Hoe teststo in VPN-killskeakel sûnder dyn echte akkounts
Doch in killskeakeltest mei in lokside en in ekstra profyl: dek elk type ûnderbrekking, lês de útgongskoades fan curl en skied in echte blokkade fan in DNS-flater.
Do hast gjin echte akkount nedich om út te finen oft in killskeakel hâldt; dat is krekt wat in test yn gefaar bringt. De kontrôle makket in koart finster wêryn't ferkear wol of net bûten de tunnel komme kin, dus de lading moat eat wêze datst ferlieze kinst. Ik doch dit no mei in lokside en in ekstra browserprofyl, en it jout in dúdliker antwurd as de browser-plus-webmail-rûtine dy't ik earder brûkte. Wat folget giet yn deselde folchoarder as de klient presintearret: de ynstelling, de bestimming, de oergong, en dan it bewiis.
De test beantwurdet ien smelle fraach: kin dizze tapassing yn dizze oergong it netwurk bûten de tunnel berikke? It seit neat oer oft de rest fan it belied sinfol is. Hâld it berik sa lyts en it resultaat is it opskriuwen wurdich.
Fyn de skeakel en syn berik yn de klient
Iepenje de klient en fyn de blokkearringsynstelling foardatst hokker netwurksteat dan ek feroarest. Leveransiers neame it oars: killskeakel, beskoattelmodus, netwurkslot, blokkearje ferkear bûten de tunnel. It label seit minder as de opsjes derbinnen. Wat telt is oft de blokkade altyd jildt, of allinnich as de tapassing beslút dat in tunnel krekt mislearre is, en oft it elke tapassing of in keazen list beslacht.
Lis dan de oergongen op dy't dyn klient echt útfiere kin. In troch de brûker begûne ferbining ferbrekke, de tapassing ferlitte en kontakt mei de tsjinner ferlieze binne trije ferskillende kodepaden yn de measte klienten, en se diele net ien blokkearjend belied. Guon litte de blokkade los as de tapassing slút. Oaren litte filterregels ynstallearre oant eat se fuorthellet. Lês de ynstellingsreferinsje fan de leveransier foar de ferzje dy'tst draaist ynstee fan oan te nimmen, en skriuw dan op hokker fan de trije do testest.
Skriuw ek it profyl op: protokol, adresfamyljes en oft ferdielde tunnel oan is. In bewearing oer it hiele apparaat is betsjuttingsleas as it profyl mei opsetsin in pear tapassingen útslút, en in útsluting dy'tst konfigurearre hast is gjin lek. De ynstellingsreferinsje fan OpenVPN Connect is it soarte side dat neamt hokker skeakel hokker gedrach feroaret, ek al ferskille de labels per klient.
Kies in lokbestimming dy't ek sûnder de tunnel wurket
De lok hat twa eigenskippen nedich, en ien fan beide oerslaan jout in ûnlêsber resultaat. Hy moat direkt berikber wêze as de tunnel del is en de blokkade út is, oars kin “it hold op mei antwurdzjen” gewoan betsjutte dat de host fuort is. En hy mei gjin oanmelding, cookie of betelling nedich hawwe, sadat in lek dy in logrigel kostet ynstee fan in sesje.
In statyske side op in host dy'tst behearskest is de skjinne kar. In ekstra firtuele masine mei in gewoane HTTP-tsjinner is hast like goed, en in iepenbiere ferbiningskontrôleside wurket as't akseptearrest dat de beskikberens bûten dyn kontrôle leit. Skriuw it adres, de poarte, de adresfamylje en oft it fersyk in nammesyklêze nedich hat, want elk dêrfan wurdt in fariabele dy'tst letter miskien isolearje moatst.
Set de basisline fêst foardatst de skeakel oanrekest. Mei de tunnel omheech moat de lok troch de tunnel antwurdzje, wat bewiist dat de beliedsroute wurket. Mei de tunnel del en de blokkade út moat er direkt antwurdzje, wat bewiist dat de bestimming libbet. Pas dan fertelt in flater yn 'e blokkearre steat dy wat.
Fier de oergongen yn in fêste folchoarder út
Nim de oergongen ien foar ien en jou elk in pear sekonden om te setten, want klienten brekke en werbouwe faak regels yn dat gat. Deselde koarte kontrôle elke kear draaie hâldt de waarnimmings ferlykber:
curl -sS -o /dev/null -w 'http=%{http_code}\n' --max-time 5 http://decoy.example/
echo "curl_exit=$?"
dig +short decoy.example
curl -6 -sS -o /dev/null -w 'v6_http=%{http_code}\n' --max-time 5 http://decoy.example/
echo "curl_v6_exit=$?"| Transition | Expected with the block on | Failure signature |
|---|---|---|
| Manual disconnect | Decoy stops answering within seconds | Decoy still returns 200 |
| Server or path failure | Blocked, with no exemption for the old endpoint | Direct access during the gap |
| Quit the app | Client-dependent; record what happens | Block disappears with the process |
| Wi-Fi to Ethernet | Block holds until the tunnel returns | Traffic flows mid-change |
De rige oer de tapassing ferlitte fertsjinnet syn eigen rin, sels as't de klient yn normaal gebrûk nea slútst. As de blokkade by it ferlitten loslitten wurdt, jout in crash of in twongen fernijing dy deselde bleatstelling, en dat is in feit oer de útrulling, net oer dyn geduld. Op Windows binne de lykweardige probes Resolve-DnsName decoy.example en curl.exe -s -o NUL -w "%{http_code}" http://decoy.example/.
Skied in blokkade fan in stikken resolver
In side dy't net lade wol hat ferskate oarsaken, en mar ien dêrfan is de skeakel dy't wurket. As de namme net oplost, hast leard dat DNS blokkearre of stikken is, net dat it datapad blokkearre is. Probearje ek in letterlik adres, sadat it antwurd hielendal net fan oplossen ôfhinget.
De útgongskoades fan curl hâlde dy gefallen útinoar: 6 is in namme-oplossingsflater, 7 betsjut dat de ferbining wegere waard, 28 is in time-out. In blokkearre rûte docht him meast foar as in time-out of in wegering tsjin in letterlik adres. In allinnich-DNS-blokkade lit 6 efter en ferberget al it oare. In side út 'e cache of in finzenisportaal bedjert it each, dêrom is de útgongskoade, net it skerm, it bewiis.
Werhelje de probe oer IPv6 mei in letterlik adres. In blokkade dy't IPv4 dekt en IPv6 negearret is gewoan genôch om syn eigen rigel yn dyn notysjes te fertsjinjen, en in klient dy't IPv6 bûten de tunnel útskeakelet moat op beide famyljes skjin mislearje.
Skriuw it berik op dat it resultaat dekt
As de tunnel werom is, befêstigje it herstel: de lok antwurdet troch de tunnel, de resolver jout antwurden werom, en it belied stiet dêr'tst it lietst. Draai dan de eksperiminten werom. In tydlike firewallregel, in debugrûte of in testprofyl dy't bliuwe stean sil de folgjende rin yn 'e war bringe en kin de tapassing oerlibje.
Ien trochrin dekt ien klientferzje, ien profyl, ien oergong en ien adresfamylje. Skriuw dy fjouwer op mei de útkomst:
- Klientferzje en platfoarm, en oft de ynstelling per profyl of globaal is.
- Profyl, protokol en alle útslutings fan ferdielde tunnel.
- Teste oergong, en hoe'tst dy útloktest.
- Adresfamyljes en DNS, mei de útgongskoades fan curl foar de blokkearre en net-blokkearre steat.
As ien rigel leech is, is de test net klear. Roaming betsjut de rigel oer netwurkferoaring werhelje. In ûnbewekke werstart betsjut kontrolearje dat de regels weromkomme, wat in fraach is oer wersteloarder en net oer de skeakel. Werhelje de sekwinsje nei in klientfernijing, want de skeakels feroarje selden wylst it gedrach dêrefter dat wol docht. Hâld de lok by de hân: neat om te rotearjen, en de folgjende kontrôle duorret fiif minuten.