DHCP Rotaları Trafiğinizi VPN Tünelinin Etrafından Gönderebilir mi?

Şifreleme bir sınırda başlar ve o sınır, herhangi bir paket kapsüllenmeden önce uç noktanın verdiği bir yönlendirme kararıdır. Anahtarlarınızı hiç görmeyen bir ağ bile makinenize tünelin kendi rotasından daha çok hoşuna giden bir rota verebilir. Burada iki arıza karıştırılır: tünelin içinde zaten bulunan bir paketi okumak ve oraya hiç konmamış bir paketi yönlendirmek.

Bu ayrım önemlidir çünkü ikinci arıza kurulması daha ucuz ve gözden kaçırılması çok daha kolaydır. İstemci hâlâ sağlıklı bir bağlantı bildirirken yanlış arayüzden çıkan bir istek olarak görünür.

Bir Ağın Sizi Etkileyebileceği İki Yol

Tünele ulaşan bir paketin yükü, geçtiği her atlama noktasından gizlenir ve yol sizi şaşırtsa bile bu koruma sürer. Tünele hiç ulaşmayan paket, adresinizden çıkan sıradan bir istektir ve rota tablosunun gösterdiği yere gönderilir. İlk arıza kırık bir şifre veya ele geçirilmiş bir eş gerektirirken ikincisi yalnızca makinenizin güvenmeyi seçtiği bir yapılandırma iletisi gerektirir. Bu asimetri, yönlendirme yarısının kendi incelemesini hak etmesinin nedenidir.

Yoldaki ekipmanın ikinci durumu etkilemek için anahtarlarınıza ihtiyacı yoktur. Uç noktanızın bir rota, bir çözümleyici veya bunu üreten bir ilke kuralını kabul etmesi yeterlidir.

expected:  app -> tunnel device -> encapsulation -> internet
observed:  app -> wlan0        -> plaintext     -> internet

Tünel Oluşmadan Önce Bir Rota Nereden Gelebilir

DHCP bir adres kirasından fazlasını dağıtır. Sınıfsız statik rota seçeneği hedef önekleri ve sonraki atlamaları taşıyabilir ve RFC 3442 yanlış yönlendirici adresinin güvenlik sonuçlarını ele alır: yanlış yöne giden trafik, hizmet reddi veya yol üzerinde oturan bir gözlemci. Bu rotaları tünel açılmadan önce kabul eden bir istemci, sağlayıcınızla hiçbir ilgisi olmayan tercih edilen bir yola düşebilir.

Bunların hiçbiri rota enjeksiyonunu evrensel yapmaz. İstemci seçeneği kabul etmelidir, önek önemsediğiniz trafiği kapsamalıdır, seçilen sonraki atlama erişilebilir olmalıdır ve uygulama ilkesi paketin o yoldan çıkmasına izin vermelidir. Bunlardan birini kaldırın, aynı yanıt zararsızdır. Aynı ağdaki iki makinenin farklı davranabilmesinin nedeni de budur, çünkü aynı istemciyi, aynı ilkeyi, hatta aynı adres ailesini çalıştırmıyorlardır.

IPv6 kendi turunu hak eder, çünkü yönlendirici duyuruları varsayılan rotayı DHCPv4 seçeneğinden farklı bir kodla taşır. Yalnızca v4 tablosunu inceleyen bir test bunu kapsamaz.

Çekirdeğin Gerçekte Seçtiği Yolu Kontrol Edin

Rota sorguları yanıtlanabilir, bu yüzden durum ışığından tahmin etmek yerine onlara sorun. Aşağıdaki komutlar bir hedef için seçilen rotayı ve kaynağı, ayrıca ana tabloyu geçersiz kılabilecek kuralları gösterir. Bağlıyken ve yeniden bağlandıktan sonra tekrar çalıştırın, çünkü kira yenilemesi yanıtı değiştirebilir.

ip route get 203.0.113.10
ip route show table all | grep -E '^(default|203\.0\.113)'
ip rule show
resolvectl query example.com

Çıktıyı iki şey için okuyun: rotada adı geçen arayüz ve seçilen kaynak adresi. Tünel rotası tünel aygıtını, sızmış rota fiziksel olanı adlandırır ve fark hiçbir şeyin şifresi çözülmeden görülür. Yanıt çalıştırmalar arasında değişiyorsa iki çıktıyı da saklayın ve bunları üreten kuralları karşılaştırın.

Varsayılan rotada durmayın. Bir uygulama istisnası, bölünmüş tünel öneki veya ikinci bir ilke kuralı, varsayılan hâlâ içeri işaret ederken belirli bir hedefi tünelin etrafından taşıyabilir.

Uygulamanın Nerede Yaşaması Gerektiğine Karar Verin

İstemci tarafındaki uygulamanın yeterli olup olmadığına ya da dışında bir şeye ihtiyacınız olup olmadığına üç koşul karar verir. İstemci kullandığınız her adres ailesi için rota kuruyor ve savunuyorsa, varsayılana sahip bir tünel genellikle yeterlidir. Makine yerel kaynaklara erişirken diğer her şey tünelde kalacaksa, bu istisnalar erişim ağının duyurduğuna bırakılmak yerine listelenmeli ve sahiplenilmelidir. Platform trafiği uygulama başına bir arayüze bağlayabiliyorsa, bu bağ herhangi bir şeyin geçersiz kılabileceği bir rotadan daha güçlü bir güvencedir.

Hangisini seçerseniz seçin, kararı yapılandırmanın yaşadığı yere yazın. Bir olay sırasında birinin yazdığı için var olan bir kural sonraki yeniden başlatmayı atlatmaz, bu yüzden yerel ve önyükleme istisnalarını dar tutun ve her birinin neden var olduğunu kaydedin.

Her istemci yükseltmesinden ve her ağ değişikliğinden sonra sorgu komutlarını yeniden çalıştırın ve son kaydedilen çıktıyla karşılaştırın. Rota tablosu uygulama sınırıdır, bu yüzden ona öyle davranın.