Hvernig prófa á hvað neyðarrofinn nær á máttlausri vél

Keyrðu rofprófið, lestu niðurstöðu hvers lags og sjáðu hvar neyðarrofinn stöðvast: hann lokar leiðum, ekki hugbúnaði sem les gögn fyrir dulkóðun.

Kveiktu á neyðarrofanum, taktu gönguþjóninn af netinu og fylgstu með hvað vélin gerir enn. Prófið er þess virði því það aðgreinir það sem eldveggurinn framfylgir frá því sem þú gerðir ráð fyrir, og niðurstöðurnar eru þrengri en flestar vörusíður gefa til kynna. Neyðarrofinn stjórnar netleiðum; hann stjórnar ekki hugbúnaði sem þegar keyrir á tækinu. Ég keyri þessa röð á hverri vél þar sem biðlarinn segist vera fail-closed, og það tekur um tíu mínútur.

Byrjaðu á biðlinum, ekki þjóninum

Framfylgjan er vélin sem þú situr við: eldveggur stýrikerfisins, hjálparþjónusta eða rekill VPN-biðlarans sjálfs. Það skiptir máli því allt sem rofinn getur gert er bundið því sem það lag sér. Ef biðlarinn útfærir lokunina með leiðarreglu auk merkis getur hvað sem er með næg réttindi bætt við sinni eigin reglu; ef hann notar kjarna-eldveggjatöflu geta sömu réttindi breytt töflunni. Styrkur dulritunar kemur aldrei inn í þessa spurningu.

Því þarf fyrst að staðreyna hver á stefnuna á þessu tæki og hvað honum er heimilt að hnekkja. Á stýrðri vinnuvél er svarið yfirleitt endapunktarfulltrúi stofnunarinnar, og persónuleg VPN fjarlægir ekki þessa getu, hvernig sem göngunum er stillt.

Skref eitt: staðfestu lokunina á leiðunum sem þú telur hana ná til

Taktu göngin niður í fjarlæga endanum frekar en hjá biðlinum, svo biðlarinn trúi því enn að hann ætti að vera tengdur. Prófaðu svo það sem manneskja myndi raunverulega prófa:

curl -m 5 -sS -o /dev/null -w '%{http_code}
' https://example.com
ping -c 2 1.1.1.1
ip route
nft list ruleset   # or: iptables -S

Þú vilt biðlara sem bregst hratt og hreint, ekki þann sem hangir þar til tímalok vafrans rennur út. Hangt þýðir yfirleitt að pakkar séu felldir hljóðlaust af reglu án synjunar, sem er ásættanlegt, en það getur líka þýtt að biðlarinn hafi skilið eftir úrelta sjálfgefna leið að dauðu tengi. Lestu leiðartöfluna meðan göngin eru niðri: sjálfgefin leið sem bendir enn á göngutækið og eldveggjaregla sem lokar aðeins nýjum útleiðandi tengingum eru tvö ólík ástand, og aðeins annað þeirra er fail-closed.

Endurtaktu sömu skipanir með leyfa-LAN valkostinum á biðlinum kveiktum og slökktum. Sá rofi er þar sem flestu óvart er að finna, því hann opnar aftur leið sem restin af stefnunni var skrifuð til að loka.

Skref tvö: athugaðu DNS og IPv6 sem aðskildar leiðir

Nafnaleysing er eyðan sem lifir flestar útfærslur af, því fyrirspurnin getur farið út um annað en kerfisleysirinn. Spurðu með tóli sem hunsar leysistillingar þínar, og athugaðu v6 hliðina á sama tíma:

dig +short example.com
dig +short @1.1.1.1 example.com
curl -6 -m 5 -sS https://example.com -o /dev/null -w '%{http_code}
'
ip -6 route

Tóm svör við báðum nafnafyrirspurnum með göngin niðri eru niðurstaðan sem þú vilt. Ef seinni fyrirspurnin svarar er harðkóðað leysisfang aðgengilegt og göngin eru ekki eina leiðin út úr vélinni. Ef aðeins v6-beiðnin tekst nær stefnan yfir IPv4 og hunsar IPv6, sem er sama leki í annarri vistfangafjölskyldu.

Vafrar gera þetta erfiðara að lesa utan frá, því vafri stilltur á DNS yfir HTTPS leysir fyrirspurnina með HTTPS-beiðni: fyrirspurnin er aðeins lokuð að því marki sem port 443 að þeim endapunkti er lokað. Á vél þar sem stefnan leyfir staðbundna undirnetið getur sú beiðni enn náð leysi á LAN.

Skref þrjú: aðskildu netáhrif frá endapunktaráhrifum

Nú hlutinn sem engin eldveggjaregla nær til. Neyðarrofinn lokar leiðum út af vélinni; hann stöðvar ekki hugbúnað á vélinni í að lesa gögn áður en þau eru dulkóðuð, og hann stöðvar ekki þann hugbúnað í að nota göngin löglega. Lyklaskrá, illgjarn viðbót, skjár skilinn eftir ólæstur, samstillingarbiðlari með víðtæk réttindi: allt flytur þetta upplýsingar um tengingu sem rofinn leyfir fúslega.

Sama gildir um eftirlitshugbúnað sem vinnuveitandi setti upp viljandi. Að loka leiðum fjarlægir hann ekki, og kaup á nýjum VPN-þjóni er ekki viðgerðin, því áhrifin liggja ofan við göngin.

Klemmuspjaldsstjóri sem hleður upp á skýjareikning sýnir þetta skýrt. Umsátrið er dulkóðað, áfangastaðurinn leyfður, og neyðarrofinn tilkynnir heilbrigt ástand allan tímann.

Skref fjögur: skrifaðu þá fullyrðingu sem prófið þitt styður

Eftir rofprófið geturðu nefnt ákveðnar staðreyndir: hvaða forrit brustu, hvaða leiðir stöðvuðust, hvernig DNS og IPv6 hegðuðu sér og hvort lokunin hélt þegar göngin féllu. Þú getur ekki fullyrt að stýrikerfið sé hreint, og ekki að þjónusta í fjarlæga endanum haldi innskráningu þinni persónulegri.

Haltu vandamálunum tveimur aðskildum og gefðu hvoru sína stjórn:

  • Neyðarrof: skilgreinda bilunarkröfan, staðfest með rofprófi sem þú endurtekur eftir hverja biðlarauppfærslu.
  • Traust tækis: studdar uppfærslur, endapunktarvörn frá áreiðanlegum uppruna, endurskoðun óútskýrðra heimilda og auðkenningarbeiðna.
  • Atvik: fylgdu ferli kerfisins eða stofnunarinnar þegar grunur er um uppátæki; nýr þjónn er ekki hreinsunarskref.
  • Upplýsingagjöf: þegar þú biður um hjálp skaltu ekki líma einkalykla eða heil greiningarsöfn, því annálar og skjáskot bera sömu leyndarmál og tengingin.

Keyrðu röðina aftur eftir næstu uppfærslu, því neyðarrof er stilling sem hreyfist með útgáfum. Prófið er eina sönnunin fyrir því að hegðunin sem þú treystir á sé enn sú hegðun sem þú fær.

Tengdir greinar