Verifikasi bahwa tunnel terbelah berfungsi: satu hasil IP bukan uji

Satu halaman peramban yang menampilkan alamat IP hampir tidak membuktikan apa pun tentang tunnel terbelah. Alamat yang terlihat bisa jadi yang benar karena alasan yang salah, dan aliran yang dikecualikan tidak pernah diuji olehnya. Catat hasil yang diharapkan sebelum menguji: aplikasi atau tujuan mana yang harus memakai tunnel, mana yang harus tetap langsung, dan apa yang harus berhenti saat tunnel gagal. Tanpa rencana itu, angka apa pun yang masuk akal terlihat seperti keberhasilan.

Mitos: pencarian alamat membuktikan cakupan

Pemeriksaan IP menjawab satu pertanyaan: apa yang dilihat dunia luar dari satu aplikasi pada satu saat. Pemeriksaan itu tidak mengatakan apa pun tentang prefiks internal, profil peramban kedua, atau nama yang harus diselesaikan secara privat. Pemeriksaan itu juga tidak mengatakan apa pun tentang kegagalan, dan itulah separuh desain tunnel terbelah yang rusak di produksi.

Halaman alamat juga tidak dapat menunjukkan rute, resolver, atau kebijakan kegagalan. Perlakukan itu sebagai satu pengamatan, bukan putusan.

Uji aliran yang disertakan dan yang dikecualikan

Kirim permintaan yang tidak berbahaya dari aplikasi yang harus disertakan, atau ke prefiks yang Anda harapkan dirutekan melalui tunnel, dan catat sumber, tujuan, keluarga alamat, serta jalur yang diamati. Lakukan hal yang sama untuk aliran yang harus tetap langsung. Sisi yang dikecualikan adalah sisi yang orang lewati, dan itulah satu-satunya bukti bahwa pemisahan itu disengaja dan bukan kebetulan. Proses pembantu dapat membawa identitas kebijakan tersendiri, jadi ujilah di proses yang memiliki soket.

flow: Firefox to intranet.example:443, IPv4, source 10.8.0.6, tunneled
flow: Firefox to 1.1.1.1, IPv4, source 192.0.2.20, direct

Itulah sebabnya uji di aplikasi yang salah dapat menunjukkan kebalikan dari yang dimaksud desain. Catat keempat bidang untuk kedua sisi sebelum menarik kesimpulan apa pun.

Tambahkan DNS dan kasus kegagalan

Tanyakan resolver sistem dan resolver yang dipakai aplikasi, lalu bandingkan jawaban itu dengan alamat keluar yang dilaporkan situs. Kedua lapisan bisa berbeda pendapat secara sengaja, dan satu pencarian peramban tidak menguji kebijakan sistem operasi. Shell membuat perbandingan dapat diulang: Putuskan tunnel dengan sengaja, lalu buat permintaan yang belum di-cache peramban; halaman yang disajikan dari cache tidak memberi tahu ke arah mana jalur cadangan pergi. Catat apa yang benar-benar terjadi, bukan apa yang diperkirakan desain.

curl -s https://ifconfig.me
nslookup intranet.example

Tunnel terbelah yang gagal tertutup dan yang gagal terbuka terlihat identik sampai Anda memutus tunnel dengan sengaja. Catat perilaku mana yang Anda amati, bukan mana yang Anda harapkan.

Ulangi setelah status berubah

Ulangi pengamatan yang sama setelah penyambungan ulang, pergantian jaringan, dan pembaruan aplikasi yang relevan. Pengecualian tersimpan dapat terus menunjuk jalur atau identitas aplikasi yang sudah tidak ada, dan desain diam-diam berhenti cocok dengan dokumentasinya. Ketiga peristiwa itu adalah tempat tunnel terbelah menyimpang, dan masing-masing murah untuk diuji ulang. Uji yang hanya berjalan sekali saat penerapan menggambarkan konfigurasi yang sudah tidak ada.

Jika hasil berbeda, temukan pemilik aturan dan tahap pemrosesan sebelum mengubah beberapa pengaturan sekaligus. Mengubah lima hal dan mengamati satu hasil bukan diagnosis, itu konfigurasi baru.

Apa yang harus ditetapkan oleh hasil

Ikat pengamatan pada kebijakan dan versi klien yang benar-benar Anda uji. Tujuannya adalah menunjukkan bahwa penerapan ini sesuai dengan cakupan yang diklaimnya, bukan bahwa setiap aplikasi di masa depan akan privat. Itu klaim yang lebih sempit, dan itulah yang benar-benar dapat Anda dukung dengan bukti. Tulis klaim, versi, dan hasil empat bidang ke catatan perubahan.

Dengan begitu peninjau berikutnya dapat mengetahui apakah desainnya yang berubah atau ujinya. Tunnel terbelah terverifikasi ketika kedua sisi, pemisahan resolver, dan perilaku saat gagal sesuai dengan yang Anda catat di awal. Satu hasil IP tidak memverifikasi satu pun darinya.