Бұзылған хостта төтенше сөндіргіштің нені қамтитынын қалай тексеру керек

Үзіліс тестін іске қосыңыз, әр қабаттың нәтижесін оқыңыз және төтенше сөндіргіштің қай жерде тоқтайтынын көріңіз: ол жолдарды бөгейді, шифрлауға дейін деректерді оқитын бағдарламаны емес.

Төтенше сөндіргішті қосыңыз, туннель серверін желіден шығарыңыз және машинаның әлі не істейтінін бақылаңыз. Бұл тесті жүргізуге тұрарлық, өйткені ол firewall шын мәнінде нені орындайтынын сіз болжағаннан ажыратады, ал нәтижелер өнім беттерінің көбісі меңзегеннен тар. Төтенше сөндіргіш желілік жолдарды басқарады; ол құрылғыда әлдеқашан жұмыс істеп тұрған бағдарламаны басқармайды. Мен бұл реттілікті клиенті fail-closed деп мәлімдейтін әрбір машинада орындаймын, және бұл шамамен он минут алады.

Серверден емес, клиенттен бастаңыз

Орындау нүктесі — сіз отырған хост: операциялық жүйенің firewall-ы, көмекші қызмет немесе VPN клиентінің өз драйвері. Бұл маңызды, өйткені сөндіргіш жасай алатынның бәрі сол қабат көретінмен шектеледі. Егер клиент бөгеуді маршруттау ережесімен және белгімен жүзеге асырса, жеткілікті артықшылығы бар кез келген нәрсе өз ережесін қоса алады; егер ол ядроның firewall кестесін қолданса, сол артықшылық кестені өңдей алады. Шифрдың күші бұл сұраққа ешқашан кірмейді.

Сондықтан алдымен анықталатын нәрсе — осы құрылғыдағы саясат кімге тиесілі және оған нені басып озуға рұқсат етілген. Басқарылатын жұмыс машинасында жауап әдетте ұйымның соңғы нүкте агенті болады, ал жеке VPN бұл мүмкіндіктерді жоймайды, туннель қалай конфигурацияланса да.

Бірінші қадам: қамтиды деп ойлайтын жолдарда бөгеуді растаңыз

Туннельді клиентте емес, алыс жақта түсіріңіз, сонда клиент әлі де қосылуы керек деп сенсін. Содан кейін адам шынымен сынайтын нәрсені сынаңыз:

curl -m 5 -sS -o /dev/null -w '%{http_code}
' https://example.com
ping -c 2 1.1.1.1
ip route
nft list ruleset   # or: iptables -S

Сіз тез және таза сәтсіздікке ұшырайтын клиент қалайсыз, браузердің уақыт шегіне дейін ілініп тұратын клиентті емес. Іліну әдетте пакеттердің бас тартусыз ережемен үнсіз тасталатынын білдіреді, бұл қолайлы, бірақ клиенттің өлі интерфейске бағытталған ескірген әдепкі маршрутты қалдырғанын да білдіруі мүмкін. Туннель түсірілген кезде маршруттау кестесін оқыңыз: әлі де туннель құрылғысына сілтейтін әдепкі маршрут пен тек жаңа шығыс қосылыстарын бөгейтін firewall ережесі — екі түрлі күй, және олардың тек біреуі ғана fail-closed.

Клиенттің allow-LAN опциясы қосулы және өшірулі күйде бірдей командаларды қайталаңыз. Дәл осы ауыстырғыш көптеген тосынсыйдың орны, өйткені ол саясаттың қалған бөлігі жабуға жазылған жолды қайта ашады.

Екінші қадам: DNS және IPv6-ны жеке жолдар ретінде тексеріңіз

Атауларды шешу — көптеген іске асырудан аман қалатын олқылық, өйткені сұрау жүйелік шешушіден басқа нәрсемен шыға алады. Шешуші конфигурацияңызды елемейтін құралмен сұраңыз және сол жерде v6 жағын тексеріңіз:

dig +short example.com
dig +short @1.1.1.1 example.com
curl -6 -m 5 -sS https://example.com -o /dev/null -w '%{http_code}
'
ip -6 route

Туннель түсірілген күйде екі атау сұрауына да бос жауаптар — қалаған нәтижеңіз. Егер екінші сұрау жауап берсе, қатты кодталған шешуші мекенжайы қолжетімді және туннель машинадан шығудың жалғыз жолы емес. Егер тек v6 сұрауы сәтті болса, саясат IPv4-ті қамтиды және IPv6-ны елемейді, бұл басқа мекенжай тобындағы сол жаңсақтық.

Браузерлер мұны сырттан оқуды қиындатады, өйткені DNS over HTTPS үшін конфигурацияланған браузер сұрауды HTTPS сұрауы арқылы шешеді: сұрау сол соңғы нүктеге дейінгі 443 порты қаншалықты бөгелсе, соншалықты бөгелген. Саясат жергілікті ішкі желіге рұқсат беретін хостта бұл сұрау әлі де LAN-дағы шешушіге жете алады.

Үшінші қадам: желілік әсерді соңғы нүкте әсерінен ажыратыңыз

Енді ешбір firewall ережесі жетпейтін бөлік. Төтенше сөндіргіш машинадан шығатын жолдарды бөгейді; ол машинадағы бағдарламаның шифрлауға дейін деректерді оқуын тоқтатпайды және сол бағдарламаның туннельді заңды пайдалануын тоқтатпайды. Пернетақта жазушы, зиянды кеңейтім, ашық қалдырылған экран, кең рұқсаттары бар синхрондау клиенті: бұлардың барлығы сөндіргіш қуана рұқсат беретін қосылыс арқылы ақпарат тасымалдайды.

Дәл солай жұмыс беруші әдейі орнатқан бақылау бағдарламасына да қатысты. Маршруттарды бөгеу оны жоймайды, ал жаңа VPN серверін сатып алу жөндеу емес, өйткені әсер туннельден жоғары тұр.

Бұлттық аккаунтқа жүктейтін алмасу буферінің менеджері мұны анық көрсетеді. Трафик шифрланған, меже рұқсат етілген, ал төтенше сөндіргіш барлық уақытта сау күй туралы хабарлайды.

Төртінші қадам: тестіңіз қолдайтын тұжырымды жазыңыз

Үзіліс тестінен кейін нақты фактілерді айта аласыз: қандай қолданбалар сәтсіз аяқталды, қандай жолдар тоқтады, DNS мен IPv6 қалай әрекет етті және туннель құлағанда бөгеу ұстап тұрды ма. Сіз операциялық жүйе таза деп айта алмайсыз, сондай-ақ алыс жақтағы қызмет кіруіңізді құпия ұстайды деп те айта алмайсыз.

Екі мәселені бөлек ұстаңыз және әрқайсысына өз бақылауын беріңіз:

  • Төтенше сөндіргіш: айқындалған сәтсіздік талабы, ол әр клиент жаңартуынан кейін қайталанатын үзіліс тестімен расталады.
  • Құрылғы сенімі: қолдау көрсетілетін жаңартулар, сенімді көзден соңғы нүкте қорғанысы, түсіндірілмеген рұқсаттар мен аутентификация сұрауларын қарау.
  • Оқиға: бұзуға күмән туғанда платформаның немесе ұйымның процесін орындаңыз; жаңа сервер тазарту қадамы емес.
  • Жариялау: көмек сұрағанда жеке кілттерді немесе толық диагностикалық мұрағаттарды қоймаңыз, өйткені журналдар мен экран суреттері қосылыспен бірдей құпияларды тасымалдайды.

Келесі жаңартудан кейін реттілікті қайта орындаңыз, өйткені төтенше сөндіргіш нұсқалармен бірге жүретін конфигурация. Тест — сіз сүйенетін мінез-құлық әлі де алатын мінез-құлқыңыз екенінің жалғыз дәлелі.

Қатысты мақалалар