Jak otestovat nouzový vypínač VPN bez skutečných účtů

Ke zjištění, zda nouzový vypínač vydrží, nepotřebujete skutečný účet; právě to test vystavuje riziku. Kontrola vytváří krátké okno, ve kterém provoz může nebo nemusí opustit tunel, takže užitečné zatížení by mělo být něco, co můžete ztratit. Teď to dělám s návnadovou stránkou a záložním profilem prohlížeče a dává to jasnější odpověď než rutina s prohlížečem a webmailem, kterou jsem používal dřív. Následující text jde ve stejném pořadí, jaké uvádí klient: nastavení, cíl, přechod a potom důkazy.

Test odpovídá na jednu úzkou otázku: může se tato aplikace během tohoto přechodu dostat do sítě mimo tunel? Nic neříká o tom, zda je zbytek zásady rozumný. Držte rozsah tak úzký a výsledek stojí za zapsání.

Najděte vypínač a jeho rozsah v klientovi

Otevřete klienta a najděte nastavení blokování, než změníte jakýkoli stav sítě. Dodavatelé ho nazývají různě: nouzový vypínač, režim uzamčení, síťový zámek, blokování provozu mimo tunel. Štítek říká méně než volby uvnitř. Důležité je, zda se blokování uplatňuje vždy, nebo jen když se aplikace rozhodne, že tunel právě selhal, a zda pokrývá všechny aplikace, nebo vybraný seznam.

Potom vypište přechody, které váš klient skutečně umí provést. Odpojení iniciované uživatelem, ukončení aplikace a ztráta kontaktu se serverem jsou u většiny klientů tři různé kódové cesty a nesdílejí jednu zásadu blokování. Některé při ukončení aplikace blokování uvolní. Jiné nechávají pravidla filtrování nainstalovaná, dokud je něco neodstraní. Přečtěte si referenci nastavení dodavatele pro sestavení, které používáte, místo abyste předpokládali, a potom si zapište, který ze tří testujete.

Zapište i profil: protokol, rodiny adres a zda je zapnuté rozdělené tunelování. Tvrzení o celém zařízení je bezvýznamné, pokud profil záměrně vylučuje několik aplikací, a vyloučení, které jste nastavili, není únik. Reference nastavení OpenVPN Connect je typ stránky, která pojmenovává, který přepínač mění které chování, i když se štítky u různých klientů liší.

Vyberte návnadový cíl, který funguje i bez tunelu

Návnada potřebuje dvě vlastnosti a vynechání kterékoli z nich dává nečitelný výsledek. Musí být dostupná přímo, když je tunel vypnutý a blokování neaktivní, jinak „přestala odpovídat“ může prostě znamenat, že hostitel zmizel. A nesmí vyžadovat přihlášení, cookie ani platbu, aby vás únik stál řádek v logu místo relace.

Statická stránka na hostiteli, který ovládáte, je čistá volba. Záložní virtuální stroj s obyčejným HTTP serverem je téměř stejně dobrý a veřejná stránka pro kontrolu konektivity funguje, pokud přijmete, že její dostupnost je mimo vaši kontrolu. Poznamenejte adresu, port, rodinu adres a zda požadavek potřebuje vyhledání názvu, protože každé z toho se stane proměnnou, kterou možná budete muset později izolovat.

Než se dotknete vypínače, stanovte základní linii. Když je tunel aktivní, návnada musí odpovídat přes tunel, což dokazuje, že trasa zásady funguje. Když je tunel vypnutý a blokování neaktivní, musí odpovídat přímo, což dokazuje, že cíl je živý. Teprve potom vám selhání v zablokovaném stavu něco řekne.

Provádějte přechody v pevném pořadí

Berte přechody jeden po druhém a dejte každému několik sekund na ustálení, protože klienti v této mezeře často pravidla bourají a znovu stavějí. Spouštění stejné krátké kontroly pokaždé udržuje pozorování srovnatelná:

curl -sS -o /dev/null -w 'http=%{http_code}\n' --max-time 5 http://decoy.example/
echo "curl_exit=$?"
dig +short decoy.example
curl -6 -sS -o /dev/null -w 'v6_http=%{http_code}\n' --max-time 5 http://decoy.example/
echo "curl_v6_exit=$?"

Řádek s ukončením aplikace si zaslouží vlastní běh, i když klienta v běžném použití nikdy nezavíráte. Pokud se blokování při ukončení uvolní, pád nebo vynucená aktualizace vám dá stejnou expozici, a to je fakt o nasazení, ne o vaší trpělivosti. Ve Windows jsou ekvivalentní sondy Resolve-DnsName decoy.example a curl.exe -s -o NUL -w "%{http_code}" http://decoy.example/.

Oddělte blokování od rozbitého překladače

Stránka, která se nenačte, má několik příčin a jen jedna z nich je fungující vypínač. Pokud se název nepřeloží, zjistili jste, že DNS je blokováno nebo rozbité, ne že datová cesta je blokovaná. Otestujte i doslovnou adresu, aby odpověď vůbec nezávisela na překladu.

Návratové kódy curl ty případy oddělují: 6 je selhání překladu názvu, 7 znamená, že spojení bylo odmítnuto, 28 je vypršení. Zablokovaná trasa se obvykle projeví jako vypršení nebo odmítnutí vůči doslovné adrese. Blokování jen DNS nechá 6 a skryje vše ostatní. Stránka z mezipaměti nebo zachytávací portál klame oko, a proto je důkazem návratový kód, ne obrazovka.

Zopakujte sondu přes IPv6 s doslovnou adresou. Blokování, které pokrývá IPv4 a ignoruje IPv6, je dost časté, aby si zasloužilo vlastní řádek v poznámkách, a klient, který vypíná IPv6 mimo tunel, by měl čistě selhat na obou rodinách.

Zapište rozsah, který výsledek pokrývá

Když se tunel vrátí, potvrďte obnovení: návnada odpovídá přes tunel, překladač vrací odpovědi a zásada zůstává tam, kde jste ji nechali. Potom experimenty vraťte. Dočasné pravidlo brány firewall, ladicí trasa nebo testovací profil ponechané na místě zmýlí příští běh a mohou aplikaci přežít.

Jeden průchod pokrývá jedno sestavení klienta, jeden profil, jeden přechod a jednu rodinu adres. Zapište ty čtyři spolu s výsledkem:

• Sestavení klienta a platforma a zda je nastavení pro profil, nebo globální.
• Profil, protokol a případná vyloučení rozděleného tunelu.
• Testovaný přechod a jak jste ho vyvolali.
• Rodiny adres a DNS s návratovými kódy curl pro zablokovaný i nezablokovaný stav.

Pokud je některý řádek prázdný, test není hotový. Roaming znamená zopakování řádku se změnou sítě. Nehlídaný restart znamená ověřit, že se pravidla vracejí, což je otázka o pořadí obnovy, ne o vypínači. Sekvenci zopakujte po aktualizaci klienta, protože přepínače se mění zřídka, zatímco chování za nimi ano. Návnadu si nechte: není co rotovat a příští kontrola trvá pět minut.