DHCP marshrutlari trafikingizni VPN tunnelidan chetlab o'tkaza oladimi?

Shifrlash bir chegarada boshlanadi va bu chegara har qanday paket inkapsulyatsiya qilinishidan oldin oxirgi nuqta qabul qiladigan marshrutlash qaroridir. Kalitlaringizni hech qachon ko'rmaydigan tarmoq ham mashinangizga tunnelning o'z marshrutidan ko'ra o'ziga yoqqanroq marshrutni bera oladi. Bu yerda ikki nosozlik aralashtiriladi: tunnel ichida allaqachon turgan paketni o'qish va u yerga hech qachon qo'yilmagan paketni yo'naltirish.

Bu farq muhim, chunki ikkinchi nosozlikni tashkil etish arzonroq va uni o'tkazib yuborish ancha oson. U mijozi hali ham sog'lom ulanish haqida xabar berayotganda noto'g'ri interfeysdan chiqqan so'rov sifatida namoyon bo'ladi.

Tarmoq sizga ta'sir qilishining ikki yo'li

Tunnelga yetib boradigan paketning yuki u bosib o'tadigan har bir sakrashdan yashirilgan bo'ladi va yo'l sizni hayratlantirsa ham bu himoya saqlanadi. Tunnelga hech qachon yetib bormaydigan paket manzilingizdan chiqqan oddiy so'rov bo'lib, marshrut jadvali ko'rsatgan joyga yuboriladi. Birinchi nosozlik buzilgan shifr yoki buzg'unchi sherikni talab qilsa, ikkinchisi faqat mashinangiz ishonishni tanlagan konfiguratsiya xabarini talab qiladi. Aynan shu assimetriya tufayli marshrutlash yarmi alohida ko'rikdan o'tishi kerak.

Yo'ldagi uskuna ikkinchi holatga ta'sir qilish uchun kalitlaringizga muhtoj emas. Unga faqat oxirgi nuqtangiz marshrut, rezolver yoki shunday narsa hosil qiladigan siyosat qoidasini qabul qilishi kerak.

expected:  app -> tunnel device -> encapsulation -> internet
observed:  app -> wlan0        -> plaintext     -> internet

Tunnel paydo bo'lishidan oldin marshrut qayerdan kelishi mumkin

DHCP manzil ijarasidan ko'proq narsa beradi. Klassiz statik marshrut opsiyasi manzil prefikslari va keyingi sakrashlarni olib yurishi mumkin va RFC 3442 noto'g'ri router manzilining xavfsizlik oqibatlarini muhokama qiladi: noto'g'ri yo'naltirilgan trafik, xizmatdan bosh tortish yoki yo'lda o'tirgan kuzatuvchi. Tunnel ko'tarilishidan oldin bu marshrutlarni qabul qiladigan mijoz provayderingiz bilan hech qanday aloqasi bo'lmagan afzal yo'lga tushib qolishi mumkin.

Bularning hech biri marshrut kiritishni universal qilmaydi. Mijoz opsiyani qabul qilishi, prefiks siz uchun muhim trafikni qamrab olishi, tanlangan keyingi sakrash yetib boriladigan bo'lishi va ijro siyosati paketning shu yo'ldan chiqishiga ruxsat berishi kerak. Shulardan birini olib tashlang, o'sha javob zararsiz bo'ladi. Bir tarmoqdagi ikki mashina turlicha yo'l tutishining sababi ham shu, chunki ular bir xil mijoz, bir xil siyosat yoki hatto bir xil manzil oilasini ishlatmayapti.

IPv6 alohida ko'rikka loyiq, chunki router e'lonlari standart marshrutni DHCPv4 opsiyasidan boshqa kod orqali olib yuradi. Faqat v4 jadvalini tekshiradigan sinov buni qamrab olmaydi.

Yadro haqiqatan tanlaydigan yo'lni tekshiring

Marshrut so'rovlariga javob berish mumkin, shuning uchun holat chiroqidan taxmin qilish o'rniga ulardan so'rang. Quyidagi buyruqlar bitta manzil uchun tanlangan marshrut va manbani, shuningdek asosiy jadvalni bekor qilishi mumkin bo'lgan qoidalarni ko'rsatadi. Ularni ulangan holatda va qayta ulangandan keyin yana ishga tushiring, chunki ijara yangilanishi javobni o'zgartirishi mumkin.

ip route get 203.0.113.10
ip route show table all | grep -E '^(default|203\.0\.113)'
ip rule show
resolvectl query example.com

Natijani ikki narsa uchun o'qing: marshrutda nomlangan interfeys va tanlangan manba manzili. Tunnel marshruti tunnel qurilmasini, oqib chiqqan marshrut jismoniy qurilmani nomlaydi va farq hech narsani shifrdan chiqarmasdan ko'rinadi. Agar javob ishga tushirishlar orasida o'zgarsa, ikkala natijani saqlang va ularni keltirib chiqargan qoidalarni solishtiring.

Standart marshrutda to'xtamang. Ilova istisnosi, bo'lingan tunnel prefiksi yoki ikkinchi siyosat qoidasi standart hali ichkariga qaratib turganda muayyan manzilni tunneldan chetlab o'tkazishi mumkin.

Ijro qayerda bo'lishi kerakligini hal qiling

Mijoz tomonidagi ijro yetarlimi yoki undan tashqarida narsa kerakmi, buni uch shart hal qiladi. Agar mijoz siz ishlatadigan har bir manzil oilasi uchun marshrutlarni o'rnatsa va himoya qilsa, standartga ega tunnel odatda yetarli. Agar mashina mahalliy resurslarga yetishi kerak bo'lsa-da, qolgan hamma narsa tunnelda qolsa, bu istisnolar kirish tarmog'i e'lon qilgan narsaga tashlab qo'yilmasdan, sanab chiqilishi va mas'uliyat olinishi kerak. Va agar platforma trafikni har bir ilova bo'yicha interfeysga bog'lay olsa, bu bog'lanish har qanday narsa bekor qilishi mumkin bo'lgan marshrutdan kuchliroq kafolatdir.

Nimani tanlamang, qarorni konfiguratsiya yashaydigan joyga yozing. Voqea paytida kimdir yozgani uchun mavjud bo'lgan qoida keyingi qayta yuklashgacha yashamaydi, shuning uchun mahalliy va yuklash istisnolarini tor saqlang va har biri nima uchun borligini yozib qo'ying.

Har bir mijoz yangilanishi va har bir tarmoq o'zgarishidan keyin qidiruv buyruqlarini qayta ishga tushiring va oxirgi qayd etilgan natija bilan solishtiring. Marshrut jadvali ijro chegarasidir, shuning uchun unga shunday munosabatda bo'ling.