როგორ შევამოწმოთ, რას ფარავს გადაუდებელი გამომრთველი დაზიანებულ ჰოსტზე

ჩართეთ გადაუდებელი გამომრთველი, გამორთეთ გვირაბის სერვერი ქსელიდან და დააკვირდით, რას აკეთებს მანქანა ჯერ კიდევ. ეს ტესტი ღირს ჩატარებად, რადგან ის ჰყოფს, რას ახდენს სინამდვილეში firewall და რას ვარაუდობდით, და შედეგები უფრო ვიწროა, ვიდრე პროდუქტის გვერდების უმეტესობა მიანიშნებს. გადაუდებელი გამომრთველი მართავს ქსელურ გზებს; ის არ მართავს პროგრამას, რომელიც უკვე მუშაობს მოწყობილობაზე. მე ამ თანმიმდევრობას ვატარებ ყველა იმ მანქანაზე, სადაც კლიენტი ამტკიცებს, რომ fail-closed არის, და ამას დაახლოებით ათი წუთი სჭირდება.

დაიწყეთ კლიენტიდან და არა სერვერიდან

აღსრულების წერტილი არის ჰოსტი, რომელთანაც ზიხართ: ოპერაციული სისტემის firewall, დამხმარე სერვისი ან VPN კლიენტის საკუთარი დრაივერი. ეს მნიშვნელოვანია, რადგან ყველაფერი, რაც გამომრთველს შეუძლია, შემოიფარგლება იმით, რასაც ეს ფენა ხედავს. თუ კლიენტი ბლოკირებას ახორციელებს მარშრუტიზაციის წესით და ნიშნით, საკმარისი უფლებების მქონე ყველაფერს შეუძლია დაამატოს საკუთარი წესი; თუ ის იყენებს ბირთვის firewall ცხრილს, იგივე უფლებას შეუძლია ცხრილის რედაქტირება. შიფრის სიძლიერე ამ კითხვაში არასდროს შემოდის.

ამიტომ პირველი, რაც უნდა დადგინდეს, არის ვინ ფლობს ამ მოწყობილობაზე პოლიტიკას და რისი გადაფარვა აქვს ნებადართული. მართულ სამუშაო მანქანაზე პასუხი ჩვეულებრივ ორგანიზაციის საბოლოო წერტილის აგენტია, და პირადი VPN არ აშორებს ამ შესაძლებლობებს, როგორც არ უნდა იყოს გვირაბი კონფიგურირებული.

პირველი ნაბიჯი: დაადასტურეთ ბლოკირება იმ გზებზე, რომლებსაც ფარავს ფიქრობთ

ჩამოწიეთ გვირაბი შორეულ ბოლოში და არა კლიენტში, რათა კლიენტს კვლავ სჯეროდეს, რომ დაკავშირებული უნდა იყოს. შემდეგ სცადეთ ის, რასაც ადამიანი რეალურად სცდიდა:

curl -m 5 -sS -o /dev/null -w '%{http_code}
' https://example.com
ping -c 2 1.1.1.1
ip route
nft list ruleset   # or: iptables -S

გსურთ კლიენტი, რომელიც სწრაფად და სუფთად იშლება, და არა ის, რომელიც ბრაუზერის დროის ამოწურვამდე კიდია. კიდება ჩვეულებრივ ნიშნავს, რომ პაკეტები ჩუმად იყრება წესით უარის გარეშე, რაც მისაღებია, მაგრამ ასევე შეიძლება ნიშნავს, რომ კლიენტმა დატოვა მოძველებული ნაგულისხმევი მარშრუტი მკვდარი ინტერფეისისკენ. წაიკითხეთ მარშრუტიზაციის ცხრილი, სანამ გვირაბი ჩამოშვებულია: ნაგულისხმევი მარშრუტი, რომელიც ჯერ კიდევ გვირაბის მოწყობილობაზე მიუთითებს, და firewall წესი, რომელიც მხოლოდ ახალ გამავალ კავშირებს ბლოკავს, ორი სხვადასხვა მდგომარეობაა, და მათგან მხოლოდ ერთია fail-closed.

გაიმეორეთ იგივე ბრძანებები კლიენტის allow-LAN პარამეტრის ჩართული და გამორთული მდგომარეობით. სწორედ ეს გადამრთველია უმეტესი მოულოდნელობის ადგილი, რადგან ის ხელახლა ხსნის გზას, რომლის დახურვისთვისაც დაწერილი იყო პოლიტიკის დარჩენილი ნაწილი.

მეორე ნაბიჯი: შეამოწმეთ DNS და IPv6 ცალკე გზებად

სახელების გარჩევა არის ის ხარვეზი, რომელიც გადაურჩება განხორციელებათა უმეტესობას, რადგან მოთხოვნა შეიძლება გავიდეს სისტემის გადამწყვეტის გარდა სხვა რამეზე. იკითხეთ ინსტრუმენტით, რომელიც უგულებელყოფს თქვენს გადამწყვეტის კონფიგურაციას, და იმავდროულად შეამოწმეთ v6 მხარე:

dig +short example.com
dig +short @1.1.1.1 example.com
curl -6 -m 5 -sS https://example.com -o /dev/null -w '%{http_code}
'
ip -6 route

ცარიელი პასუხები ორივე სახელის მოთხოვნაზე ჩამოშვებული გვირაბით არის ის შედეგი, რომელიც გსურთ. თუ მეორე მოთხოვნა პასუხობს, მაშინ მყარად ჩაშენებული გადამწყვეტის მისამართი ხელმისაწვდომია და გვირაბი არ არის მანქანიდან გასვლის ერთადერთი გზა. თუ წარმატებულია მხოლოდ v6 მოთხოვნა, პოლიტიკა ფარავს IPv4-ს და უგულებელყოფს IPv6-ს, რაც იგივე გაჟონვაა სხვა მისამართების ოჯახში.

ბრაუზერები ამას გარედან კითხვას ართულებენ, რადგან DNS over HTTPS-ზე კონფიგურირებული ბრაუზერი მოთხოვნას HTTPS მოთხოვნით წყვეტს: მოთხოვნა დაბლოკილია იმდენად, რამდენადაც დაბლოკილია 443 პორტი ამ ბოლო წერტილამდე. ჰოსტზე, სადაც პოლიტიკა ლოკალურ ქვექსელს უშვებს, ეს მოთხოვნა მაინც შეიძლება მივიდეს LAN-ის გადამწყვეტამდე.

მესამე ნაბიჯი: გამოყავით ქსელური ზემოქმედება ბოლო წერტილის ზემოქმედებისგან

ახლა ის ნაწილი, სადაც ვერც ერთი firewall წესი ვერ აღწევს. გადაუდებელი გამომრთველი ბლოკავს მანქანიდან გასვლის გზებს; ის არ აჩერებს მანქანაზე არსებულ პროგრამას მონაცემების წაკითხვაში დაშიფვრამდე და არ აჩერებს ამ პროგრამას გვირაბის კანონიერ გამოყენებაში. კლავიშების ამწერი, მავნე გაფართოება, ღიად დატოვებული ეკრანი, ფართო უფლებების მქონე სინქრონიზაციის კლიენტი: ეს ყველაფერი ინფორმაციას გადაადგილებს კავშირზე, რომელსაც გამომრთველი სიამოვნებით უშვებს.

იგივე ეხება დამსაქმებლის მიერ განზრახ დაყენებულ მონიტორინგის პროგრამას. მარშრუტების ბლოკირება არ აშორებს მას, და ახალი VPN სერვერის ყიდვა არ არის შეკეთება, რადგან ზემოქმედება გვირაბის ზემოთ არის.

ღრუბლოვან ანგარიშზე ატვირთვის ბუფერის მენეჯერი ამას მკვეთრად აჩვენებს. ტრაფიკი დაშიფრულია, დანიშნულება ნებადართულია, და გადაუდებელი გამომრთველი მთელი დროის განმავლობაში იუწყება ჯანსაღ მდგომარეობას.

მეოთხე ნაბიჯი: ჩამოაყალიბეთ მტკიცება, რომელსაც თქვენი ტესტი უჭერს მხარს

გათიშვის ტესტის შემდეგ შეგიძლიათ დაასახელოთ კონკრეტული ფაქტები: რომელი აპლიკაციები ჩავარდა, რომელი გზები შეჩერდა, როგორ მოიქცა DNS და IPv6 და გაუძლო თუ არა ბლოკირებამ, როცა გვირაბი დაეცა. თქვენ არ შეგიძლიათ თქვათ, რომ ოპერაციული სისტემა სუფთაა, და არც ის, რომ შორეულ ბოლოში მდებარე სერვისი თქვენს შესვლას კონფიდენციალურად შეინახავს.

შეინახეთ ორი პრობლემა ცალ-ცალკე და მიეცით თითოეულს საკუთარი კონტროლი:

• გადაუდებელი გამომრთველი: განსაზღვრული ჩავარდნის მოთხოვნა, რომელიც დადასტურებულია გათიშვის ტესტით, რომელსაც იმეორებთ ყოველი კლიენტის განახლების შემდეგ.
• მოწყობილობის ნდობა: მხარდაჭერილი განახლებები, ბოლო წერტილის დაცვა სანდო წყაროდან, გაუხსნელი ნებართვებისა და აუთენტიფიკაციის მოთხოვნების გადახედვა.
• ინციდენტი: უნებართვო შეღწევის ეჭვისას მიჰყევით პლატფორმის ან ორგანიზაციის პროცესს; ახალი სერვერი გაწმენდის ნაბიჯი არ არის.
• გამჟღავნება: დახმარების თხოვნისას ნუ ჩასვამთ პირად გასაღებებს ან მთლიან დიაგნოსტიკურ არქივებს, რადგან ლოგები და ეკრანის სურათები იგივე საიდუმლოებებს ატარებენ, რაც კავშირს.

კვლავ გაატარეთ თანმიმდევრობა შემდეგი განახლების შემდეგ, რადგან გადაუდებელი გამომრთველი კონფიგურაციაა, რომელიც ვერსიებთან ერთად მოძრაობს. ტესტი ერთადერთი მტკიცებულებაა, რომ ქცევა, რომელსაც ეყრდნობით, ჯერ კიდევ ის ქცევაა, რომელსაც იღებთ.