Maaari Bang Ipadala ng mga Ruta ng DHCP ang Trapiko Mo sa Paligid ng VPN Tunnel?

Nagsisimula ang encryption sa isang hangganan, at ang hangganang iyon ay isang desisyon sa pagruruta na ginagawa ng endpoint bago pa ma-encapsulate ang anumang packet. Ang network na hindi kailanman nakikita ang mga susi mo ay maaari pa ring magbigay sa makina mo ng rutang mas gusto nito kaysa sa sarili ng tunnel. Dalawang pagkabigo ang napagkakamalan dito: pagbasa ng packet na nasa loob na ng tunnel, at paglihis ng packet na hindi kailanman inilagay doon.

Mahalaga ang pagkakaiba dahil ang ikalawang pagkabigo ay mas mura ayusin at mas madaling makaligtaan. Lumilitaw ito bilang isang kahilingang lumabas sa maling interface habang nag-uulat pa rin ang kliyente ng malusog na koneksyon.

Dalawang Paraan na Maaaring Makaapekto sa Iyo ang Isang Network

Ang packet na nakarating sa tunnel ay may payload na nakatago mula sa bawat hop na dinadaanan nito, at nananatili ang proteksyong iyon kahit magulat ka ang daanan. Ang packet na hindi kailanman nakarating sa tunnel ay ordinaryong kahilingan mula sa address mo, ipinadala kung saan itinuro ng talahanayan ng ruta. Ang unang pagkabigo ay nangangailangan ng sirang cipher o kompromisadong kapareha, samantalang ang pangalawa ay nangangailangan lamang ng mensahe ng configuration na pinili ng makina mong pagkatiwalaan. Ang kawalan ng simetryang iyon ang dahilan kung bakit ang kalahati ng pagruruta ay karapat-dapat sa sarili nitong pagsusuri.

Hindi kailangan ng kagamitan sa daanan ang mga susi mo para maimpluwensyahan ang ikalawang kaso. Kailangan lang nito na tanggapin ng endpoint mo ang isang ruta, isang resolver o isang patakaran sa polisiya na gumagawa ng isa.

expected:  app -> tunnel device -> encapsulation -> internet
observed:  app -> wlan0        -> plaintext     -> internet

Saan Maaaring Manggalin ang Isang Ruta Bago Pa Umuniral ang Tunnel

Higit pa sa upa ng address ang ibinibigay ng DHCP. Ang opsyon ng classless static route ay maaaring magdala ng mga prefix ng destinasyon at susunod na hop, at RFC 3442 tinatalakay ang mga kahihinatnan sa seguridad ng maling address ng router: trapikong nailihis, pagtanggi sa serbisyo, o isang tagamasid na nakaupo sa daanan. Ang kliyenteng tumatanggap ng mga rutang iyon bago umangat ang tunnel ay maaaring mauwi sa isang ginustong daan na walang kinalaman sa provider mo.

Wala sa mga iyon ang gumagawang pangkalahatan ang pag-inject ng ruta. Kailangang tanggapin ng kliyente ang opsyon, kailangang masaklaw ng prefix ang trapikong mahalaga sa iyo, kailangang maabot ang piniling susunod na hop, at kailangang payagan ng patakaran sa pagpapatupad na lumabas ang packet sa daang iyon. Alisin ang alinman sa mga iyon at ang parehong tugon ay walang pinsala. Iyon din ang dahilan kung bakit ang dalawang makina sa isang network ay maaaring magkaiba ang ugali, dahil hindi sila nagpapatakbo ng parehong kliyente, parehong patakaran, o kahit parehong pamilya ng address.

Karapat-dapat ang IPv6 sa sarili nitong pagsusuri, dahil ang mga anunsyo ng router ay nagdadala ng default na ruta sa ibang code kaysa sa opsyon ng DHCPv4. Ang pagsubok na sinusuri lamang ang talahanayan ng v4 ay hindi pa iyon nasasaklaw.

Suriin ang Daang Aktuwal na Pinipili ng Kernel

Nasasagot ang mga paghahanap ng ruta, kaya tanungin sila sa halip na maghinuha mula sa ilaw ng estado. Ipinapakita ng mga utos sa ibaba ang piniling ruta at pinagmulan para sa isang destinasyon, kasama ang mga patakarang maaaring mangibabaw sa pangunahing talahanayan. Patakbuhin ang mga ito habang konektado at muli pagkatapos ng muling pagkonekta, dahil maaaring baguhin ng pag-renew ng upa ang sagot.

ip route get 203.0.113.10
ip route show table all | grep -E '^(default|203\.0\.113)'
ip rule show
resolvectl query example.com

Basahin ang output para sa dalawang bagay: ang interface na pinangalanan sa ruta at ang piniling source address. Ang ruta ng tunnel ay nagpangalan sa aparato ng tunnel, ang tumagas na ruta ay nagpangalan sa pisikal, at nakikita ang pagkakaiba nang walang ide-decrypt. Kung nagbabago ang sagot sa pagitan ng mga pagtakbo, itago ang parehong output at ihambing ang mga patakarang gumawa nito.

Huwag tumigil sa default na ruta. Ang eksepsiyon ng app, prefix ng split tunnel, o ikalawang patakaran sa polisiya ay maaaring magdala ng partikular na destinasyon sa paligid ng tunnel habang ang default ay patuloy na nakaturo papasok.

Magpasya Kung Saan Dapat Manirahan ang Pagpapatupad

Tatlong kondisyon ang nagpapasya kung sapat ang pagpapatupad sa panig ng kliyente o kailangan mo ng isang bagay sa labas nito. Kung ini-install at ipinagtatanggol ng kliyente ang mga ruta para sa bawat pamilya ng address na ginagamit mo, karaniwang sapat ang tunnel na nagmamay-ari ng default. Kung kailangang maabot ng makina ang mga lokal na mapagkukunan habang nananatili sa tunnel ang lahat ng iba pa, kailangang ilista ang mga eksepsiyong iyon at panagutan sa halip na ipaubaya sa kung ano ang inanunsyo ng access network. At kung kayang ikabit ng platform ang trapiko sa isang interface bawat app, mas malakas na garantiya ang pagkakabit na iyon kaysa sa rutang maaaring mangibabaw ng kahit ano.

Anuman ang piliin mo, isulat ang desisyon kung saan nakatira ang configuration. Ang patakarang umiiral dahil may nag-type nito habang may insidente ay hindi makakaligtas sa susunod na reboot, kaya panatilihing makitid ang mga lokal at bootstrap na eksepsiyon at itala kung bakit umiiral ang bawat isa.

Patakbuhin muli ang mga utos ng paghahanap pagkatapos ng bawat pag-upgrade ng kliyente at bawat pagbabago sa network, at ihambing sa huling naitalang output. Ang talahanayan ng ruta ang hangganan ng pagpapatupad, kaya ituring ito nang ganoon.