Kuidas testida VPN-i hädaseiskamislülitit ilma päris kontodeta
Tee hädaseiskamislüliti test peibutuslehe ja varuprofiiliga: kata iga katkestuse tüüp, loe curli väljumiskoode ja erista tegelik blokeering DNS-i tõrkest.
Tegelikku kontot pole vaja, et teada saada, kas hädaseiskamislüliti peab; täpselt selle paneb test ohtu. Kontroll loob lühikese akna, milles liiklus võib või ei pruugi tunnelist välja pääseda, seega peaks kandev koorem olema midagi, mida saate kaotada. Teen seda nüüd peibutuslehe ja varu brauseriprofiiliga ning see annab selgema vastuse kui varem kasutatud brauseri ja veebimeili rutiin. Järgnev käib samas järjekorras, mille klient esitab: säte, sihtkoht, üleminek ja seejärel tõendid.
Test vastab ühele kitsale küsimusele: kas selle ülemineku ajal pääseb see rakendus tunnelist väljapoole? See ei ütle midagi selle kohta, kas ülejäänud poliitika on mõistlik. Hoia ulatust nii väikesena ja tulemus on kirjapanekut väärt.
Leia klientrakendusest lüliti ja selle ulatus
Avage klient ja leidke blokeerimissäte enne mis tahes võrguoleku muutmist. Tootjad nimetavad seda erinevalt: hädaseiskamislüliti, lukustusrežiim, võrgulukk, blokeeri liiklus väljaspool tunnelit. Silt ütleb vähem kui seesmised valikud. Oluline on, kas blokeering kehtib alati või ainult siis, kui rakendus otsustab, et tunnel just ebaõnnestus, ja kas see katab kõik rakendused või valitud loendi.
Seejärel loetlege üleminekud, mida teie klient tegelikult teha suudab. Kasutaja algatatud ühenduse katkestamine, rakendusest väljumine ja serveriühenduse kaotamine on enamikus klientides kolm erinevat kooditeed ja need ei jaga üht blokeerimispoliitikat. Mõned vabastavad blokeeringu, kui rakendus väljub. Teised jätavad filtreerimisreeglid paigaldatuks, kuni miski need eemaldab. Lugege selle versiooni kohta, mida kasutate, tootja sätete viidet, selle asemel et oletada, ja kirjutage siis üles, millist kolmest testite.
Kirjutage üles ka profiil: protokoll, aadressipered ja kas jagatud tunnel on lubatud. Väide kogu seadme kohta on mõttetu, kui profiil jätab teadlikult mõne rakenduse välja, ja teie seadistatud väljajätt ei ole leke. OpenVPN Connecti sätete viide on selline leht, mis nimetab, milline lüliti millist käitumist muudab, kuigi sildid erinevad klienditi.
Valige peibutussihtkoht, mis töötab ka ilma tunnelita
Peibutusel peab olema kaks omadust ja kummagi vahelejätmine annab loetamatu tulemuse. See peab olema otseselt kättesaadav, kui tunnel on maas ja blokeering väljas, muidu võib „see lakkas vastamast“ lihtsalt tähendada, et host kadus. Ja see ei tohi nõuda sisselogimist, küpsist ega makset, et leke maksaks teile logirea, mitte seansi.
Staatiline leht hostil, mida kontrollite, on puhas valik. Varuvirtuaalmasin lihtsa HTTP-serveriga on peaaegu sama hea, ja avalik ühenduvuse kontrollleht sobib, kui nõustute, et selle kättesaadavus on väljaspool teie kontrolli. Märkige üles aadress, port, aadressiperekond ja kas päring vajab nimeotsingut, sest igaüks neist muutub muutujaks, mille võite hiljem isoleerida.
Kehtestage baasjoon enne lüliti puudutamist. Kui tunnel on üleval, peab peibutus vastama tunneli kaudu, mis tõestab, et poliitika marsruut töötab. Kui tunnel on maas ja blokeering väljas, peab see vastama otse, mis tõestab, et sihtkoht on elus. Alles siis ütleb tõrge blokeeritud olekus teile midagi.
Tehke üleminekud kindlas järjekorras
Võtke üleminekud ükshaaval ja andke igaühele paar sekundit settimiseks, sest kliendid lammutavad ja ehitavad selles vahes sageli reegleid ümber. Sama lühikese kontrolli käivitamine iga kord hoiab vaatlused võrreldavad:
curl -sS -o /dev/null -w 'http=%{http_code}\n' --max-time 5 http://decoy.example/
echo "curl_exit=$?"
dig +short decoy.example
curl -6 -sS -o /dev/null -w 'v6_http=%{http_code}\n' --max-time 5 http://decoy.example/
echo "curl_v6_exit=$?"| Transition | Expected with the block on | Failure signature |
|---|---|---|
| Manual disconnect | Decoy stops answering within seconds | Decoy still returns 200 |
| Server or path failure | Blocked, with no exemption for the old endpoint | Direct access during the gap |
| Quit the app | Client-dependent; record what happens | Block disappears with the process |
| Wi-Fi to Ethernet | Block holds until the tunnel returns | Traffic flows mid-change |
Rakendusest väljumise rida väärib omaette käivitust, isegi kui te klienti tavakasutuses kunagi ei sulge. Kui blokeering väljumisel vabaneb, annab krahh või sunniviisiline uuendus teile sama kokkupuute, ja see on fakt juurutuse, mitte teie kannatlikkuse kohta. Windowsis on samaväärsed proovimised Resolve-DnsName decoy.example ja curl.exe -s -o NUL -w "%{http_code}" http://decoy.example/.
Eristage blokeering katkisest lahendajast
Lehel, mis ei laadi, on mitu põhjust ja ainult üks neist on töötav lüliti. Kui nimi ei lahene, olete õppinud, et DNS on blokeeritud või katki, mitte et andmetee on blokeeritud. Proovige ka sõnasõnalist aadressi, et vastus ei sõltuks lahendamisest üldse.
curli väljumiskoodid hoiavad need juhtumid lahus: 6 on nime lahendamise tõrge, 7 tähendab, et ühendus keelduti, 28 on ajalõpp. Blokeeritud marsruut ilmub tavaliselt ajalõpu või keeldumisena sõnasõnalise aadressi vastu. Ainult DNS-i blokeering jätab 6 ja peidab kõik muu. Vahemällu salvestatud leht või püüdmisportaal petab silma, seepärast on tõendiks väljumiskood, mitte ekraan.
Korrake proovimist IPv6 kohal sõnasõnalise aadressiga. Blokeering, mis katab IPv4 ja eirab IPv6, on piisavalt tavaline, et väärida omaette rida teie märkmetes, ja klient, mis keelab IPv6 väljaspool tunnelit, peaks mõlemas peres puhtalt ebaõnnestuma.
Kirjutage üles ulatus, mida tulemus katab
Kui tunnel taastub, kinnitage taastumine: peibutus vastab tunneli kaudu, lahendaja tagastab vastused ja poliitika seisab seal, kuhu selle jätsite. Seejärel võtke katsed tagasi. Kohale jäänud ajutine tulemüürireegel, silumismarsruut või testprofiil ajab järgmise käivituse segadusse ja võib rakendusest kauem kesta.
Üks läbimine katab ühe kliendi versiooni, ühe profiili, ühe ülemineku ja ühe aadressiperekonna. Kirjutage need neli koos tulemusega üles:
- Kliendi versioon ja platvorm ning kas säte kehtib profiili kaupa või globaalselt.
- Profiil, protokoll ja kõik jagatud tunneli väljajätud.
- Testitud üleminek ja kuidas te selle käivitasite.
- Aadressipered ja DNS, curli väljumiskoodidega blokeeritud ja blokeerimata oleku jaoks.
Kui mõni rida on tühi, ei ole test lõpetatud. Rändlus tähendab võrguvahetuse rea kordamist. Järelevalveta taaskäivitus tähendab kontrollimist, kas reeglid tulevad tagasi, mis on küsimus taastamise järjekorrast, mitte lülitist. Korrake jada pärast kliendi uuendust, sest lülitid muutuvad harva, samal ajal kui nende taga olev käitumine muutub. Hoidke peibutust käepärast: midagi pole vaja roteerida ja järgmine kontroll võtab viis minutit.