Peadeta VPN-i kontrollimine: üks voog korraga, tõenditega
Peata seade vajab päringut, mille vastust saad lugeda. Testige iga aadressiperekonda, konteksti ja sihtkohta ning kirjutage seejärel üles, mida tulemus ei katnud.
Peata seadmes ei ole brauserit, mida avada, ega lukku, mida vaadata, seega peab kontroll olema päring, mille vastust saad lugeda. See kõlab triviaalselt, kuni märkad, et üksainus väljumisaadressi tulemus on kasutusel seadme sertifitseerimiseks, mis käitab tosinat teenust, kahte aadressiperekonda ja puhverserverit. Alljärgnev ülevaade ehitab korraga ühe piiratud tõendi, samas kontekstis, milles töökoormus tegelikult töötab.
Otsustage, mida test peab tõestama
Enne millegi käivitamist kirjutage ootus ühele reale: milline voog, millise liidese kaudu, millisesse sihtkohta ja mida tuleks teises otsas näha. Ilma väljendatud ootuseta test annab numbri, mida keegi tõlgendada ei suuda.
Kõige kasulikum versioon nimetab kinnitatud lõpp-punkti, mis teavitab nähtud lähteaadressist.
See lõpp-punkt on ainus osa, mille pead korraldama. Kõik muu on kliendipoolne vaatlus ja kliendipoolsed vaatlused lähevad huvitavatel viisidel valesti.
Viige vaatlus läbi õiges kontekstis
Administraatori kest ei ole töökoormuse keskkond. See võib kanda teistsugust puhverserveri muutujat, teistsugust marsruutimistabelit teises nimeruumis või teise kasutaja keskkonnafaili. Viige test läbi samas hosti, konteineri, nimeruumi või teenuse kontekstis nagu see, mida kontrollid. Muidu mõõdad oma kesta.
Tavalisel hostil tähendab see sama kasutajat ja sama üksust. Konteinerikeskkonnas tähendab see konteineri võrgu nimeruumi sisenemist, mitte hostist testimist. systemd teenusel võib see tähendada samade seadetega ajutist üksust.
Järgnev päring on mõttekas alles siis, kui oled õiges kontekstis.
Kontrollige aadressiperekondi eraldi
Küsi iga perekonda selgesõnaliselt, sest edukas IPv4 päring ei harjuta IPv6 teed üldse. Valijad --ipv4 ja --ipv6 sunnivad valikut ning kahe tulemuse erinevus on ise informatsioon.
curl --ipv4 https://probe.example/observed-source
curl --ipv6 https://probe.example/observed-sourceEbaõnnestunud IPv6 päring ei ole tõhusa blokeeringu tõend. See võib tähendada, et lõpp-punktil pole IPv6 aadressi, et DNS ei tagastanud midagi kasutatavat või et seadmel pole üldse IPv6 marsruuti. Loe ebaõnnestumist enne järelduse tegemist. Edukas IPv6 päring tunnelist läbi on ainus tulemus, mis tõestab, et IPv6 tee on kaetud.
Kirjuta mõlemad vastused kõrvuti üles. Üks neist üksi on pool faktist.
Lisage neli asja, mida väljumiskontroll ei märka
Väljumisaadress vastab ühele küsimusele. Veel neli otsustavad, kas tunnel käitub nii, nagu projekteeritud.
| Check | What it proves | What it does not |
|---|---|---|
| Included and excluded destinations | The split behaves as designed for those flows | Coverage of any other destination |
| Resolver path | Where a fresh lookup actually travelled | Where a cached answer came from |
| Tunnel-down behaviour | The failure policy for a new request | What an already open connection does |
| Reconnect and restart | The requirement survives the lifecycle event | Behaviour under load or partial failure |
Sihtkoha poliitika tuleb esimesena: testige voogu, mis peaks olema kaasatud, ja voogu, mis peaks olema välistatud, kui disainis on jaotus. Seejärel DNS, kus uurite tegelikku lahendaja teed, mitte konfigureeritud väärtust, sest vahemällu salvestatud vastus või trükitud säte ei ütle midagi selle kohta, kuhu uus päring läks.
Tõrkekäitumine vajab plaani ja säilitatud taasteteed. Jälgige uut päringut, kui tunnel pole saadaval, ja pidage meeles, et vana avatud ühendus ei ole tõend tõrkepoliitika kohta. Elutsükkel tuleb viimasena: korrake vaatlust pärast taasühendamist või teenuse taaskäivitamist, kui need sündmused mõjutavad nõuet.
Kirjutage üles tõendid, mitte otsus
Iga tulemuse juures hoidke protsessi konteksti, sihtkohta, aadressiperekonda, aega ja vaadeldud allikat. See kogum on piiratud tõend voogude kohta, mida harjutasite, ja see on kaitstav just sellepärast, et ütleb, mida see katab.
See ei ole VPN-operaatori kirjete audit ega sertifikaat seadme iga tulevase rakenduse jaoks.
Kirjutage piirid tulemuse kõrvale. Test, mis ütleb, mida see ei katnud, läbib ülevaatuse, samas kui väide, et seade on kontrollitud, ei läbi. Hoidke curl-käsiraamat kasutatud perekondade valijate kõrval ja hoidke nelja reaga tabel tulemuste juures.