ਕਮਜ਼ੋਰੀ ਜੋ VPN ਸੁਰੰਗਾਂ ਰਾਹੀਂ ਬਣੇ TCP ਕਨੈਕਸ਼ਨਾਂ ਨੂੰ ਹਾਈਜੈਕ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੀ ਹੈ

ਪ੍ਰਕਾਸ਼ਿਤ ਇੱਕ ਹਮਲਾ ਤਕਨੀਕ (CVE-2019-14899) ਜੋ ਪੈਕੇਟਾਂ ਨੂੰ VPN ਸੁਰੰਗਾਂ ਰਾਹੀਂ ਰੂਟ ਕੀਤੇ TCP ਕਨੈਕਸ਼ਨਾਂ ਵਿੱਚ ਧੋਖਾਧੜੀ, ਸੋਧ, ਜਾਂ ਪਾਉਣ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ। ਇਹ ਮੁੱਦਾ ਪ੍ਰਭਾਵਿਤ ਕਰਦਾ ਹੈ Linux, ਫ੍ਰੀਬੀਐਸਡੀ, ਓਪਨਬੀਐਸਡੀ, Android, macOS, iOS ਅਤੇ ਹੋਰ ਯੂਨਿਕਸ ਵਰਗੇ ਸਿਸਟਮ। Linux IPv4 ਲਈ rp_filter (ਰਿਵਰਸ ਪਾਥ ਫਿਲਟਰਿੰਗ) ਵਿਧੀ ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ, ਜੋ ਕਿ "ਸਖ਼ਤ" ਮੋਡ ਵਿੱਚ ਸਮਰੱਥ ਹੋਣ 'ਤੇ, ਇਸ ਸਮੱਸਿਆ ਨੂੰ ਬੇਅਸਰ ਕਰਦਾ ਹੈ।

ਇਹ ਵਿਧੀ ਇੱਕ ਏਨਕ੍ਰਿਪਟਡ ਸੁਰੰਗ ਦੇ ਅੰਦਰ TCP ਕਨੈਕਸ਼ਨ ਪੱਧਰ 'ਤੇ ਪੈਕੇਟ ਬਦਲ ਨੂੰ ਸਮਰੱਥ ਬਣਾਉਂਦੀ ਹੈ, ਪਰ ਉਹਨਾਂ ਕਨੈਕਸ਼ਨਾਂ ਨੂੰ ਰੋਕਣ ਦੀ ਆਗਿਆ ਨਹੀਂ ਦਿੰਦੀ ਜੋ ਵਾਧੂ ਏਨਕ੍ਰਿਪਸ਼ਨ ਲੇਅਰਾਂ (ਜਿਵੇਂ ਕਿ, TLS, HTTPS, SSH) ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ। VPN ਵਿੱਚ ਵਰਤੇ ਗਏ ਏਨਕ੍ਰਿਪਸ਼ਨ ਐਲਗੋਰਿਦਮ ਅਪ੍ਰਸੰਗਿਕ ਹਨ, ਕਿਉਂਕਿ ਜਾਅਲੀ ਪੈਕੇਟ ਬਾਹਰੀ ਇੰਟਰਫੇਸ ਤੋਂ ਆਉਂਦੇ ਹਨ ਅਤੇ VPN ਇੰਟਰਫੇਸ ਤੋਂ ਪੈਕੇਟਾਂ ਦੇ ਰੂਪ ਵਿੱਚ ਕਰਨਲ ਦੁਆਰਾ ਪ੍ਰਕਿਰਿਆ ਕੀਤੇ ਜਾਂਦੇ ਹਨ। ਹਮਲੇ ਦਾ ਸਭ ਤੋਂ ਸੰਭਾਵਿਤ ਨਿਸ਼ਾਨਾ ਅਣ-ਏਨਕ੍ਰਿਪਟਡ HTTP ਕਨੈਕਸ਼ਨਾਂ ਵਿੱਚ ਦਖਲਅੰਦਾਜ਼ੀ ਹੈ, ਪਰ ਬਾਹਰ ਨਹੀਂ ਰੱਖਿਆ ਗਿਆ ਅਤੇ DNS ਜਵਾਬਾਂ ਨੂੰ ਹੇਰਾਫੇਰੀ ਕਰਨ ਲਈ ਹਮਲੇ ਦੀ ਵਰਤੋਂ ਕਰਨਾ।

ਇਹਨਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਬਣਾਈਆਂ ਗਈਆਂ ਸੁਰੰਗਾਂ ਲਈ ਸਫਲ ਪੈਕੇਟ ਸਪੂਫਿੰਗ ਦਾ ਪ੍ਰਦਰਸ਼ਨ ਕੀਤਾ ਗਿਆ ਹੈ OpenVPN, WireGuard IKEv2/IPSec.Tor ਇਸ ਮੁੱਦੇ ਲਈ ਸੰਵੇਦਨਸ਼ੀਲ ਨਹੀਂ ਹੈ, ਕਿਉਂਕਿ ਇਹ ਟ੍ਰੈਫਿਕ ਫਾਰਵਰਡਿੰਗ ਅਤੇ ਲੂਪਬੈਕ ਇੰਟਰਫੇਸ ਨਾਲ ਬਾਈਡਿੰਗ ਲਈ SOCKS ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ। IPv4 ਲਈ, ਹਮਲਾ ਸੰਭਵ ਹੈ ਜੇਕਰ rp_filter ਨੂੰ "Loose" ਮੋਡ (sysctl net.ipv4.conf.all.rp_filter = 2) 'ਤੇ ਸੈੱਟ ਕੀਤਾ ਗਿਆ ਹੈ। ਸ਼ੁਰੂ ਵਿੱਚ, ਜ਼ਿਆਦਾਤਰ ਸਿਸਟਮ "Strict" ਮੋਡ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਸਨ, ਪਰ ਇਸ ਨਾਲ ਸ਼ੁਰੂ ਕਰਦੇ ਹੋਏ systemd 240, ਪਿਛਲੇ ਦਸੰਬਰ ਵਿੱਚ ਜਾਰੀ ਕੀਤਾ ਗਿਆ, ਡਿਫਾਲਟ ਮੋਡ ਨੂੰ "ਲੂਜ਼" ਵਿੱਚ ਬਦਲ ਦਿੱਤਾ ਗਿਆ ਸੀ ਅਤੇ ਇਹ ਬਦਲਾਅ ਕਈ ਡਿਸਟ੍ਰੀਬਿਊਸ਼ਨਾਂ ਦੀਆਂ ਡਿਫਾਲਟ ਸੈਟਿੰਗਾਂ ਵਿੱਚ ਪ੍ਰਤੀਬਿੰਬਤ ਹੋਇਆ ਸੀ। Linux.

rp_filter ਵਿਧੀ ਲਾਗੂ ਕੀਤਾ ਸਰੋਤ ਪਤੇ ਦੀ ਸਪੂਫਿੰਗ ਨੂੰ ਰੋਕਣ ਲਈ ਵਾਧੂ ਪੈਕੇਟ ਮਾਰਗ ਜਾਂਚ ਲਈ। ਜਦੋਂ 0 'ਤੇ ਸੈੱਟ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਸਰੋਤ ਪਤੇ ਦੀ ਜਾਂਚ ਅਯੋਗ ਹੁੰਦੀ ਹੈ, ਅਤੇ ਕਿਸੇ ਵੀ ਪੈਕੇਟ ਨੂੰ ਬਿਨਾਂ ਕਿਸੇ ਪਾਬੰਦੀ ਦੇ ਨੈੱਟਵਰਕ ਇੰਟਰਫੇਸਾਂ ਵਿਚਕਾਰ ਅੱਗੇ ਭੇਜਿਆ ਜਾ ਸਕਦਾ ਹੈ। ਮੋਡ 1, "ਸਖ਼ਤ," ਰੂਟਿੰਗ ਟੇਬਲ ਦੇ ਵਿਰੁੱਧ ਹਰੇਕ ਆਉਣ ਵਾਲੇ ਬਾਹਰੀ ਪੈਕੇਟ ਦੀ ਜਾਂਚ ਨੂੰ ਸਮਰੱਥ ਬਣਾਉਂਦਾ ਹੈ, ਅਤੇ ਜੇਕਰ ਨੈੱਟਵਰਕ ਇੰਟਰਫੇਸ ਜਿਸ ਰਾਹੀਂ ਪੈਕੇਟ ਪ੍ਰਾਪਤ ਕੀਤਾ ਗਿਆ ਸੀ, ਇੱਕ ਅਨੁਕੂਲ ਜਵਾਬ ਡਿਲੀਵਰੀ ਰੂਟ ਨਾਲ ਸੰਬੰਧਿਤ ਨਹੀਂ ਹੈ, ਤਾਂ ਪੈਕੇਟ ਨੂੰ ਰੱਦ ਕਰ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ। ਮੋਡ 2, "ਢਿੱਲਾ," ਲੋਡ ਬੈਲੇਂਸਰਾਂ ਜਾਂ ਅਸਮੈਟ੍ਰਿਕ ਰੂਟਿੰਗ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ ਕਾਰਵਾਈ ਦੀ ਆਗਿਆ ਦੇਣ ਲਈ ਜਾਂਚ ਨੂੰ ਢਿੱਲਾ ਕਰਦਾ ਹੈ, ਜਿਸ ਵਿੱਚ
ਜਵਾਬ ਰਸਤਾ ਉਸੇ ਨੈੱਟਵਰਕ ਇੰਟਰਫੇਸ ਵਿੱਚੋਂ ਨਹੀਂ ਲੰਘ ਸਕਦਾ ਜਿਸ ਰਾਹੀਂ ਆਉਣ ਵਾਲਾ ਪੈਕੇਟ ਆਇਆ ਸੀ।

"ਲੂਜ਼" ਮੋਡ ਵਿੱਚ, ਇੱਕ ਆਉਣ ਵਾਲੇ ਪੈਕੇਟ ਦੀ ਰੂਟਿੰਗ ਟੇਬਲ ਦੇ ਵਿਰੁੱਧ ਜਾਂਚ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਪਰ ਜੇਕਰ ਸਰੋਤ ਪਤਾ ਕਿਸੇ ਵੀ ਉਪਲਬਧ ਨੈੱਟਵਰਕ ਇੰਟਰਫੇਸ ਰਾਹੀਂ ਪਹੁੰਚਯੋਗ ਹੈ ਤਾਂ ਇਸਨੂੰ ਵੈਧ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ। ਪ੍ਰਸਤਾਵਿਤ ਹਮਲਾ ਇਸ ਤੱਥ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ ਕਿ ਇੱਕ ਹਮਲਾਵਰ ਇੱਕ VPN ਇੰਟਰਫੇਸ ਦੇ ਅਨੁਸਾਰੀ ਇੱਕ ਨਕਲੀ ਸਰੋਤ ਪਤੇ ਵਾਲਾ ਪੈਕੇਟ ਭੇਜ ਸਕਦਾ ਹੈ। ਭਾਵੇਂ ਇਹ ਪੈਕੇਟ ਸਿਸਟਮ ਵਿੱਚ ਇੱਕ ਬਾਹਰੀ ਨੈੱਟਵਰਕ ਇੰਟਰਫੇਸ ਰਾਹੀਂ ਦਾਖਲ ਹੁੰਦਾ ਹੈ ਨਾ ਕਿ VPN ਰਾਹੀਂ, rp_filter "ਲੂਜ਼" ਮੋਡ ਅਜਿਹੇ ਪੈਕੇਟ ਨੂੰ ਰੱਦ ਨਹੀਂ ਕਰੇਗਾ।

ਹਮਲਾ ਕਰਨ ਲਈ, ਹਮਲਾਵਰ ਨੂੰ ਉਸ ਗੇਟਵੇ ਨੂੰ ਕੰਟਰੋਲ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ ਜਿਸ ਰਾਹੀਂ ਉਪਭੋਗਤਾ ਨੈੱਟਵਰਕ ਤੱਕ ਪਹੁੰਚ ਕਰਦਾ ਹੈ (ਉਦਾਹਰਣ ਵਜੋਂ, ਇੱਕ MITM ਸੰਗਠਨ ਰਾਹੀਂ, ਜਦੋਂ ਪੀੜਤ ਹਮਲਾਵਰ ਦੁਆਰਾ ਨਿਯੰਤਰਿਤ ਵਾਇਰਲੈੱਸ ਐਕਸੈਸ ਪੁਆਇੰਟ ਨਾਲ ਜੁੜਦਾ ਹੈ, ਜਾਂ ਰਾਊਟਰ ਹੈਕਿੰਗਉਸ ਗੇਟਵੇ ਨੂੰ ਕੰਟਰੋਲ ਕਰਕੇ ਜਿਸ ਰਾਹੀਂ ਉਪਭੋਗਤਾ ਨੈੱਟਵਰਕ ਨਾਲ ਜੁੜਿਆ ਹੋਇਆ ਹੈ, ਇੱਕ ਹਮਲਾਵਰ ਜਾਅਲੀ ਪੈਕੇਟ ਭੇਜ ਸਕਦਾ ਹੈ ਜੋ VPN ਨੈੱਟਵਰਕ ਇੰਟਰਫੇਸ ਦੇ ਸੰਦਰਭ ਵਿੱਚ ਦਿਖਾਈ ਦੇਣਗੇ, ਪਰ ਜਵਾਬ ਸੁਰੰਗ ਰਾਹੀਂ ਭੇਜੇ ਜਾਣਗੇ।

VPN ਇੰਟਰਫੇਸ ਦੇ IP ਪਤੇ ਦੀ ਨਕਲ ਕਰਨ ਵਾਲੇ ਨਕਲੀ ਪੈਕੇਟਾਂ ਦੀ ਇੱਕ ਧਾਰਾ ਤਿਆਰ ਕਰਕੇ, ਕਲਾਇੰਟ ਦੇ ਸਥਾਪਿਤ ਕਨੈਕਸ਼ਨ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਹਾਲਾਂਕਿ, ਇਹਨਾਂ ਪੈਕੇਟਾਂ ਦੇ ਪ੍ਰਭਾਵ ਨੂੰ ਸੁਰੰਗ ਨਾਲ ਜੁੜੇ ਏਨਕ੍ਰਿਪਟਡ ਟ੍ਰੈਫਿਕ ਪ੍ਰਵਾਹ ਦੇ ਪੈਸਿਵ ਵਿਸ਼ਲੇਸ਼ਣ ਦੁਆਰਾ ਹੀ ਦੇਖਿਆ ਜਾ ਸਕਦਾ ਹੈ। ਹਮਲਾ ਕਰਨ ਲਈ, VPN ਸਰਵਰ ਦੁਆਰਾ ਨਿਰਧਾਰਤ ਸੁਰੰਗ ਦੇ ਨੈੱਟਵਰਕ ਇੰਟਰਫੇਸ ਦਾ IP ਪਤਾ ਪ੍ਰਾਪਤ ਕਰਨਾ ਅਤੇ ਇਹ ਨਿਰਧਾਰਤ ਕਰਨਾ ਜ਼ਰੂਰੀ ਹੈ ਕਿ ਇੱਕ ਖਾਸ ਹੋਸਟ ਨਾਲ ਇੱਕ ਕਨੈਕਸ਼ਨ ਵਰਤਮਾਨ ਵਿੱਚ ਸੁਰੰਗ ਰਾਹੀਂ ਕਿਰਿਆਸ਼ੀਲ ਹੈ।

VPN ਦੇ ਵਰਚੁਅਲ ਨੈੱਟਵਰਕ ਇੰਟਰਫੇਸ ਦੇ IP ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨ ਲਈ, SYN-ACK ਪੈਕੇਟ ਪੀੜਤ ਸਿਸਟਮ ਨੂੰ ਭੇਜੇ ਜਾਂਦੇ ਹਨ, ਕ੍ਰਮਵਾਰ ਵਰਚੁਅਲ ਪਤਿਆਂ ਦੀ ਪੂਰੀ ਸ਼੍ਰੇਣੀ ਵਿੱਚੋਂ ਲੰਘਦੇ ਹੋਏ (ਸਭ ਤੋਂ ਪਹਿਲਾਂ, VPN ਵਿੱਚ ਡਿਫਾਲਟ ਰੂਪ ਵਿੱਚ ਵਰਤੇ ਗਏ ਪਤਿਆਂ ਦੀ ਖੋਜ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਉਦਾਹਰਣ ਵਜੋਂ OpenVPN ਸਬਨੈੱਟ 10.8.0.0/24 ਵਰਤਿਆ ਗਿਆ ਹੈ)। ਪਤੇ ਦੀ ਮੌਜੂਦਗੀ ਦਾ ਨਿਰਣਾ RST ਫਲੈਗ ਨਾਲ ਜਵਾਬ ਪ੍ਰਾਪਤ ਹੋਣ ਦੇ ਆਧਾਰ 'ਤੇ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ।

ਇੱਕ ਖਾਸ ਸਾਈਟ ਨਾਲ ਇੱਕ ਕਨੈਕਸ਼ਨ ਅਤੇ ਕਲਾਇੰਟ-ਸਾਈਡ ਪੋਰਟ ਨੰਬਰ ਇੱਕੋ ਤਰੀਕੇ ਨਾਲ ਨਿਰਧਾਰਤ ਕੀਤੇ ਜਾਂਦੇ ਹਨ। ਇੱਕ SYN ਪੈਕੇਟ ਉਪਭੋਗਤਾ ਨੂੰ ਵੱਖ-ਵੱਖ ਪੋਰਟ ਨੰਬਰਾਂ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਕੇ ਭੇਜਿਆ ਜਾਂਦਾ ਹੈ, ਜਿਸ ਵਿੱਚ ਸਾਈਟ ਦਾ IP ਪਤਾ ਸਰੋਤ ਪਤੇ ਵਜੋਂ ਅਤੇ VPN ਵਰਚੁਅਲ IP ਪਤਾ ਮੰਜ਼ਿਲ ਵਜੋਂ ਹੁੰਦਾ ਹੈ। ਸਰਵਰ ਪੋਰਟ ਦੀ ਭਵਿੱਖਬਾਣੀ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ (HTTP ਲਈ 80), ਅਤੇ ਕਲਾਇੰਟ-ਸਾਈਡ ਪੋਰਟ ਨੰਬਰ ਦੀ ਗਣਨਾ ਬ੍ਰੂਟ-ਫੋਰਸਿੰਗ ਦੁਆਰਾ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ, ਵੱਖ-ਵੱਖ ਨੰਬਰਾਂ ਲਈ ACK ਪ੍ਰਤੀਕਿਰਿਆ ਦਰ ਵਿੱਚ ਤਬਦੀਲੀ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਕੇ, RST ਫਲੈਗ ਵਾਲੇ ਪੈਕੇਟ ਦੀ ਅਣਹੋਂਦ ਦੇ ਨਾਲ।

ਇਸ ਪੜਾਅ 'ਤੇ, ਹਮਲਾਵਰ ਸਾਰੇ ਚਾਰ ਕਨੈਕਸ਼ਨ ਤੱਤਾਂ (ਸਰੋਤ IP ਪਤਾ/ਪੋਰਟ ਅਤੇ ਮੰਜ਼ਿਲ IP ਪਤਾ/ਪੋਰਟ) ਨੂੰ ਜਾਣਦਾ ਹੈ, ਪਰ ਇੱਕ ਜਾਅਲੀ ਪੈਕੇਟ ਤਿਆਰ ਕਰਨ ਲਈ ਜੋ ਪੀੜਤ ਸਿਸਟਮ ਦੁਆਰਾ ਸਵੀਕਾਰ ਕੀਤਾ ਜਾਵੇਗਾ, ਹਮਲਾਵਰ ਨੂੰ TCP ਕਨੈਕਸ਼ਨ ਕ੍ਰਮ ਅਤੇ ਪ੍ਰਵਾਨਗੀ (seq ਅਤੇ ack) ਨੰਬਰ ਨਿਰਧਾਰਤ ਕਰਨੇ ਚਾਹੀਦੇ ਹਨ। ਇਹਨਾਂ ਪੈਰਾਮੀਟਰਾਂ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨ ਲਈ, ਹਮਲਾਵਰ ਲਗਾਤਾਰ ਜਾਅਲੀ RST ਪੈਕੇਟ ਭੇਜਦਾ ਹੈ, ਵੱਖ-ਵੱਖ ਕ੍ਰਮ ਨੰਬਰਾਂ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦੇ ਹੋਏ, ਜਦੋਂ ਤੱਕ ਉਹ ਇੱਕ ACK ਜਵਾਬ ਪੈਕੇਟ ਦਾ ਪਤਾ ਨਹੀਂ ਲਗਾ ਲੈਂਦੇ, ਜਿਸਦਾ ਆਉਣਾ ਦਰਸਾਉਂਦਾ ਹੈ ਕਿ ਕ੍ਰਮ ਨੰਬਰ TCP ਵਿੰਡੋ ਦੇ ਅੰਦਰ ਆਉਂਦਾ ਹੈ।

ਹਮਲਾਵਰ ਫਿਰ ਉਸੇ ਨੰਬਰ ਵਾਲੇ ਪੈਕੇਟ ਭੇਜ ਕੇ ਅਤੇ ਆਉਣ ਵਾਲੇ ACK ਜਵਾਬਾਂ ਨੂੰ ਦੇਖ ਕੇ ਖੋਜ ਦੀ ਸ਼ੁੱਧਤਾ ਦੀ ਪੁਸ਼ਟੀ ਕਰਦਾ ਹੈ, ਜਿਸ ਤੋਂ ਬਾਅਦ ਉਹ ਮੌਜੂਦਾ ਕ੍ਰਮ ਦੇ ਸਹੀ ਕ੍ਰਮ ਨੰਬਰ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਦੇ ਹਨ। ਇਹ ਕੰਮ ਇਸ ਤੱਥ ਦੁਆਰਾ ਗੁੰਝਲਦਾਰ ਹੈ ਕਿ ਜਵਾਬ ਇੱਕ ਏਨਕ੍ਰਿਪਟਡ ਸੁਰੰਗ ਦੇ ਅੰਦਰ ਭੇਜੇ ਜਾਂਦੇ ਹਨ, ਅਤੇ ਰੋਕੇ ਗਏ ਟ੍ਰੈਫਿਕ ਸਟ੍ਰੀਮ ਵਿੱਚ ਉਹਨਾਂ ਦੀ ਮੌਜੂਦਗੀ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਸਿਰਫ ਅਸਿੱਧੇ ਤੌਰ 'ਤੇ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। ਕੀ ਕਲਾਇੰਟ ਨੇ VPN ਸਰਵਰ ਨੂੰ ਸੰਬੋਧਿਤ ਇੱਕ ACK ਪੈਕੇਟ ਭੇਜਿਆ ਹੈ, ਇਹ ਏਨਕ੍ਰਿਪਟਡ ਜਵਾਬਾਂ ਦੇ ਆਕਾਰ ਅਤੇ ਲੇਟੈਂਸੀ ਦੇ ਅਧਾਰ ਤੇ ਨਿਰਧਾਰਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਜੋ ਜਾਅਲੀ ਪੈਕੇਟ ਭੇਜਣ ਨਾਲ ਸੰਬੰਧਿਤ ਹਨ। ਉਦਾਹਰਣ ਵਜੋਂ, ਲਈ OpenVPN 79 ਦੇ ਆਕਾਰ ਵਾਲਾ ਇੱਕ ਏਨਕ੍ਰਿਪਟਡ ਪੈਕੇਟ ਸਾਨੂੰ ਸਹੀ ਢੰਗ ਨਾਲ ਨਿਰਣਾ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ ਕਿ ਇਸ ਵਿੱਚ ਇੱਕ ACK ਪੁਸ਼ਟੀ ਹੈ।

ਜਦੋਂ ਤੱਕ ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਕਰਨਲ ਵਿੱਚ ਹਮਲੇ ਤੋਂ ਸੁਰੱਖਿਆ ਨਹੀਂ ਜੋੜੀ ਜਾਂਦੀ, ਸਮੱਸਿਆ ਨੂੰ ਰੋਕਣ ਲਈ ਇੱਕ ਅਸਥਾਈ ਢੰਗ ਵਜੋਂ ਸਿਫਾਰਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ "ਪ੍ਰੀਰੂਟ" ਚੇਨ ਵਿੱਚ ਇੱਕ ਪੈਕੇਟ ਫਿਲਟਰ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ, ਉਹਨਾਂ ਪੈਕੇਟਾਂ ਦੇ ਰਸਤੇ ਨੂੰ ਰੋਕੋ ਜਿਸ ਵਿੱਚ ਸੁਰੰਗ ਦਾ ਵਰਚੁਅਲ IP ਪਤਾ ਮੰਜ਼ਿਲ ਪਤੇ ਵਜੋਂ ਦਰਸਾਇਆ ਗਿਆ ਹੈ।

iptables -t raw -I ਪ੍ਰੀਰੂਟਿੰਗ ! -i wg0 -d 10.182.12.8 -m ਐਡਰਟਾਈਪ ! --src-ਟਾਈਪ ਲੋਕਲ -j ਡ੍ਰੌਪ

ਜਾਂ nftables ਲਈ

nft ਐਡ ਟੇਬਲ ਆਈਪੀ ਰਾਅ
nft ਐਡ ਚੇਨ ਆਈਪੀ ਰਾਅ ਪ੍ਰੀਰੂਟਿੰਗ '{ ਟਾਈਪ ਫਿਲਟਰ ਹੁੱਕ ਪ੍ਰੀਰੂਟਿੰਗ ਤਰਜੀਹ 0; }'
nft ਐਡ ਰੂਲ ip raw ਪ੍ਰੀਰੂਟਿੰਗ 'iifname != "wg0" ip daddr 10.182.12.8 fib saddr ਕਿਸਮ != ਲੋਕਲ ਡ੍ਰੌਪ'

IPv4 ਸੁਰੰਗਾਂ ਤੋਂ ਬਚਾਉਣ ਲਈ, ਸਿਰਫ਼ rp_filter ਨੂੰ "ਸਖ਼ਤ" ਮੋਡ (sysctl net.ipv4.conf.all.rp_filter = 1) 'ਤੇ ਸੈੱਟ ਕਰੋ। VPN ਵਾਲੇ ਪਾਸੇ, ਕ੍ਰਮ ਨੰਬਰ ਨਿਰਧਾਰਨ ਵਿਧੀ ਨੂੰ ਏਨਕ੍ਰਿਪਟਡ ਪੈਕੇਟਾਂ ਵਿੱਚ ਪੈਡਿੰਗ ਜੋੜ ਕੇ ਬਲੌਕ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਸਾਰੇ ਪੈਕੇਟ ਇੱਕੋ ਆਕਾਰ ਦੇ ਹੋ ਜਾਂਦੇ ਹਨ।

ਸਰੋਤ: opennet.ru