Ինչպես ստուգել, թե արտակարգ անջատիչն ինչ է ծածկում վարակված հոսթում

Միացրեք արտակարգ անջատիչը, անջատեք թունելի սերվերը և հետևեք, թե մեքենան ինչ է դեռ անում։ Այս թեստն արժե անցկացնել, որովհետև այն տարանջատում է, թե ինչ է իրականում պարտադրում firewall-ը, այն բանից, ինչ դուք ենթադրել էիք, և արդյունքներն ավելի նեղ են, քան ենթադրում են ապրանքի էջերի մեծ մասը։ Արտակարգ անջատիչը կառավարում է ցանցային ուղիները՝ այն չի կառավարում սարքում արդեն աշխատող ծրագրաշարը։ Ես այս հաջորդականությունն անցկացնում եմ ցանկացած մեքենայում, որտեղ հաճախորդը պնդում է, որ fail-closed է, և դա տևում է մոտ տասը րոպե։

Սկսեք հաճախորդից, ոչ սերվերից

Կիրառման կետը այն հոսթն է, որի դիմաց նստած եք՝ օպերացիոն համակարգի firewall-ը, օժանդակ ծառայությունը կամ VPN հաճախորդի սեփական դրայվերը։ Սա կարևոր է, որովհետև այն ամենը, ինչ անջատիչը կարող է անել, սահմանափակված է նրանով, ինչ այդ շերտը տեսնում է։ Եթե հաճախորդն արգելափակումը կիրառում է երթուղային կանոնով և նշանով, բավարար արտոնություններ ունեցող ամեն ինչ կարող է ավելացնել իր կանոնը՝ եթե նա օգտագործում է միջուկի firewall աղյուսակը, նույն արտոնությունը կարող է խմբագրել աղյուսակը։ Գաղտնագրի ուժը երբեք չի մտնում այս հարցի մեջ։

Այսպիսով, առաջին բանը, որ պետք է պարզել, այն է, թե ով է տիրապետում այս սարքի քաղաքականությանը և ինչ թույլատրվում է նրան վերացնել։ Կառավարվող աշխատանքային մեքենայում պատասխանը սովորաբար կազմակերպության վերջնակետային գործակալն է, և անձնական VPN-ը չի հեռացնում այդ հնարավորությունները, ինչպես էլ կարգավորված լինի թունելը։

Առաջին քայլ՝ հաստատեք արգելափակումը այն ուղիներում, որոնք ենթադրում եք, որ այն ծածկում է

Իջեցրեք թունելը հեռավոր ծայրում, ոչ թե հաճախորդում, որպեսզի հաճախորդը դեռ կարծի, թե պետք է միացված լինի։ Ապա փորձեք այն, ինչ մարդը իրականում կփորձեր՝

curl -m 5 -sS -o /dev/null -w '%{http_code}
' https://example.com
ping -c 2 1.1.1.1
ip route
nft list ruleset   # or: iptables -S

Դուք ուզում եք հաճախորդ, որը արագ և մաքուր է ձախողվում, ոչ թե այնպիսին, որը կախվում է մինչև զննարկիչի ժամկետի ավարտը։ Կախվելը սովորաբար նշանակում է, որ փաթեթները լուռ դեն են նետվում առանց մերժման կանոնով, ինչը ընդունելի է, բայց կարող է նաև նշանակել, որ հաճախորդը թողել է հնացած լռելյայն երթուղի՝ ուղղված մեռած ինտերֆեյսին։ Կարդացեք երթուղային աղյուսակը, մինչ թունելը իջեցված է՝ դեռ թունելի սարքին ուղղված լռելյայն երթուղին և միայն նոր ելքային միացումներն արգելափակող firewall կանոնը երկու տարբեր վիճակներ են, և դրանցից միայն մեկն է fail-closed։

Կրկնեք նույն հրամանները հաճախորդի allow-LAN տարբերակը միացված և անջատված։ Հենց այդ անջատիչն է ամենաշատ անակնկալների վայրը, որովհետև այն նորից բացում է մի ուղի, որը քաղաքականության մնացած մասը գրվել էր փակելու համար։

Երկրորդ քայլ՝ ստուգեք DNS-ը և IPv6-ը որպես առանձին ուղիներ

Անունների լուծումը այն բացն է, որը վերապրում է իրականացումների մեծ մասում, որովհետև հարցումը կարող է դուրս գալ ոչ թե համակարգի լուծիչով, այլ այլ բանով։ Հարցրեք գործիքով, որը անտեսում է ձեր լուծիչի կարգավորումը, և միաժամանակ ստուգեք v6 կողմը՝

dig +short example.com
dig +short @1.1.1.1 example.com
curl -6 -m 5 -sS https://example.com -o /dev/null -w '%{http_code}
'
ip -6 route

Երկու անվանական հարցումների դատարկ պատասխանները թունելն իջեցված վիճակում հենց այն արդյունքն են, որ ուզում եք։ Եթե երկրորդ հարցումը պատասխանում է, ապա կոշտ կոդավորված լուծիչի հասցեն հասանելի է, և թունելը մեքենայից դուրս գալու միակ ուղին չէ։ Եթե հաջողվում է միայն v6 հարցումը, քաղաքականությունը ծածկում է IPv4-ը և անտեսում IPv6-ը, ինչը նույն արտահոսքն է այլ հասցեների ընտանիքում։

Զննարկիչները դժվարացնում են դա դրսից կարդալը, որովհետև DNS over HTTPS-ի համար կարգավորված զննարկիչը հարցումը լուծում է HTTPS հարցումով՝ հարցումը արգելափակված է այնքանով, որքանով արգելափակված է 443 պորտը դեպի այդ վերջնակետը։ Հոսթում, որտեղ քաղաքականությունը թույլատրում է տեղական ենթացանցը, այդ հարցումը դեռ կարող է հասնել լուծիչին LAN-ում։

Երրորդ քայլ՝ առանձնացրեք ցանցային ազդեցությունը վերջնակետային ազդեցությունից

Այժմ այն մասը, ուր ոչ մի firewall կանոն չի հասնում։ Արտակարգ անջատիչը արգելափակում է մեքենայից դուրս տանող ուղիները՝ այն չի խանգարում մեքենայի ծրագրաշարին տվյալներ կարդալ գաղտնագրումից առաջ և չի խանգարում այդ ծրագրաշարին օրինականորեն օգտվել թունելից։ Ստեղնագրիչ, չարամիտ ընդլայնում, բաց թողնված էկրան, լայն թույլտվություններով համաժամացման հաճախորդ՝ այս բոլորը տեղեկատվություն են տեղափոխում միացումով, որը անջատիչը հաճույքով թույլատրում է։

Նույնը վերաբերում է գործատուի կողմից դիտավորյալ տեղադրված հսկողության ծրագրաշարին։ Ուղիների արգելափակումը չի հեռացնում այն, և նոր VPN սերվեր գնելը վերանորոգում չէ, որովհետև ազդեցությունը թունելից վերև է։

Ամպային հաշիվ բեռնող սեղմատախտակի կառավարիչը դա ցույց է տալիս սրությամբ։ Երթևեկությունը գաղտնագրված է, նպատակակետը թույլատրված է, և արտակարգ անջատիչը ողջ ընթացքում հաղորդում է առողջ վիճակ։

Չորրորդ քայլ՝ գրեք այն պնդումը, որը ձեր թեստն է հաստատում

Ընդհատման թեստից հետո կարող եք նշել կոնկրետ փաստեր՝ որ հավելվածներն են ձախողվել, որ ուղիներն են կանգնել, ինչպես են իրենց պահել DNS-ը և IPv6-ը և արդյոք արգելափակումը դիմացել է, երբ թունելն ընկել է։ Դուք չեք կարող ասել, որ օպերացիոն համակարգը մաքուր է, և չեք կարող ասել, որ հեռավոր ծայրի ծառայությունը ձեր մուտքը գաղտնի կպահի։

Առանձին պահեք երկու խնդիրները և յուրաքանչյուրին տվեք իր վերահսկողությունը՝

• Արտակարգ անջատիչ՝ սահմանված ձախողման պահանջը, որը հաստատվում է ընդհատման թեստով, որը կրկնում եք յուրաքանչյուր հաճախորդի թարմացումից հետո։
• Սարքի վստահություն՝ աջակցվող թարմացումներ, վերջնակետային պաշտպանություն վստահելի աղբյուրից, չբացատրված թույլտվությունների և նույնականացման հարցումների վերանայում։
• Միջադեպ՝ կասկածելի ներխուժման դեպքում հետևեք հարթակի կամ կազմակերպության ընթացակարգին՝ նոր սերվերը մաքրման քայլ չէ։
• Բացահայտում՝ օգնություն խնդրելիս չփակցնեք մասնավոր բանալիներ կամ ամբողջական ախտորոշիչ արխիվներ, որովհետև մատյաններն ու էկրանի պատկերները կրում են նույն գաղտնիքները, ինչ միացումը։

Կրկին անցկացրեք հաջորդականությունը հաջորդ թարմացումից հետո, որովհետև արտակարգ անջատիչը կոնֆիգուրացիա է, որը շարժվում է տարբերակների հետ։ Թեստը միակ ապացույցն է, որ վարքը, որի վրա հույս դնում եք, դեռ այն վարքն է, որը ստանում եք։