Kako testirati VPN prekidač bez pravih računa

Ne treba vam pravi račun da biste saznali drži li prekidač; upravo to test stavlja na rizik. Provjera stvara kratak prozor u kojem promet može ili ne mora izaći izvan tunela, pa korisni teret treba biti nešto što možete izgubiti. Sada to radim s mamcem i rezervnim profilom preglednika i to daje jasniji odgovor od rutine s preglednikom i web-poštom koju sam prije koristio. Ono što slijedi ide istim redom koji klijent prikazuje: postavka, odredište, prijelaz, pa dokazi.

Test odgovara na jedno usko pitanje: tijekom ovog prijelaza može li ova aplikacija doći do mreže izvan tunela? Ne govori ništa o tome je li ostatak pravila razuman. Držite opseg tako malim i rezultat je vrijedan zapisivanja.

Pronađite prekidač i njegov opseg u klijentu

Otvorite klijent i pronađite postavku blokiranja prije nego promijenite bilo kakvo stanje mreže. Dobavljači je nazivaju različito: prekidač, način zaključavanja, mrežna brava, blokiraj promet izvan tunela. Oznaka govori manje od opcija unutra. Važno je primjenjuje li se blokada uvijek ili samo kad aplikacija zaključi da je tunel upravo pao, i pokriva li svaku aplikaciju ili odabrani popis.

Zatim popišite prijelaze koje vaš klijent stvarno može izvesti. Prekid koji pokreće korisnik, izlazak iz aplikacije i gubitak kontakta s poslužiteljem tri su različita puta kroz kod u većini klijenata i ne dijele jednu politiku blokiranja. Neki otpuštaju blokadu kad aplikacija izađe. Drugi ostavljaju pravila filtriranja instalirana dok ih nešto ne ukloni. Pročitajte referencu postavki dobavljača za verziju koju pokrećete umjesto da pretpostavljate, a zatim zapišite koji od tri testirate.

Zapišite i profil: protokol, obitelji adresa i je li uključeno razdvojeno tuneliranje. Tvrdnja o cijelom uređaju besmislena je ako profil namjerno isključuje nekoliko aplikacija, a isključenje koje ste postavili nije curenje. Referenca postavki OpenVPN Connect vrsta je stranice koja imenuje koji prekidač mijenja koje ponašanje, iako se oznake razlikuju po klijentu.

Odaberite mamac odredište koje radi i bez tunela

Mamcu trebaju dva svojstva i preskakanje bilo kojeg daje nečitljiv rezultat. Mora biti dostupna izravno kad je tunel isključen i blokada isključena, inače „prestala je odgovarati“ može jednostavno značiti da je hostitelj nestao. I ne smije trebati prijavu, kolačić ili plaćanje, da bi vas curenje stajalo redak u zapisu umjesto sesije.

Statična stranica na hostitelju koji kontrolirate čist je izbor. Rezervno virtualno računalo s običnim HTTP poslužiteljem gotovo je jednako dobro, a javna stranica za provjeru povezivosti radi ako prihvatite da je njezina dostupnost izvan vaše kontrole. Zapišite adresu, port, obitelj adresa i treba li zahtjev traženje naziva, jer svako od toga postaje varijabla koju ćete možda morati kasnije izolirati.

Uspostavite osnovnu liniju prije nego dotaknete prekidač. Kad je tunel aktivan, mamac mora odgovarati kroz tunel, što dokazuje da ruta pravila radi. Kad je tunel isključen i blokada isključena, mora odgovarati izravno, što dokazuje da je odredište živo. Tek tada neuspjeh u blokiranom stanju nešto vam govori.

Izvedite prijelaze u fiksnom redu

Uzmite prijelaze jedan po jedan i dajte svakome nekoliko sekundi da se slegne, jer klijenti često ruše i obnavljaju pravila u tom razmaku. Pokretanje iste kratke provjere svaki put drži opažanja usporedivima:

curl -sS -o /dev/null -w 'http=%{http_code}\n' --max-time 5 http://decoy.example/
echo "curl_exit=$?"
dig +short decoy.example
curl -6 -sS -o /dev/null -w 'v6_http=%{http_code}\n' --max-time 5 http://decoy.example/
echo "curl_v6_exit=$?"

Redak s izlaskom iz aplikacije zaslužuje zasebno pokretanje čak i ako klijent nikad ne zatvarate u normalnoj uporabi. Ako se blokada otpusti pri izlasku, pad ili prisilno ažuriranje daje vam istu izloženost, a to je činjenica o postavljanju, ne o vašem strpljenju. Na Windowsima su ekvivalentne sonde Resolve-DnsName decoy.example i curl.exe -s -o NUL -w "%{http_code}" http://decoy.example/.

Odvojite blokadu od pokvarenog razrješivača

Stranica koja se ne učita ima nekoliko uzroka i samo je jedan od njih rad prekidača. Ako se naziv ne razriješi, naučili ste da je DNS blokiran ili pokvaren, a ne da je put podataka blokiran. Testirajte i doslovnu adresu, da odgovor uopće ne ovisi o razrješavanju.

curl izlazni kodovi razdvajaju te slučajeve: 6 je neuspjeh razrješavanja naziva, 7 znači da je veza odbijena, 28 je istek vremena. Blokirana ruta obično se pojavljuje kao istek vremena ili odbijanje prema doslovnoj adresi. Blokada samo DNS-a ostavlja 6 i skriva sve ostalo. Predmemorirana stranica ili portal za presretanje zavarava oko, zato je dokaz izlazni kod, a ne zaslon.

Ponovite sondu preko IPv6 s doslovnom adresom. Blokada koja pokriva IPv4 i ignorira IPv6 dovoljno je česta da zasluži vlastiti redak u vašim bilješkama, a klijent koji isključuje IPv6 izvan tunela trebao bi čisto pasti na obje obitelji.

Zapišite opseg koji rezultat pokriva

Kad se tunel vrati, potvrdite oporavak: mamac odgovara kroz tunel, razrješivač vraća odgovore i pravilo stoji gdje ste ga ostavili. Zatim poništite pokuse. Privremeno pravilo vatrozida, ruta za otklanjanje pogrešaka ili testni profil ostavljeni na mjestu zbunit će sljedeće pokretanje i mogu nadživjeti aplikaciju.

Jedan prolaz pokriva jedno izdanje klijenta, jedan profil, jedan prijelaz i jednu obitelj adresa. Zapišite ta četiri uz ishod:

• Izdanje klijenta i platforma te je li postavka po profilu ili globalna.
• Profil, protokol i sva isključenja razdvojenog tunela.
• Testirani prijelaz i kako ste ga pokrenuli.
• Obitelji adresa i DNS, s curl izlaznim kodovima za blokirano i neblokirano stanje.

Ako je ijedan redak prazan, test nije dovršen. Roaming znači ponavljanje retka o promjeni mreže. Nenadzirani restart znači provjeru da se pravila vraćaju, što je pitanje o redu vraćanja, a ne o prekidaču. Ponovite slijed nakon ažuriranja klijenta, jer se prekidači rijetko mijenjaju dok se ponašanje iza njih mijenja. Držite mamac pri ruci: nema što rotirati i sljedeća provjera traje pet minuta.