Nola probatu VPN baten segurtasun-etengailua zure benetako konturik gabe
Egin segurtasun-etengailuaren proba amu-orri batekin eta ordezko profil batekin: estali eten mota bakoitza, irakurri curl-en irteera-kodeak eta bereizi benetako blokeoa DNS hutsegite batetik.
Ez duzu benetako konturik behar segurtasun-etengailu batek eusten duen jakiteko; horixe da proba batek arriskuan jartzen duena. Egiaztapenak leiho labur bat sortzen du, zeinetan trafikoak tuneletik kanpora irten daitekeen edo ez, beraz karga gal dezakezun zerbait izan beharko litzateke. Orain amu-orri batekin eta ordezko nabigatzaile-profil batekin egiten dut, eta lehen erabiltzen nuen nabigatzaile eta web-postaren errutinak baino erantzun argiagoa ematen du. Jarraian etortzen dena bezeroak aurkezten duen ordena berari jarraitzen dio: ezarpena, helmuga, trantsizioa, eta gero frogak.
Probak galdera estu bat erantzuten du: trantsizio honetan, aplika dezake aplikazio honek tuneletik kanpoko sarera iritsi? Ez du ezer esaten politikaren gainerakoa zentzuzkoa den ala ez. Mantendu irismena horren txikia, eta emaitza idazteko merezi du.
Aurkitu etengailua eta haren irismena bezeroan
Ireki bezeroa eta aurkitu blokeo-ezarpena sare-egoera edozein aldatu aurretik. Hornitzaileek modu ezberdinetan deitzen diote: segurtasun-etengailua, blokeo modua, sare-blokeoa, tunelatik kanpoko trafika blokeatu. Etiketak barruko aukerek baino gutxiago esaten du. Garrantzitsua da blokeoa beti aplikatzen den, edo aplikazioak tunel bat huts egin berri duela erabakitzen duenean soilik, eta aplikazio guztiak edo hautatutako zerrenda bat estaltzen duen.
Ondoren zerrendatu zure bezeroak benetan egin ditzakeen trantsizioak. Erabiltzaileak hasitako deskonexioa, aplikaziotik irtetea eta zerbitzariarekiko kontaktua galtzea hiru kode-bide ezberdin dira bezero gehienetan, eta ez dute blokeo-politika bakarra partekatzen. Batzuek blokeoa askatzen dute aplikazioa irten ondoren. Beste batzuek iragazki-arauak instalatuta uzten dituzte zerbait kentzen duen arte. Irakurri hornitzailearen ezarpen-erreferentzia exekutatzen duzun bertsiorako, suposatu beharrean, eta gero idatzi hiruretatik zein probatzen ari zaren.
Idatzi profila ere: protokoloa, helbide-familia eta tunel zatitua gaituta dagoen. Gailu osoko baieztapena zentzugabea da profilak berariaz aplikazio batzuk baztertzen baditu, eta zuk konfiguratutako bazterketa ez da isuri bat. OpenVPN Connect-en ezarpen-erreferentzia da zein etengailuk zein portaera aldatzen duen izendatzen duen orri mota, nahiz eta etiketak bezeroaren arabera aldatzen diren.
Aukeratu tunelik gabe ere funtzionatzen duen amu-helmuga
Amuak bi propietate behar ditu, eta edozein saihesteak irakurtezin bihurtzen du emaitza. Zuzenean irisgarria izan behar du tunela jaitsita eta blokeoa desaktibatuta dagoenean, bestela «erantzuteari utzi zion» host-a desagertu dela esan nahi izan dezake. Eta ez du saio-hasiera, cookie edo ordainketa behar izan behar, isuri batek saio bat ordez log-lerro bat kosta diezazun.
Kontrolatzen duzun ostalari bateko orri estatikoa aukera garbia da. HTTP zerbitzari arrunta duen ordezko makina birtuala ia bezain ona da, eta konektibitate-egiaztapeneko orri publiko batek balio du haren erabilgarritasuna zure kontroletik kanpo dagoela onartzen baduzu. Idatzi helbidea, ataka, helbide-familia eta eskaerak izen-kontsulta behar duen, horietako bakoitza geroago isolatu beharko duzun aldagai bihurtzen baita.
Ezarri oinarrizko lerroa etengailua ukitu aurretik. Tunela altxatuta dagoenean, amuak tuneletik erantzun behar du, eta horrek frogatzen du politikaren ibilbidea funtzionatzen duela. Tunela jaitsita eta blokeoa itzalita dagoenean, zuzenean erantzun behar du, eta horrek frogatzen du helmuga bizirik dagoela. Orduan soilik esaten dizu zerbait blokeatutako egoerako hutsegite batek.
Exekutatu trantsizioak ordena finkoan
Hartu trantsizioak banan-banan eta eman bakoitzari segundo batzuk finkatzeko, bezeroek sarritan arauak eraisten eta berreraikitzen baitituzte tarte horretan. Egiaztapen labur bera aldi bakoitzean exekutatzeak behaketak alderagarri mantentzen ditu:
curl -sS -o /dev/null -w 'http=%{http_code}\n' --max-time 5 http://decoy.example/
echo "curl_exit=$?"
dig +short decoy.example
curl -6 -sS -o /dev/null -w 'v6_http=%{http_code}\n' --max-time 5 http://decoy.example/
echo "curl_v6_exit=$?"| Transition | Expected with the block on | Failure signature |
|---|---|---|
| Manual disconnect | Decoy stops answering within seconds | Decoy still returns 200 |
| Server or path failure | Blocked, with no exemption for the old endpoint | Direct access during the gap |
| Quit the app | Client-dependent; record what happens | Block disappears with the process |
| Wi-Fi to Ethernet | Block holds until the tunnel returns | Traffic flows mid-change |
Aplikaziotik irteteko errenkadak bere exekuzio propioa merezi du, nahiz eta inoiz ez duzun bezeroa ixten ohiko erabileran. Blokeoa irtetean askatzen bada, kraskadura edo derrigorrezko eguneratze batek esposizio bera ematen dizu, eta hori hedapenari buruzko egitatea da, ez zure pazientziari buruzkoa. Windows-en baliokide diren probak hauek dira: Resolve-DnsName decoy.example eta curl.exe -s -o NUL -w "%{http_code}" http://decoy.example/.
Bereizi blokeoa ebazle hautsitik
Kargatzen ez den orri batek hainbat arrazoi ditu, eta horietako bat baino ez da etengailua ondo ibiltzea. Izena ebazten ez bada, DNS blokeatuta edo hautsita dagoela ikasi duzu, ez datu-bidea blokeatuta dagoela. Proba ezazu helbide literal bat ere, erantzuna ebazpenaren mende batere ez egoteko.
curl-en irteera-kodeek kasu horiek bereizten dituzte: 6 izen-ebazpenaren hutsegitea da, 7 konexioa ukatu zela esan nahi du, 28 denbora-muga da. Ibilbide blokeatu bat denbora-muga edo helbide literal baten aurkako ukapen gisa agertu ohi da. DNS soilik blokeatzeak 6 uzten du eta gainerako guztia ezkutatzen du. Cachean gordetako orri batek edo atzipen-portal batek begia engainatzen du, eta horregatik irteera-kodea da froga, ez pantaila.
Errepikatu proba IPv6 gainean helbide literal batekin. IPv4 estaltzen eta IPv6 alde batera uzten duen blokeo bat nahikoa ohikoa da zure oharretan bere lerroa izateko, eta tuneletik kanpo IPv6 desgaitzen duen bezeroak familia bietan huts egin beharko luke garbi.
Idatzi emaitzak estaltzen duen irismena
Tunela itzultzen denean, berretsi berreskuratzea: amuak tuneletik erantzuten du, ebazleak erantzunak itzultzen ditu, eta politika utzi zenuen lekuan geratzen da. Gero desegin esperimentuak. Lekuan utzitako suebaki-arau aldi baterako batek, arazketa-ibilbide batek edo proba-profil batek hurrengo exekuzioa nahastuko du eta aplikazioa baino gehiago iraun dezake.
Pasaldi bakar batek bezeroaren bertsio bat, profil bat, trantsizio bat eta helbide-familia bat estaltzen ditu. Idatzi horiek laurak emaitzarekin:
- Bezeroaren bertsioa eta plataforma, eta ezarpena profilekoa edo orokorra den.
- Profila, protokoloa eta tunel zatituaren bazterketa guztiak.
- Probatu den trantsizioa, eta nola eragin zenuen.
- Helbide-familiak eta DNS, curl-en irteera-kodeekin blokeatutako eta blokeatu gabeko egoeretarako.
Edozein lerro hutsik badago, proba ez da amaitu. Ibilgailua aldatzeak sare-aldaketaren errenkada errepikatzea esan nahi du. Gainbegiratu gabeko berrabiarazteak arauak itzultzen direla egiaztatzea esan nahi du, eta hori berrezartze-ordenari buruzko galdera da, ez etengailuari buruzkoa. Errepikatu sekuentzia bezeroaren eguneratze baten ondoren, etengailuak gutxitan aldatzen baitira haien atzeko portaera aldatzen den bitartean. Eduki amua eskura: ez dago biratzerik, eta hurrengo egiaztapenak bost minutu hartzen ditu.