Sut i brofi beth mae switsh brys yn ei gwmpasu ar host sydd wedi'i beryglu

Trowch y switsh brys ymlaen, dadgysylltwch weinydd y twnnel, a gwyliwch beth mae'r peiriant yn ei wneud o hyd. Mae'r prawf yn werth ei redeg, oherwydd mae'n gwahanu'r hyn y mae'r mur tân yn ei orfodi oddi wrth yr hyn y buoch yn ei dybio, ac mae'r canlyniadau'n gulach na'r rhan fwyaf o dudalennau cynnyrch. Mae switsh brys yn rheoli llwybrau rhwydwaith; nid yw'n rheoli meddalwedd sy'n rhedeg ar y ddyfais yn barod. Rwy'n rhedeg y dilyniant hwn ar unrhyw beiriant lle mae'r cleient yn honni ei fod yn fail-closed, ac mae'n cymryd tua deg munud.

Dechreuwch o'r cleient, nid o'r gweinydd

Y pwynt gorfodi yw'r host rydych chi'n eistedd arno: mur tân y system weithredu, gwasanaeth cynorthwyol, neu yrrwr y cleient VPN ei hun. Mae hynny'n bwysig oherwydd bod popeth y gall y switsh ei wneud wedi'i gyfyngu gan yr hyn y mae'r haen honno'n ei weld. Os yw'r cleient yn gweithredu'r bloc gyda rheol llwybro a marc, gall unrhyw beth â digon o fraint ychwanegu rheol ei hun; os yw'n defnyddio tabl mur tân cnewyllyn, gall yr un fraint olygu'r tabl. Nid yw cryfder y seiffr byth yn dod i mewn i'r cwestiwn hwn.

Felly'r peth cyntaf i'w sefydlu yw pwy sy'n berchen ar y polisi ar y ddyfais hon a beth y caniateir iddo ei ddiystyru. Ar beiriant gwaith a reolir, yr ateb fel arfer yw asiant pen draw'r sefydliad, ac nid yw VPN personol yn dileu'r galluoedd hynny, waeth sut mae'r twnnel wedi'i ffurfweddu.

Cam un: cadarnhewch y bloc ar y llwybrau rydych chi'n credu y mae'n eu cwmpasu

Tynnwch y twnnel i lawr yn y pen pell, nid yn y cleient, fel bod y cleient yn dal i gredu y dylai fod wedi'i gysylltu. Yna rhowch gynnig ar yr hyn y byddai person yn ei geisio:

curl -m 5 -sS -o /dev/null -w '%{http_code}
' https://example.com
ping -c 2 1.1.1.1
ip route
nft list ruleset   # or: iptables -S

Rydych chi eisiau cleient sy'n methu'n gyflym ac yn lân, nid un sy'n hongian nes i'r porwr derfynu. Mae hongian fel arfer yn golygu bod pecynnau'n cael eu gollwng yn dawel gan reol heb wrthod, sy'n dderbyniol, ond gall hefyd olygu bod y cleient wedi gadael llwybr diofyn hen wedi'i anelu at ryngwyneb marw. Darllenwch y tabl llwybro tra mae'r twnnel i lawr: llwybr diofyn sy'n dal i bwyntio at ddyfais y twnnel a rheol mur tân sy'n blocio dim ond cysylltiadau allan newydd yw dau gyflwr gwahanol, a dim ond un ohonynt sy'n fail-closed.

Ailadroddwch yr un gorchmynion gyda'r opsiwn caniatáu-LAN ar y cleient ymlaen ac i ffwrdd. Y togl hwnnw yw lle mae'r rhan fwyaf o'r syndodau'n byw, oherwydd mae'n ailagor llwybr yr oedd gweddill y polisi wedi'i ysgrifennu i'w gau.

Cam dau: gwiriwch DNS ac IPv6 fel llwybrau ar wahân

Datrys enwau yw'r bwlch sy'n goroesi'r rhan fwyaf o weithrediadau, oherwydd gall y cwestiwn adael trwy rywbeth heblaw datryswr y system. Gofynnwch ag offeryn sy'n anwybyddu eich ffurfweddiad datryswr, a gwiriwch yr ochr v6 tra byddwch yno:

dig +short example.com
dig +short @1.1.1.1 example.com
curl -6 -m 5 -sS https://example.com -o /dev/null -w '%{http_code}
'
ip -6 route

Atebion gwag i'r ddau gwestiwn enw gyda'r twnnel i lawr yw'r canlyniad rydych chi ei eisiau. Os yw'r ail gwestiwn yn ateb, mae cyfeiriad datryswr wedi'i galed-godio yn gyrraeddadwy ac nid y twnnel yw'r unig lwybr oddi ar y peiriant. Os dim ond y cais v6 sy'n llwyddo, mae'r polisi'n cwmpasu IPv4 ac yn anwybyddu IPv6, sef yr un gollyngiad mewn teulu cyfeiriadau gwahanol.

Mae porwyr yn gwneud hyn yn anoddach i'w ddarllen o'r tu allan, oherwydd mae porwr wedi'i ffurfweddu ar gyfer DNS dros HTTPS yn datrys y cwestiwn trwy gais HTTPS: dim ond cymaint ag y mae port 443 i'r pen hwnnw wedi'i flocio y mae'r cwestiwn wedi'i flocio. Ar host lle mae'r polisi'n caniatáu'r is-rwydwaith lleol, gall y cais hwnnw gyrraedd datryswr ar y LAN o hyd.

Cam tri: gwahanwch amlygiad rhwydwaith oddi wrth amlygiad pen draw

Nawr y rhan nad yw unrhyw reol mur tân yn ei chyrraedd. Mae switsh brys yn blocio llwybrau oddi ar y peiriant; nid yw'n atal meddalwedd ar y peiriant rhag darllen data cyn iddo gael ei amgryptio, ac nid yw'n atal y meddalwedd hwnnw rhag defnyddio'r twnnel yn gyfreithlon. Keylogger, estyniad maleisus, sgrin wedi'i gadael heb ei chloi, cleient cysoni â chaniatadau eang: mae'r rhain i gyd yn symud gwybodaeth dros gysylltiad y mae'r switsh yn falch o'i ganiatáu.

Mae'r un peth yn wir am feddalwedd monitro a osodwyd gan gyflogwr yn fwriadol. Nid yw blocio llwybrau'n ei dynnu, ac nid yw prynu gweinydd VPN newydd yn atgyweiriad, oherwydd mae'r amlygiad yn uwch na'r twnnel.

Mae rheolwr clipfwrdd sy'n uwchlwytho i gyfrif cwmwl yn gwneud y pwynt yn finiog. Mae'r traffig wedi'i amgryptio, mae'r cyrchfan yn cael ei chaniatáu, ac mae'r switsh brys yn adrodd cyflwr iach drwy'r amser.

Cam pedwar: ysgrifennwch yr honiad y mae eich prawf yn ei gefnogi

Ar ôl y prawf diffyg gallwch nodi ffeithiau penodol: pa raglenni a fethodd, pa lwybrau a stopiodd, sut y bu DNS ac IPv6, ac a ddaliodd y bloc pan ddisgynnodd y twnnel. Ni allwch honni bod y system weithredu'n lân, ac ni allwch honni y bydd gwasanaeth yn y pen pell yn cadw eich mewngofnod yn breifat.

Cadwch y ddau broblem ar wahân a rhowch reolaeth ei hun i bob un:

• Switsh brys: y gofyniad methiant diffiniedig, wedi'i wirio gan brawf diffyg rydych chi'n ei ailadrodd ar ôl pob uwchraddiad cleient.
• Ymddiriedaeth dyfais: diweddariadau â chymorth, amddiffyniad pen draw o ffynhonnell ddibynadwy, adolygu caniatadau ac anogiadau dilysu nad oes esboniad amdanynt.
• Digwyddiad: dilynwch broses y platfform neu'r sefydliad pan amheuir perygl; nid yw gweinydd newydd yn gam glanhau.
• Datgeliad: wrth ofyn am help, peidiwch â phostio allweddi preifat na chyfarwyddiadau diagnostig cyfan, oherwydd mae logiau a sgrinluniau'n cario'r un cyfrinachau â'r cysylltiad.

Rhedwch y dilyniant eto ar ôl y diweddariad nesaf, oherwydd mae switsh brys yn ffurfweddiad sy'n symud gyda fersiynau. Y prawf yw'r unig dystiolaeth sydd gennych fod yr ymddygiad rydych chi'n dibynnu arno yn dal i fod yr ymddygiad rydych chi'n ei gael.