TunnelCrack va TunnelVision: har biri aslida nimani buzadi

Tunnelni tark etuvchi har qanday VPN trafigi uchun ikki tadqiqot nomi bir-birining o'rnida ishlatiladi, ammo ularning ortidagi mexanizmlar bir xil emas. TunnelCrack marshrutlash istisnolarining ikki oilasini tasvirlaydi; TunnelVision DHCP tomonidan oxirgi qurilmaga beriladigan yo'lni tasvirlaydi. Ikkalasi ham shifrlashni buzmaydi va ikkalasi ham bugun ma'lum mijoz yig'indisi nima qilishini aytmaydi. Besh tekshiruv mexanizmlarni sarlavhadan ajratadi.

Birinchi qadam: tekshirayotgan mexanizmni nomlang

2023-yil avgustidagi TunnelCrack oshkorasi ikki hujum oilasini tasvirlaydi. Mahalliy tarmoq holatida mijoz mahalliy tarmoqqa tegishli deb hisoblaydigan trafik mahalliy kirish istisnosini oladi va tunneldan chiqadi. Server manzili holatida mijozga VPN serverining o'ziga yetish uchun kerak bo'lgan yo'l tunneldan tashqarida bo'ladi va bu manzilni boshqaradigan raqib istisnodan foydalanishi mumkin.

TunnelVision DHCP taqdim etadigan sinfsiz statik yo'llar haqidagi alohida hisobotdir. Zararli DHCP server oxirgi qurilmaga trafik yo'nalishini o'zgartiradigan yo'llar berishi mumkin, jumladan VPN serveriga qarab yo'l ham. Hisobot bog'liq marshrutlash ta'sirlari haqidagi avvalgi ishni tan oladi, bu esa asosiy mexanizm nomdan eskiroq ekanini eslatadi.

Nomlarni o'z mexanizmlariga bog'lab turing. Ikkinchisi yangiliklarda bo'lgani uchun birinchisiga tuzatish qo'llash — tekshiruv qamrovsiz harakat hosil qiladigan usul.

Ikkinchi qadam: mahalliy kirish istisnosiga qarang

Aksariyat mijozlar tunnel ishlab turganda printerlar, ekran uzatish va fayl almashish ishlashi uchun mahalliy tarmoq trafigini istisno qiladi. Bu istisno xavfsizlik xarajatiga ega siyosat qaroridir: xuddi shu tarmoqdagi raqib o'zini mahalliy xost sifatida ko'rsatishi mumkin va unga yetib boradigan trafik hech qachon tunnelga kirmagan.

Joylashtirilgan profilga bu istisno umuman kerakmi, so'rang. Mahalliy aniqlashdan hech qachon foydalanmaydigan masofaviy ishchi kuch uni ko'pincha o'chirib qo'yishi mumkin, qolgan mahalliy xizmatlarga esa hujjatlashtirilgan yo'l orqali yetish mumkin. Istisno zarur bo'lgan joyda uni mahalliy trafik deb ta'riflash o'rniga qaysi manzillarni qamrab olishini ayting.

Tekshiruv konfiguratsiya savoli, paket tutish emas. Joylashtirayotgan yig'indi uchun profil sozlamasi va mijoz hujjatlarini o'qing, chunki standart qiymat mahsulotlar orasida va bir mahsulotning versiyalari orasida farq qiladi. Javobni profil yoniga yozing, keyingi tekshiruvchi uni xulq-atvordan chiqarishga majbur bo'lmasin. Hech kim hujjatlashtirmagan istisno — hech kim tekshirmaydigan istisno.

Uchinchi qadam: server manzili qanday o'rganilishini ko'ring

Mijoz har qanday tunnel paydo bo'lishidan oldin VPN serveriga yetishi kerak, shuning uchun bu manzil dizayn bo'yicha tunneldan tashqariga marshrutlanadi. Agar manzil nomdan o'rganilsa, yechish bosqichi ishonch yo'lining qismi bo'ladi va bu so'rovga javob bera oladigan raqib mijozni o'zi boshqaradigan xostga yo'naltirishi mumkin.

Manzilni mahkamlash, to'g'ri nomli tasdiqlangan sertifikatdan foydalanish va tasdiqlanmagan serverga qaytishdan bosh tortish — bularning barchasi ta'sirni kamaytiradi. Hech biri tunneldan tashqarida serverga yetish zaruratini yo'qotmaydi; ular bu manzil uchun kim javob bera olishini o'zgartiradi.

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

Yo'l qidiruvi mijoz server manzili uchun ishlatadigan interfeysni ko'rsatadi va bu istisnoning konkret shaklidir. Agar bu qidiruv tunnel interfeysini qaytarsa, mijoz tunnelni umuman o'rnata olmaydi, shuning uchun tashqi yo'l kutiladi va savol faqat uning manzili qanday tanlanishida.

To'rtinchi qadam: DHCP beradigan yo'llarga qarang

Sinfsiz statik yo'llar DHCP serveriga marshrutlash jadvali yozuvlarini tarqatishga imkon beradi va oxirgi qurilma ularni odatda so'ramasdan qabul qiladi. Raqib qonuniy serverdan tezroq DHCP ga javob bera oladigan tarmoqda bu yozuvlar foydalanuvchi tunnel ichida deb o'ylagan trafikni boshqa tomonga burishi mumkin.

Oxirgi qurilmadagi yo'llarni siz kutgan yo'llar bilan solishtiring. Tunnel ishlab turganda mahalliy shlyuzga ishora qiluvchi standart yo'l yoki keng prefiks tekshirishga arziydigan belgidir va u hech qanday hujum trafigisiz ko'rinadi.

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

Oxirgi sozlama ko'plab mijozlar va platformalar qandaydir shaklda taqdim etadigan oxirgi qurilma tomonidagi boshqaruvdir: tarmoq bergan yo'llarni e'tiborsiz qoldirish. Yo'llarni avtomatik qabul qilishni o'chirish — murosa, chunki u korporativ DHCP serveridan keladigan qonuniy bo'lingan marshrutlashni ham o'chiradi, shuning uchun buni global emas, tarmoq sinfi bo'yicha hal qiling.

Beshinchi qadam: xabarnomani joriy yig'indidan ajrating

E'lon qilingan hujum ma'lum vaqtda ma'lum mijoz versiyalarida kuzatilgan xulq-atvorni tasvirlaydi. U sizning oldingizdagi noutbuk zararlanganini isbotlamaydi va u tuzatilganini ham isbotlamaydi. Ikkala da'vo ham haqiqiy yig'indi raqami va sotuvchining joriy xabarnomasini talab qiladi.

Mijoz versiyasi, platforma, yuqoridagi istisnolarni boshqaradigan profil sozlamalari va tekshirgan sanangizni yozib qo'ying. Bu yozuv halol tarzda eskiradi, VPN TunnelCrack uchun yamalgan degan eslatma esa halol eskiramaydi. Mijoz har yangilanganda uni qayta o'qing, chunki profil standarti siz tegmagan versiya ostida o'zgarishi mumkin.

Haqiqatan tekshirganda tasdiqlangan rejani o'z oxirgi qurilmangiz va zararsiz manzilga qarshi ishlating. Umumiy tarmoqdagi boshqa foydalanuvchilarga qarshi hujumni takrorlash sinov emas, kuzatishni osonlashtirish uchun tengdosh tekshiruvi yoki dastur shifrlashni o'chirish esa siz o'lchamoqchi bo'lgan himoyani olib tashlaydi.

Nihoyat, dastur darajasidagi himoyani rasmda saqlang. Marshrutlash istisnosi tunnel olib o'tgan bo'lardi degan trafikni ochib qo'yishi mumkin va dasturning TLS i hali ham bu trafikni uchdan-uchgacha himoya qiladi. Ikki qatlam mustaqil ravishda ishdan chiqadi, shuning uchun ulangan boshqaruv kanali har bir oqim ko'zda tutilgan yo'ldan ketganiga dalil emas.