Як праверыць пераключальнік блакіроўкі VPN без сапраўдных уліковых запісаў
Правядзіце тэст пераключальніка блакіроўкі з падманнай старонкай і запасным профілем: ахапіце кожны тып перапынку, прачытайце коды выхаду curl і аддзяліце сапраўдную блакіроўку ад збою DNS.
Вам не патрэбны сапраўдны ўліковы запіс, каб даведацца, ці трымае пераключальнік блакіроўкі; менавіта гэта тэст і ставіць пад рызыку. Праверка стварае кароткае акно, у якім трафік можа або не можа выйсці за межы тунеля, таму карысная нагрузка павінна быць тым, што вы можаце страціць. Я раблю гэта цяпер з падманнай старонкай і запасным профілем браўзера, і гэта дае больш ясны адказ, чым руціна з браўзерам і вэбпоштай, якую я выкарыстоўваў раней. Далей ідзе той жа парадак, які прапануе кліент: налада, прызначэнне, пераход, затым доказы.
Тэст адказвае на адно вузкае пытанне: падчас гэтага пераходу ці можа гэта праграма дасягнуць сеткі за межамі тунеля? Ён нічога не кажа пра тое, ці разумная астатняя палітыка. Трымайце ахоп настолькі малым, і вынік варта запісаць.
Знайдзіце пераключальнік і яго ахоп у кліенце
Адкрыйце кліент і знайдзіце наладу блакіроўкі, перш чым змяняць любы стан сеткі. Пастаўшчыкі называюць яе па-рознаму: пераключальнік блакіроўкі, рэжым блакіроўкі, сеткавы замак, блакіроўка трафіку за межамі тунеля. Этыкетка паведамляе менш, чым параметры ўнутры яе. Важна тое, ці дзейнічае блакіроўка заўсёды, ці толькі калі праграма вырашыць, што тунель толькі што адмовіў, і ці ахоплівае яна ўсе праграмы ці выбраны спіс.
Затым пералічыце пераходы, якія ваш кліент можа рэальна выканаць. Адключэнне, ініцыяванае карыстальнікам, выхад з праграмы і страта сувязі з серверам — гэта тры розныя шляхі кода ў большасці кліентаў, і яны не падзяляюць адну палітыку блакіроўкі. Некаторыя здымаюць блакіроўку, калі праграма выходзіць. Іншыя пакідаюць правілы фільтрацыі ўсталяванымі, пакуль нешта іх не выдаліць. Чытайце даведку па наладах пастаўшчыка для той зборкі, якую вы запускаеце, замест таго каб меркаваць, затым запішыце, які з трох вы тэстуеце.
Запішыце таксама профіль: пратакол, сем'і адрасоў і ці ўключана раздзеленае тунеляванне. Заява пра ўсю прыладу бессэнсоўная, калі профіль наўмысна выключае некалькі праграм, а выключанне, якое вы наладзілі, не з'яўляецца ўцечкай. Даведка па наладах OpenVPN Connect — гэта тып старонкі, якая называе, які пераключальнік змяняе якія паводзіны, хоць этыкеткі адрозніваюцца ў розных кліентах.
Выберыце падманнае прызначэнне, якое працуе і без тунеля
Падманка мае дзве ўласцівасці, і пропуск любой з іх дае нечытальны вынік. Яна павінна быць дасягальнай напрамую, калі тунель спынены і блакіроўка выключана, інакш «яна перастала адказваць» можа проста азначаць, што хост знік. І ёй не патрэбныя ўваход, кукі або аплата, каб уцечка каштавала вам радка лога, а не сеансу.
Статычная старонка на хосце, які вы кантралюеце, — чысты выбар. Запасная віртуальная машына з простым HTTP-серверам амаль таксама добрая, а публічная старонка праверкі злучэння падыходзіць, калі вы прымаеце, што яе даступнасць па-за вашым кантролем. Запішыце адрас, порт, сям'ю адрасоў і ці патрабуе запыт пошуку імя, бо кожнае з гэтага становіцца зменнай, якую, магчыма, давядзецца ізаляваць пазней.
Устанавіце базавую лінію, перш чым кранаць пераключальнік. Калі тунель уключаны, падманка павінна адказваць праз тунель, што даказвае працу маршруту палітыкі. Калі тунель выключаны і блакіроўка знята, яна павінна адказваць напрамую, што даказвае, што прызначэнне жывое. Толькі тады збой у заблакаваным стане скажа вам нешта.
Выконвайце пераходы ў фіксаваным парадку
Бярыце пераходы па адным і дайце кожнаму некалькі секунд, каб усталявацца, бо кліенты часта разбіраюць і перабудоўваюць правілы ў гэтым прамежку. Запуск адной і той жа кароткай праверкі кожны раз захоўвае назіранні супастаўнымі:
curl -sS -o /dev/null -w 'http=%{http_code}\n' --max-time 5 http://decoy.example/
echo "curl_exit=$?"
dig +short decoy.example
curl -6 -sS -o /dev/null -w 'v6_http=%{http_code}\n' --max-time 5 http://decoy.example/
echo "curl_v6_exit=$?"| Transition | Expected with the block on | Failure signature |
|---|---|---|
| Manual disconnect | Decoy stops answering within seconds | Decoy still returns 200 |
| Server or path failure | Blocked, with no exemption for the old endpoint | Direct access during the gap |
| Quit the app | Client-dependent; record what happens | Block disappears with the process |
| Wi-Fi to Ethernet | Block holds until the tunnel returns | Traffic flows mid-change |
Радок пра выхад з праграмы заслугоўвае асобнага запуску, нават калі вы ніколі не закрываеце кліент у звычайным выкарыстанні. Калі блакіроўка здымаецца пры выхадзе, збой або прымусовае абнаўленне дае вам тое ж уздзеянне, і гэта факт пра разгортванне, а не пра ваша цярпенне. У Windows эквівалентныя праверкі — Resolve-DnsName decoy.example і curl.exe -s -o NUL -w "%{http_code}" http://decoy.example/.
Аддзяліце блакіроўку ад зламанага рэзалвера
Старонка, якая не загружаецца, мае некалькі прычын, і толькі адна з іх — праца пераключальніка. Калі імя не развязваецца, вы даведаліся, што DNS заблакаваны або зламаны, а не што шлях даных заблакаваны. Праверце таксама літаральны адрас, каб адказ зусім не залежаў ад развязання.
Коды выхаду curl раздзяляюць гэтыя выпадкі: 6 — збой развязання імя, 7 азначае, што злучэнне адхілена, 28 — тайм-аўт. Заблакаваны маршрут звычайна выглядае як тайм-аўт або адмова супраць літаральнага адраса. Блакіроўка толькі DNS пакідае 6 і хавае ўсё астатняе. Кэшаваная старонка або партал перахопу падманваюць вока, таму доказ — код выхаду, а не экран.
Паўтарыце праверку праз IPv6 з літаральным адрасам. Блакіроўка, якая ахоплівае IPv4 і ігнаруе IPv6, сустракаецца дастаткова часта, каб заслужыць асобны радок у вашых нататках, а кліент, які адключае IPv6 за межамі тунеля, павінен чыста збайвацца на абодвух сем'ях.
Запішыце ахоп, які пакрывае вынік
Калі тунель вернецца, пацвердзіце аднаўленне: падманка адказвае праз тунель, рэзалвер вяртае адказы, а палітыка застаецца там, дзе вы яе пакінулі. Затым адмяніце эксперыменты. Часовае правіла фаервола, адладачны маршрут або тэставы профіль, пакінутыя на месцы, заблытаюць наступны запуск і могуць перажыць праграму.
Адзін праход ахоплівае адну зборку кліента, адзін профіль, адзін пераход і адну сям'ю адрасоў. Запішыце гэтыя чатыры разам з вынікам:
- Зборка кліента і платформа, і ці з'яўляецца налада папрофільнай або глабальнай.
- Профіль, пратакол і любыя выключэнні раздзеленага тунеля.
- Правераны пераход і тое, як вы яго запусцілі.
- Сем'і адрасоў і DNS, з кодамі выхаду curl для заблакаванага і незаблакаванага станаў.
Калі любы радок пусты, тэст не скончаны. Роўмінг азначае паўтарэнне радка змены сеткі. Некіраваны перазапуск азначае праверку таго, што правілы вяртаюцца, а гэта пытанне пра парадак аднаўлення, а не пра пераключальнік. Паўтарыце паслядоўнасць пасля абнаўлення кліента, бо пераключальнікі рэдка змяняюцца, пакуль паводзіны за імі змяняюцца. Трымайце падманку пад рукой: нічога не трэба ратаваць, і наступная праверка займае пяць хвілін.