Kontrolearje dat in splitstunnel wurket: ien IP-útkomst is gjin test

In inkele browser-side dy't in IP-adres sjen lit, bewizen hast neat oer in splitstunnel. In sichtber adres kin it juste wêze om de ferkearde reden, en in útsletten stream wurdt der nea mei oefene. Skriuw de ferwachte útkomst op foardatsto testest: hokker applikaasje of bestimming de tunnel brûke moat, hokker direkt bliuwe moat, en wat stopje moat as de tunnel mislearret. Sûnder dat plan liket elk oannimlik getal sukses.

De myte: in adresoersjoch bewiist dekking

De IP-kontrôle beantwurdet ien fraach: wat de bûtenwrâld op ien stuit fan ien applikaasje sjocht. It seit neat oer in yntern foarheaksel, in twadde browserprofyl of in namme dy't privee oplost wurde moat. It seit ek neat oer mislearring, en dat is de helte fan in splitstunnelûntwerp dy't yn produksje brekt.

In adresside kin ek de rûte, de resolver of it mislearringsbelied net sjen litte. Behannelje it as ien waarnimming, net as in oardiel.

Oefenje in ynsluten stream en ien dy't útsletten is

Stjoer in harmless fersyk fan de applikaasje dy't ynsluten wêze moat, of nei it foarheaksel datsto ferwachtet troch de tunnel te rûnen, en registrearje de boarne, bestimming, adresfamylje en waarnommen paad. Doch itselde foar in stream dy't direkt bliuwe moat. De útsletten kant is dejinge dy't minsken oerslaan, en it is it iennige bewiis dat de splitsing bewust is ynstee fan tafallich. In helpproses kin in aparte beliedsidentiteit drage, dus test yn it proses dat de socket hat.

flow: Firefox to intranet.example:443, IPv4, source 10.8.0.6, tunneled
flow: Firefox to 1.1.1.1, IPv4, source 192.0.2.20, direct

Dêrom kin in test yn de ferkearde applikaasje it tsjinoerstelde sjen litte fan wat it ûntwerp bedoelt. Skriuw de fjouwer fjilden foar beide kanten op foardatsto in konklúzje lûkst.

Foegje DNS en it mislearringsgefal ta

Freegje de systeemresolver en de resolver dy't de app brûkt, en fergelykje dy antwurden dan mei it útgongsadres dat de side rapportearret. De twa lagen kinne bewust ferskille, en ien browserûndersyk oefenet it bestjoeringssysteembelied net. In shell makket de fergeliking werhellber: Brek de tunnel mei opsetsin, meitsje dan in fersyk dat de browser net yn 'e cache hat; in side út 'e cache fertelt neat oer hokker kant de fallback gie. Registrearje wat echt barde ynstee fan wat it ûntwerp foarsei.

curl -s https://ifconfig.me
nslookup intranet.example

In splitstunnel dy't ticht mislearret en ien dy't iepen mislearret, sjogge identyk út oantsto de tunnel mei opsetsin brekst. Registrearje hokker gedrachsto waarnommen hast, net hokkersto ferwachte.

Werhelje nei't de steat feroare is

Werhelje deselde waarnimmingen nei in werferbining, in netwurkskeakel en in relevante applikaasjefernijing. In opsleine útsluting kin trochgeane mei te wizen nei in paad of in applikaasje-identiteit dy't net mear bestiet, en it ûntwerp hâldt stil op om by syn dokumintaasje te passen. Dy trije barrens binne wêr't splitstunnels ôfdriuwe, en elk is goedkeap om wer te testen. In test dy't mar ien kear by útrôljen rint, beskriuwt in konfiguraasje dy't net mear bestiet.

As in útkomst ferskilt, fyn dan de regeleigner en de ferwurkingsfaze foardatsto ferskate ynstellingen tagelyk feroarest. Fiif dingen feroarje en ien útkomst waarnimme is gjin diagnoaze, it is in nije konfiguraasje.

Wat de útkomst fêststelle moat

Byn de waarnimmingen oan it belied en de kliïntferzje dy'tsto wier test hast. It doel is om sjen te litten dat dizze útrôl passe by de dekking dy't it beweart, net dat elke takomstige applikaasje privee wêze sil. Dat is in smeller bewearing, en it is dejinge dy'tsto wier mei bewiis stypje kinst. Skriuw de bewearing, de ferzje en de fjouwerfjild-útkomsten yn it feroaringsrekord.

Dan kin de folgjende beoardieler sjen oft it ûntwerp feroare is of de test. In splitstunnel is ferifiearre as beide kanten, de resolver-splitsing en it mislearringsgedrach passe by watsto oan it begjin opskreaun hast. Ien IP-útkomst ferifiearret gjin fan alle.