Sut i brofi switsh lladd VPN heb dy gyfrifon go iawn
Rhedeg prawf switsh lladd gyda thudalen dwyll a phroffil sbâr: gorchuddiwch bob math o golled, darllenwch godau gadael curl, a gwahanwch floc go iawn oddi wrth fethiant DNS.
Nid oes angen cyfrif go iawn arnoch i ddarganfod a yw switsh lladd yn dal; dyna'n union y mae prawf yn ei roi mewn perygl. Mae'r gwiriad yn creu ffenestr fer lle gall traffig fynd neu beidio â mynd y tu allan i'r tiwnel, felly dylai'r llwyth fod yn rhywbeth y gallech ei golli. Rwy'n gwneud hyn nawr gyda thudalen dwyll a phroffil porwr sbâr, ac mae'n rhoi ateb cliriach na'r drefn porwr-a-gwe-bost a ddefnyddiais o'r blaen. Mae'r canlynol yn dilyn yr un drefn ag y mae'r cleient yn ei chyflwyno: y gosodiad, y gyrchfan, y newid, yna'r dystiolaeth.
Mae'r prawf yn ateb un cwestiwn cul: yn ystod y newid hwn, a all y rhaglen hon gyrraedd y rhwydwaith y tu allan i'r tiwnel? Nid yw'n dweud dim am ba un a yw gweddill y polisi yn synhwyrol. Cadwch yr amrediad mor fach ac mae'r canlyniad yn werth ei ysgrifennu.
Dod o hyd i'r switsh a'i amrediad yn y cleient
Agorwch y cleient a dod o hyd i'r gosodiad blocio cyn newid unrhyw gyflwr rhwydwaith. Mae gwerthwyr yn ei alw'n wahanol: switsh lladd, modd clo, clo rhwydwaith, blocio traffig y tu allan i'r tiwnel. Mae'r label yn dweud llai na'r opsiynau y tu mewn iddo. Y peth sy'n bwysig yw a yw'r bloc yn berthnasol bob amser, neu dim ond pan fydd y rhaglen yn penderfynu bod tiwnel newydd fethu, ac a yw'n gorchuddio pob rhaglen neu restr ddethol.
Yna rhestrwch y newidiadau y gall eich cleient eu gwneud mewn gwirionedd. Mae datgysylltu a gychwynnir gan y defnyddiwr, gadael y rhaglen a cholli cysylltiad â'r gweinydd yn dri llwybr cod gwahanol yn y rhan fwyaf o gleientiaid, ac nid ydynt yn rhannu un polisi blocio. Mae rhai'n rhyddhau'r bloc pan fydd y rhaglen yn cau. Mae eraill yn gadael rheolau hidlo wedi'u gosod nes bod rhywbeth yn eu symud. Darllenwch gyfeirnod gosodiadau'r gwerthwr ar gyfer y fersiwn rydych yn ei redeg yn lle tybio, yna nodwch pa un o'r tri rydych yn ei brofi.
Cofnodwch y proffil hefyd: protocol, teuluoedd cyfeiriad, ac a yw tiwnelu hollt wedi'i alluogi. Mae honiad am y ddyfais gyfan yn ddiystyr os yw'r proffil yn eithrio ychydig o raglenni yn fwriadol, ac nid yw eithriad a gyflunwyd gennych yn golled. Cyfeirnod gosodiadau OpenVPN Connect yw'r math o dudalen sy'n enwi pa doglen sy'n newid pa ymddygiad, er bod y labeli'n wahanol ym mhob cleient.
Dewiswch gyrchfan dwyll sy'n gweithio heb y tiwnel hefyd
Mae angen dau briodwedd ar y twyll, ac mae hepgor y naill neu'r llall yn rhoi canlyniad annarllenadwy. Rhaid iddo fod yn gyrraeddadwy'n uniongyrchol pan fydd y tiwnel i lawr a'r bloc i ffwrdd, neu gallai “stopiodd ateb” olygu'n syml bod y gwesteiwr wedi mynd. Ac ni ddylai fod angen mewngofnodi, cwci na thaliad, fel bod gollyngiad yn costio llinell log i chi yn lle sesiwn.
Tudalen statig ar westeiwr rydych yn ei reoli yw'r dewis glân. Mae peiriant rhithwir sbâr sy'n rhedeg gweinydd HTTP plaen bron cystal, ac mae tudalen gwirio cysylltedd gyhoeddus yn gweithio os ydych yn derbyn bod ei hargaeledd y tu allan i'ch rheolaeth. Nodwch y cyfeiriad, y porthladd, y teulu cyfeiriad ac a oes angen chwiliad enw ar y cais, oherwydd mae pob un o'r rheini'n dod yn newidyn y gallech fod angen ei ynysu yn ddiweddarach.
Sefydlwch y llinell sylfaen cyn cyffwrdd â'r switsh. Gyda'r tiwnel i fyny, rhaid i'r twyll ateb trwy'r tiwnel, sy'n profi bod llwybr y polisi yn gweithio. Gyda'r tiwnel i lawr a'r bloc i ffwrdd, rhaid iddo ateb yn uniongyrchol, sy'n profi bod y gyrchfan yn fyw. Dim ond yna y mae methiant yn y cyflwr blociedig yn dweud unrhyw beth wrthych.
Rhedwch y newidiadau mewn trefn sefydlog
Cymerwch y newidiadau un ar y tro a rhowch ychydig eiliadau i bob un setlo, oherwydd mae cleientiaid yn aml yn tynnu rheolau i lawr ac yn eu hailadeiladu yn y bwlch hwnnw. Mae rhedeg yr un gwiriad byr bob tro yn cadw'r arsylwadau'n gymharol:
curl -sS -o /dev/null -w 'http=%{http_code}\n' --max-time 5 http://decoy.example/
echo "curl_exit=$?"
dig +short decoy.example
curl -6 -sS -o /dev/null -w 'v6_http=%{http_code}\n' --max-time 5 http://decoy.example/
echo "curl_v6_exit=$?"| Transition | Expected with the block on | Failure signature |
|---|---|---|
| Manual disconnect | Decoy stops answering within seconds | Decoy still returns 200 |
| Server or path failure | Blocked, with no exemption for the old endpoint | Direct access during the gap |
| Quit the app | Client-dependent; record what happens | Block disappears with the process |
| Wi-Fi to Ethernet | Block holds until the tunnel returns | Traffic flows mid-change |
Mae'r rhes gadael y rhaglen yn haeddu ei rhediad ei hun hyd yn oed os na fyddwch byth yn cau'r cleient mewn defnydd arferol. Os yw'r bloc yn rhyddhau wrth adael, mae damwain neu ddiweddariad gorfodol yn rhoi'r un amlygiad i chi, ac mae hynny'n ffaith am y defnydd, nid am eich amynedd. Ar Windows y profion cyfatebol yw Resolve-DnsName decoy.example a curl.exe -s -o NUL -w "%{http_code}" http://decoy.example/.
Gwahanwch floc oddi wrth ddatryswr sydd wedi torri
Mae gan dudalen sy'n methu llwytho sawl achos, a dim ond un ohonynt yw'r switsh yn gweithio. Os nad yw'r enw'n datrys, rydych wedi dysgu bod DNS wedi'i flocio neu wedi torri, nid bod y llwybr data wedi'i flocio. Profwch gyfeiriad llythrennol hefyd, fel nad yw'r ateb yn dibynnu o gwbl ar ddatrysiad.
Mae codau gadael curl yn cadw'r achosion hynny ar wahân: 6 yw methiant datrys enw, 7 yw bod y cysylltiad wedi'i wrthod, 28 yw terfyn amser. Mae llwybr blociedig fel arfer yn ymddangos fel terfyn amser neu wrthodiad yn erbyn cyfeiriad llythrennol. Mae bloc DNS yn unig yn gadael 6 ar ôl ac yn cuddio popeth arall. Mae tudalen wedi'i chache storio neu borth mynediad yn twyllo'r llygad, a dyna pam mai'r cod gadael, nid y sgrin, yw'r dystiolaeth.
Ailadroddwch y prawf dros IPv6 gyda chyfeiriad llythrennol. Mae bloc sy'n gorchuddio IPv4 ac yn anwybyddu IPv6 yn ddigon cyffredin i haeddu ei linell ei hun yn eich nodiadau, ac mae cleient sy'n analluogi IPv6 y tu allan i'r tiwnel yn dylai fethu'n lân ar y ddau deulu.
Cofnodwch yr amrediad y mae'r canlyniad yn ei orchuddio
Pan fydd y tiwnel yn ôl, cadarnhewch yr adferiad: mae'r twyll yn ateb trwy'r tiwnel, mae'r datryswr yn dychwelyd atebion, ac mae'r polisi'n eistedd lle y gadawyd ef. Yna dadwnewch yr arbrofion. Bydd rheol wal dân dros dro, llwybr dadfygio neu broffil prawf a adawyd yn ei le yn drysu'r rhediad nesaf a gallant oroesi'r rhaglen.
Mae un pas yn gorchuddio un fersiwn cleient, un proffil, un newid ac un teulu cyfeiriad. Nodwch y pedwar hynny gyda'r canlyniad:
- Fersiwn y cleient a'r platfform, ac a yw'r gosodiad fesul proffil neu'n fyd-eang.
- Proffil, protocol, ac unrhyw eithriadau tiwnelu hollt.
- Y newid a brofwyd, a sut y gwnaethoch ei sbarduno.
- Teuluoedd cyfeiriad a DNS, gyda chodau gadael curl ar gyfer y cyflyrau blociedig a heb eu blocio.
Os yw unrhyw linell yn wag, nid yw'r prawf wedi gorffen. Mae crwydro'n golygu ailadrodd y rhes newid rhwydwaith. Mae ailgychwyn heb oruchwyliaeth yn golygu gwirio bod y rheolau'n dychwelyd, sy'n gwestiwn am drefn adfer yn hytrach nag am y switsh. Ailredwch y dilyniant ar ôl diweddariad cleient, oherwydd anaml y mae'r toglau'n newid tra bod yr ymddygiad y tu ôl iddynt yn newid. Cadwch y twyll gerllaw: nid oes dim i'w gylchdroi, ac mae'r gwiriad nesaf yn cymryd pum munud.