Provjerite radi li podijeljeni tunel: jedan IP rezultat nije test

Jedna jedina stranica preglednika koja prikazuje IP adresu ne dokazuje gotovo ništa o podijeljenom tunelu. Vidljiva adresa može biti prava iz pogrešnog razloga, a isključeni tok njome nikada nije obuhvaćen. Zapišite očekivani rezultat prije testiranja: koja aplikacija ili odredište treba koristiti tunel, što treba ostati izravno i što se treba zaustaviti kada tunel zakaže. Bez tog plana svaki vjerojatan broj izgleda kao uspjeh.

Mit: pretraga adrese dokazuje pokrivenost

Provjera IP-a odgovara na jedno pitanje: što vanjski svijet vidi iz jedne aplikacije u jednom trenutku. Ne govori ništa o internom prefiksu, drugom profilu preglednika ili imenu koje se treba privatno razriješiti. Ne govori ništa ni o kvaru, a to je ona polovica dizajna podijeljenog tunela koja se kvari u produkciji.

Stranica adrese također ne može pokazati rutu, razrješivač ni politiku kvara. Tretirajte je kao jedno opažanje, ne kao presudu.

Vježbajte uključeni i isključeni tok

Pošaljite bezopasan zahtjev iz aplikacije koja treba biti uključena, ili na prefiks za koji očekujete da će ići kroz tunel, i zabilježite izvor, odredište, obitelj adresa i opaženu putanju. Učinite isto za tok koji treba ostati izravan. Isključena strana je ona koju ljudi preskaču, i ona je jedini dokaz da je podjela namjerna, a ne slučajna. Pomoćni proces može nositi zaseban identitet politike, pa testirajte u procesu koji posjeduje socket.

flow: Firefox to intranet.example:443, IPv4, source 10.8.0.6, tunneled
flow: Firefox to 1.1.1.1, IPv4, source 192.0.2.20, direct

Zato test pokrenut u pogrešnoj aplikaciji može pokazati suprotno od onoga što dizajn namjerava. Zapišite četiri polja za obje strane prije nego donesete bilo kakav zaključak.

Dodajte DNS i slučaj kvara

Pitajte sustavni razrješivač i razrješivač koji aplikacija koristi, a zatim te odgovore usporedite s izlaznom adresom koju navodi web-mjesto. Dva se sloja mogu namjerno razilaziti, a jedno pretraživanje u pregledniku ne provjerava politiku operacijskog sustava. Ljuska čini usporedbu ponovljivom: Namjerno prekinite tunel, zatim pošaljite zahtjev koji preglednik nema u predmemoriji; stranica poslužena iz predmemorije ne govori vam ništa o tome kamo je otišla rezerva. Zabilježite što se stvarno dogodilo umjesto onoga što je dizajn predviđao.

curl -s https://ifconfig.me
nslookup intranet.example

Podijeljeni tunel koji zakaže zatvoreno i onaj koji zakaže otvoreno izgledaju jednako dok tunel ne prekinete namjerno. Zabilježite koje ste ponašanje promatrali, a ne koje ste očekivali.

Ponovite nakon promjene stanja

Ponovite ista opažanja nakon ponovnog povezivanja, promjene mreže i relevantnog ažuriranja aplikacije. Pohranjena iznimka može nastaviti pokazivati na putanju ili identitet aplikacije koji više ne postoji, a dizajn tiho prestaje odgovarati svojoj dokumentaciji. Ta su tri događaja mjesta na kojima podijeljeni tuneli driftaju, i svaki je jeftin za ponovno testiranje. Test koji se pokreće samo jednom pri uvođenju opisuje konfiguraciju koja više ne postoji.

Ako se rezultat razlikuje, pronađite vlasnika pravila i fazu obrade prije nego promijenite nekoliko postavki odjednom. Promijeniti pet stvari i promatrati jedan rezultat nije dijagnoza, to je nova konfiguracija.

Što rezultat treba utvrditi

Vežite opažanja uz politiku i verziju klijenta koju ste stvarno testirali. Cilj je pokazati da ovo uvođenje odgovara pokrivenosti koju tvrdi, a ne da će svaka buduća aplikacija biti privatna. To je uža tvrdnja i to je ona koju stvarno možete potkrijepiti dokazima. Zapišite tvrdnju, verziju i rezultate četiriju polja u zapis promjena.

Tada sljedeći recenzent može utvrditi je li se promijenio dizajn ili test. Podijeljeni tunel je provjeren kada se obje strane, podjela razrješivača i ponašanje pri kvaru podudaraju s onim što ste zapisali na početku. Jedan IP rezultat ne provjerava nijedno od toga.