Fejetlen VPN ellenőrzése: egyszerre egy folyamat, bizonyítékokkal
A fejetlen gépnek olyan kérésre van szüksége, amelynek válasza olvasható. Tesztelje az egyes címcsaládokat, környezeteket és célokat, majd jegyezze fel, mit nem fedett le az eredmény.
A fejetlen gépen nincs böngésző, amit megnyithatnánk, és nincs lakat, amit nézhetnénk, ezért az ellenőrzésnek olyan kérésnek kell lennie, amelynek válasza olvasható. Ez triviálisnak tűnik, amíg észre nem vesszük, hogy egyetlen kilépési címre vonatkozó eredményt használnak egy olyan eszköz tanúsítására, amely tucatnyi szolgáltatást, két címcsaládot és egy proxyt futtat. Az alábbi áttekintés egyszerre egy korlátozott bizonyítékot épít fel, abban a környezetben, amelyben a munkaterhelés valóban fut.
Döntse el, mit kell a tesztnek bizonyítania
Mielőtt bármit futtatna, írja le az elvárást egy sorban: melyik folyamat, melyik interfészen keresztül, melyik cél felé, és mit kellene látni a túloldalon. A kimondott elvárás nélküli teszt olyan számot ad, amelyet senki sem tud értelmezni.
A leghasznosabb változat megnevez egy jóváhagyott végpontot, amely jelenti a látott forrás címet.
Ez a végpont az egyetlen rész, amelyet meg kell szerveznie. Minden más kliensoldali megfigyelés, és a kliensoldali megfigyelések érdekes módokon mennek félre.
A megfigyelést a megfelelő környezetben futtassa
A rendszergazda héja nem a munkaterhelés környezete. Hordozhat más proxyváltozót, más útválasztási táblázatot egy másik névtérben, vagy egy másik felhasználó környezetfájlját. A tesztet ugyanabban a hoszt-, konténer-, névtér- vagy szolgáltatáskörnyezetben futtassa, mint amit ellenőriz. Különben a saját héját méri.
Normál hoszton ez ugyanazt a felhasználót és ugyanazt az egységet jelenti. Konténerkörnyezetben ez a konténer hálózati névterébe való belépést jelenti a hosztról való tesztelés helyett. systemd-szolgáltatásnál ez azonos beállítású ideiglenes egységet jelenthet.
A következő kérés csak akkor értelmes, ha a megfelelő környezetben van.
Ellenőrizze külön a címcsaládokat
Kérje külön-külön mindegyik családot, mert egy sikeres IPv4-kérés egyáltalán nem gyakorol IPv6-útvonalat. Az --ipv4 és --ipv6 választók kikényszerítik a választást, és a két eredmény közötti különbség önmagában információ.
curl --ipv4 https://probe.example/observed-source
curl --ipv6 https://probe.example/observed-sourceA sikertelen IPv6-kérés nem bizonyítja a hatékony blokkolást. Jelentheti, hogy a végpontnak nincs IPv6-címe, hogy a DNS nem adott vissza semmi használhatót, vagy hogy az eszköznek egyáltalán nincs IPv6-útvonala. Olvassa el a hibát, mielőtt következtetést von le belőle. Csak a csatornán át sikeres IPv6-kérés az az eredmény, amely bizonyítja, hogy az IPv6-útvonal le van fedve.
Jegyezze fel mindkét választ egymás mellett. Egyedül az egyik a tény fele.
Adja hozzá a négy dolgot, amit egy kilépési ellenőrzés kihagy
A kilépési cím egy kérdésre válaszol. Négy további dönti el, hogy a csatorna a tervezett módon viselkedik-e.
| Check | What it proves | What it does not |
|---|---|---|
| Included and excluded destinations | The split behaves as designed for those flows | Coverage of any other destination |
| Resolver path | Where a fresh lookup actually travelled | Where a cached answer came from |
| Tunnel-down behaviour | The failure policy for a new request | What an already open connection does |
| Reconnect and restart | The requirement survives the lifecycle event | Behaviour under load or partial failure |
A célpolitika jön először: teszteljen egy folyamatot, amelyet be kell vonni, és egyet, amelyet ki kell zárni, ha a tervben felosztás van. Utána a DNS, ahol a tényleges feloldóútvonalat vizsgálja a beállított érték helyett, mert egy gyorsítótárazott válasz vagy egy kinyomtatott beállítás semmit sem mond arról, hová ment egy új lekérdezés.
A hibaviselkedéshez terv és megőrzött helyreállítási útvonal kell. Figyeljen meg egy új kérést, miközben a csatorna nem elérhető, és ne feledje, hogy egy régi nyitott kapcsolat nem bizonyíték a hiba politikájára. Az életciklus jön utoljára: ismételje meg a megfigyelést újracsatlakozás vagy szolgáltatás-újraindítás után, ha ezek az események érintik a követelményt.
Bizonyítékot rögzítsen, ne ítéletet
Minden eredménynél őrizze meg a folyamat környezetét, a célt, a címcsaládot, az időt és a megfigyelt forrást. Ez a halmaz korlátozott bizonyíték az általa gyakorolt folyamatokról, és éppen azért védhető, mert megmondja, mit fedett le.
Ez nem a VPN-üzemeltető nyilvántartásainak auditja, és nem tanúsítvány az eszköz minden jövőbeli alkalmazására.
Írja a korlátokat az eredmény mellé. Az a teszt, amely kimondja, mit nem fedett le, átmegy a felülvizsgálaton, az viszont, amely azt állítja, hogy az eszköz ellenőrzött, nem. Tartsa a curl kézikönyvet a használt családválasztók mellett, és tartsa a négy soros táblázatot az eredmények mellett.