Kontroli senkapigan VPN: unu fluo samtempe, kun pruvoj
Senkapiga skatolo bezonas peton, kies respondon vi povas legi. Testu ĉiun adresan familion, kuntekston kaj celon, poste notu, kion la rezulto ne kovris.
Sur senkapiga skatolo ne estas retumilo por malfermi nek seruro por rigardi, do la kontrolo devas esti peto, kies respondon vi povas legi. Tio ŝajnas bagatela ĝis vi rimarkas, ke unu sola rezulto de elira adreso estas uzata por atesti aparaton, kiu funkciigas dekduon da servoj, du adresajn familiojn kaj prokuron. La sekva trairo konstruas unu limigitan pruvon samtempe, en la sama kunteksto, en kiu la laborŝarĝo efektive funkcias.
Decidu, kion la testo devas pruvi
Antaŭ ol lanĉi ion, skribu la atendon en unu linio: kiu fluo, tra kiu interfaco, al kiu celo, kaj kio devus esti observata ĉe la alia fino. Testo sen deklarita atendo produktas nombron, kiun neniu povas interpreti.
La plej utila versio nomas aprobitan finpunkton, kiu raportas la fontan adreson, kiun ĝi vidis.
Tiu finpunkto estas la sola parto, kiun vi devas aranĝi. Ĉio alia estas observado ĉe la klienta flanko, kaj observadoj ĉe la klienta flanko misfunkcias laŭ interesaj manieroj.
Efektivigu la observadon en la ĝusta kunteksto
La ŝelo de administranto ne estas la medio de la laborŝarĝo. Ĝi povas porti alian prokuran variablon, alian enkursigan tabelon en alia nomspaco, aŭ median dosieron de alia uzanto. Efektivigu la teston en la sama gastiga, uja, nomspaca aŭ serva kunteksto kiel tio, kion vi kontrolas. Alie vi mezuras vian propran ŝelon.
Sur normala gastiganto tio signifas la saman uzanton kaj la saman unuon. En uja medio tio signifas eniri la retan nomspacon de la ujo anstataŭ testi de la gastiganto. Sur systemd-servo tio povas signifi portempan unuon kun la samaj agordoj.
La sekva peto havas sencon nur kiam vi estas en la ĝusta kunteksto.
Kontrolu adresajn familiojn aparte
Petu ĉiun familion eksplicite, ĉar sukcesa peto IPv4 tute ne ekzercas IPv6-vojon. La selektiloj --ipv4 kaj --ipv6 devigas la elekton, kaj la diferenco inter la du rezultoj estas mem informo.
curl --ipv4 https://probe.example/observed-source
curl --ipv6 https://probe.example/observed-sourceMalsukcesa peto IPv6 ne estas pruvo de efika blokado. Ĝi povas signifi, ke la finpunkto havas neniun IPv6-adreson, ke DNS redonis nenion uzeblan, aŭ ke la aparato havas tute neniun IPv6-vojon. Legu la malsukceson antaŭ ol fari konkludon el ĝi. Sukcesa peto IPv6 tra la tunelo estas la sola rezulto, kiu pruvas, ke la IPv6-vojo estas kovrita.
Notu ambaŭ respondojn unu apud la alia. Unu sola el ili estas duono de fakto.
Aldonu la kvar aferojn, kiujn elira kontrolo maltrafas
Elira adreso respondas unu demandon. Kvar pliaj decidas, ĉu la tunelo kondutas kiel planite.
| Check | What it proves | What it does not |
|---|---|---|
| Included and excluded destinations | The split behaves as designed for those flows | Coverage of any other destination |
| Resolver path | Where a fresh lookup actually travelled | Where a cached answer came from |
| Tunnel-down behaviour | The failure policy for a new request | What an already open connection does |
| Reconnect and restart | The requirement survives the lifecycle event | Behaviour under load or partial failure |
Cela politiko venas unue: testu fluon, kiu devus esti inkluzivita, kaj unu, kiu devus esti ekskludita, kiam la dezajno havas dividon. Poste DNS, kie vi inspektas la efektivan vojon de la solvilo anstataŭ la agorditan valoron, ĉar kaŝmemora respondo aŭ presita agordo diras nenion pri tio, kien iris nova peto.
Malsukcesa konduto bezonas planon kaj konservitan reakiran vojon. Observu novan peton dum la tunelo ne disponeblas, kaj memoru, ke malnova malfermita konekto ne estas pruvo pri la malsukcesa politiko. Vivociklo venas laste: ripetu la observadon post rekonekto aŭ serva restartigo, se tiuj eventoj influas la postulon.
Notu pruvojn, ne verdikton
Por ĉiu rezulto konservu la procezan kuntekston, la celon, la adresan familion, la tempon kaj la observitan fonton. Tiu aro estas limigita pruvo pri la fluoj, kiujn vi ekzercis, kaj ĝi estas defendebla ĝuste ĉar ĝi diras, kion ĝi kovris.
Ĝi ne estas revizio de la registroj de la VPN-operaciisto, nek atestilo por ĉiu estonta aplikaĵo sur la aparato.
Skribu la limojn apud la rezulto. Testo, kiu deklaras, kion ĝi ne kovris, postvivas revizion, dum unu, kiu asertas, ke la aparato estas kontrolita, ne postvivas. Tenu la curl-manlibron apud la familiselektiloj, kiujn vi uzis, kaj tenu la tabelon kun kvar vicoj kun la rezultoj.