Verifieer dat 'n gesplete tonnel werk: een IP-uitslag is nie 'n toets nie

'n Enkele bladsy in die blaaier wat 'n IP-adres wys, bewys byna niks oor 'n gesplete tonnel. 'n Sigbare adres kan die regte een wees om die verkeerde rede, en 'n uitgeslote vloei word nooit daardeur getoets nie. Skryf die verwagte uitkoms neer voordat jy toets: watter toepassing of bestemming die tonnel moet gebruik, watter direk moet bly, en wat moet stop wanneer die tonnel faal. Sonder daardie plan lyk enige aanneemlike getal soos sukses.

Die mite: 'n adresopsoek bewys dekking

Die IP-toets beantwoord een vraag: wat die buitewêreld op een oomblik van een toepassing sien. Dit sê niks oor 'n interne voorvoegsel, 'n tweede blaaierprofiel of 'n naam wat privaat opgelos moet word nie. Dit sê ook niks oor mislukking nie, en dit is die helfte van 'n gesplete-tonnelontwerp wat in produksie breek.

'n Adresbladsy kan ook nie die roete, die oplosser of die mislukkingsbeleid wys nie. Behandel dit as een waarneming, nie as 'n uitspraak nie.

Toets 'n ingeslote vloei en een wat uitgesluit is

Stuur 'n onskadelike versoek vanaf die toepassing wat ingesluit moet wees, of na die voorvoegsel wat jy verwag deur die tonnel te stuur, en teken die bron, bestemming, adresfamilie en waargenome pad aan. Doen dieselfde vir 'n vloei wat direk moet bly. Die uitgeslote kant is die een wat mense oorslaan, en dit is die enigste bewys dat die splitsing doelbewus eerder as toevallig is. 'n Hulpverwerking kan 'n afsonderlike beleidsidentiteit dra, so toets in die proses wat die sokhou.

flow: Firefox to intranet.example:443, IPv4, source 10.8.0.6, tunneled
flow: Firefox to 1.1.1.1, IPv4, source 192.0.2.20, direct

Daarom kan 'n toets in die verkeerde toepassing die teenoorgestelde wys van wat die ontwerp beoog. Skryf die vier velde vir beide kante neer voordat jy enige gevolgtrekking maak.

Voeg DNS en die mislukkingsgeval by

Vra die stelseloplosser en die oplosser wat die app gebruik, en vergelyk dan daardie antwoorde met die uitgangsadres wat die werf rapporteer. Die twee lae kan doelbewus verskil, en een blaaieropsoek toets nie die bedryfstelselbeleid nie. 'n Dop maak die vergelyking herhaalbaar: Breek die tonnel doelbewus, maak dan 'n versoek wat die blaaier nie gekas het nie; 'n bladsy uit die kas sê niks oor watter kant die terugval gegaan het nie. Teken aan wat werklik gebeur het eerder as wat die ontwerp voorspel het.

curl -s https://ifconfig.me
nslookup intranet.example

'n Gesplete tonnel wat toe misluk en een wat oop misluk, lyk identies totdat jy die tonnel doelbewus breek. Teken aan watter gedrag jy waargeneem het, nie watter een jy verwag het nie.

Herhaal nadat die toestand verander het

Herhaal dieselfde waarnemings na 'n herverbinding, 'n netwerkskakeling en 'n relevante toepassingsopdatering. 'n Gestoor uitsluiting kan aanhou wys na 'n pad of 'n toepassingsidentiteit wat nie meer bestaan nie, en die ontwerp hou stilweg op om by sy dokumentasie te pas. Daardie drie gebeurtenisse is waar gesplete tonnels wegdryf, en elkeen is goedkoop om weer te toets. 'n Toets wat net een keer by ontplooiing loop, beskryf 'n opset wat nie meer bestaan nie.

As 'n uitslag verskil, vind die reël-eienaar en die verwerkingsfase voordat jy verskeie instellings tegelyk verander. Vyf dinge verander en een uitslag waarneem is nie 'n diagnose nie, dit is 'n nuwe opset.

Wat die uitslag moet vasstel

Koppel die waarnemings aan die beleid en kliëntweergawe wat jy werklik getoets het. Die doel is om te wys dat hierdie ontplooiing by die dekking pas wat dit beweer, nie dat elke toekomstige toepassing privaat sal wees nie. Dit is 'n smaller bewering, en dit is die een wat jy werklik met bewyse kan ondersteun. Skryf die bewering, die weergawe en die vierveld-uitslae in die veranderingsrekord.

Dan kan die volgende keurder sien of die ontwerp verander het of die toets. 'n Gesplete tonnel is geverifieer wanneer beide kante, die oplosser-splitsing en die mislukkingsgedrag pas by wat jy aan die begin neergeskryf het. Een IP-uitslag verifieer nie een daarvan nie.