: அது முன்னொட்டை, அட்டவணையில், அந்த முகவரி குடும்பத்திற்காக உள்ளடக்குகிறது. வேறு அட்டவணை வெல்லும் இலக்கை அது உள்ளடக்காது, IPv4 முன்னொட்டு நிராகரிக்கப்படுவதால் மட்டும் IPv6 ஐ உள்ளடக்காது.
ip route get எதையும் வரிசைப்படுத்தும் முன் முடிவைக் காட்டுகிறது, அட்டவணை மற்றும் வழி வகை உட்பட. அந்த வெளியீட்டைப் படிப்பது தோல்வியடைந்த கோரிக்கையிலிருந்து எந்த விதி அல்லது முன்னொட்டு செயல்பட்டது என ஊகிப்பதை விட வேகமானது.
பிளாக்ஹோல் unreachable அல்லது prohibit போலல்ல
Linux நிராகரிப்பைப் போன்ற மூன்று வழி வகைகளை வழங்குகிறது, அவை அனுப்புநர் எதைக் கவனிக்கிறார் என்பதில் வேறுபடுகின்றன. பிளாக்ஹோல் பாக்கெட்டை பதிலின்றி விடுகிறது, எனவே கிளையண்ட் நேரம் முடிந்ததைக் காண்கிறது. unreachable வழி ICMP unreachable செய்தியைத் திருப்பித் தருகிறது, எனவே இணைப்பு ஹோஸ்ட் அல்லது நெட்வொர்க் பிழையுடன் விரைவாகத் தோல்வியடைகிறது. prohibit வழி நிர்வாகத் தடை பிழையைத் திருப்பித் தருகிறது, இது வேண்டுமென்றே கொள்கை மறுப்புக்கு நெருக்கமானது.
பயன்பாடு காண வேண்டிய நடத்தையைத் தேர்ந்தெடுங்கள். கொள்கையை வெளிப்படுத்த விரும்பாதபோது அமைதியான நிராகரிப்பு பொருத்தமானது, இலக்கு ஏன் கிடைக்கவில்லை என்பதைப் பயனர்கள் புரிந்து கொள்ள வேண்டியபோது உடனடி பிழை சிறந்தது. நெட்வொர்க் முழுவதும் வகைகளைக் கலப்பது ஒரே கொள்கையை மூன்று வெவ்வேறு பழுதுகளாக விவரிக்கும் ஆதரவு டிக்கெட்டுகளை உருவாக்குகிறது.
இணைப்பைக் கண்டறியும்போது ஒவ்வொரு நிராகரிப்பு பதிவும் மாற்றக்கூடியது எனக் கருத வேண்டாம். பிழை உரை, நேரம் மற்றும் பாக்கெட் பிடிப்பு வேறுபடுகின்றன, அட்டவணையில் உள்ள வழி வகை நீங்கள் எதைப் பார்க்கிறீர்கள் எனக் கூறுகிறது. ip-route கையேடு வகைகளையும் அவற்றின் பிழை நடத்தையையும் பட்டியலிடுகிறது.
கில் சுவிட்சுடன் அது எவ்வாறு ஒப்பிடப்படுகிறது
கில் சுவிட்ச் என்பது பாக்கெட் வடிகட்டல்: சுரங்கப்பாதையின் வெளியே செல்லும் வெளிச்செல்லும் டிராஃபிக்கை நிராகரிக்கும் ஃபயர்வால் விதி. பிளாக்ஹோல் வழி என்பது ஸ்டேக்கில் முன்பே எடுக்கப்படும் அனுப்பீட்டு முடிவு. இரண்டும் டிராஃபிக்கை நிறுத்த முடியும், ஆனால் அவை வெவ்வேறு விஷயங்களைப் பார்க்கின்றன, வெவ்வேறு நிகழ்வுகளைத் தவறவிடுகின்றன.
| Mechanism | What it blocks | What it misses | How failure looks |
|---|---|---|---|
| Blackhole route | Destinations matching the prefix and table | Other tables, other address families, traffic with a different route | Silent timeout |
| Firewall kill switch | Egress not bound to the tunnel interface | Rules that are too broad can break the endpoint or DHCP | Dropped packets with counters |
| WireGuard AllowedIPs | Destinations not routed into the interface | Traffic that never enters the interface at all | No tunnel route, direct egress |
ஒப்பீடு முக்கியமானது வீச்சில் தான். ஃபயர்வால் உரிமையாளர், போர்ட் அல்லது இடைமுகத்தைப் பொருத்தி, முனை அணுகக்கூடியதாக இருக்கும்போது பயன்பாட்டைத் தடுக்க முடியும்; வழியால் முடியாது. மாறாக, வழி எந்தப் பாக்கெட் வடிகட்டியும் ஏற்றப்படாமல் முழு முன்னொட்டையும் நிராகரிப்புக்கு அனுப்ப முடியும், இது மிகச் சிறிய அமைப்பில் பயனுள்ளது.
WireGuard இன் AllowedIPs என்பது குறியாக்க விசை வழியமைப்பு, ஃபயர்வால் அல்ல. எந்த இலக்கு முன்னொட்டுகள் இடைமுகத்தில் ஏற்கப்படுகின்றன என்பதை அது தீர்மானிக்கிறது, சுரங்கப்பாதை துணைநெட்வொர்க்கை மட்டும் பட்டியலிடும் சுயவிவரம் மற்ற இலக்குகளை சாதாரண இயல்புநிலை வழிக்கு விட்டுவிடுகிறது. அதனால்தான் முழு சுரங்கப்பாதை சுயவிவரங்கள் 0.0.0.0/0 பயன்படுத்துகின்றன, அதனால்தான் wg-quick முடிந்தால் ஃபயர்வால் விதிகளையும் நிறுவுகிறது.
சுரங்கப்பாதை முனையை நிராகரிப்புக்கு வெளியே வைத்திருங்கள்
முனையின் வெளிப்புற முகவரி இயற்பியல் இடைமுகம் வழியாக அணுகக்கூடியதாக இருக்க வேண்டும். அந்த முகவரியையும் பிடிக்கும் நிராகரிப்பு கைகுலுக்கல் வெளியேறுவதைத் தடுக்கிறது, சுரங்கப்பாதை ஒருபோதும் எழாது, இது வழியமைப்புக் கொள்கையை விட VPN தோல்வி போலத் தெரிகிறது. மாற்றத்திற்கு முன்னும் பின்னும் முனைக்கான வழியைச் சரிபார்க்கவும்.
நிர்வாக அணுகலும் அதே மதிப்பாய்வில் அடங்கும். ரவுட்டர் அல்லது கிளையண்டுக்கான ஒரே பாதை சுரங்கப்பாதை என்றால், மிக அகலமான நிராகரிப்பு அதை அகற்ற அனுமதிக்கும் இயந்திரத்திலிருந்து உங்களைப் பூட்டி விடலாம். ஆவணப்படுத்தப்பட்ட வெளிப்புற பாதை, கன்சோல் அல்லது நேரம் கட்டுப்பட்ட மீளமைப்பை வைத்திருங்கள்.
IPv6 க்கு அதன் சொந்தப் பதிவும் அதன் சொந்த மதிப்பாய்வும் தேவை. IPv4 ஐ பிளாக்ஹோலுக்கு அனுப்பி IPv6 ஐ இயல்புநிலை வழியில் விடும் வடிவமைப்பு கொள்கை நிறுத்த நினைத்த டிராஃபிக்கையே கசக்கிறது, IPv4 மட்டும் கொண்ட சோதனையில் அந்தப் பிழை கண்ணுக்குத் தெரியாது.
டைமர் மற்றும் மீளமைப்புடன் படிப்படியாகச் செயல்படுத்துங்கள்
குறுகிய தானியங்கி அகற்றலுடன் வழியைப் பயன்படுத்துங்கள், பிழை மறுதொடக்கத்திற்குப் பிறகும் நீடிக்காது. கீழேயுள்ள கட்டளைகள் ஆவண வரம்பைப் பயன்படுத்துகின்றன; உங்கள் வடிவமைப்பு உண்மையில் நிராகரிக்கும் முன்னொட்டால் அதை மாற்றவும்:
sudo ip route replace blackhole 10.0.0.0/8
ip route get 10.1.2.3
sudo systemd-run --on-active=60 /sbin/ip route del blackhole 10.0.0.0/8இரண்டாவது கட்டளை பிளாக்ஹோல் வழியையும் அது வந்த அட்டவணையையும் தெரிவிக்க வேண்டும். மூன்றாவது ஒரு நிமிடத்தில் அகற்றலைத் திட்டமிடுகிறது, இது கொள்கையை உறுதிப்படுத்த போதுமான நேரம், தொலை ஹோஸ்ட்டில் பிழையிலிருந்து மீள போதுமான குறுகியது. நடத்தை உறுதிப்படுத்தப்பட்ட பிறகு, மற்ற வழிகளின் உரிமையாளரான அதே உள்ளமைவு மேலாண்மை மூலம் பதிவை நிரந்தரமாக்குங்கள்.
முன்னொட்டு, அட்டவணை, முகவரி குடும்பம் மற்றும் மீளமைப்பு முறையைப் பதிவு செய்து மாற்றத்தை மூடுங்கள். நிராகரிப்பு என்பது வழியமைப்பு வடிவமைப்பில் வேண்டுமென்றே செய்யப்பட்ட விதிவிலக்கு, அடுத்த பொறியாளர் அது இன்னும் பொருந்துமா என முடிவெடுக்கும் முன் எந்த டிராஃபிக்கை நிறுத்துவதற்காக அது இருந்தது என்பதை அறிய வேண்டும்.