Бузулган хосттогу өзгөчө өчүргүчтүн эмнени камтый турганын кантип текшерүү керек

Үзгүлтүк тестин иштетиңиз, ар бир катмардын жыйынтыгын окуңуз жана өзгөчө өчүргүч кайда токтой турганын көрүңүз: ал жолдорду бөгөттөйт, шифрлөөгө чейин маалымат окуган программаны эмес.

Өзгөчө өчүргүчтү күйгүзүңүз, туннель серверин тармактан чыгарыңыз жана машина дагы эмне кылып жатканын байкаңыз. Бул тестти жүргүзүүгө татыктуу, анткени ал firewall чындыгында эмнени аткарганын сиз ойлогондон ажыратат, ал эми жыйынтыктар көпчүлүк продукт барактары кыйыткандан тар. Өзгөчө өчүргүч тармак жолдорун башкарат; ал түзмөктө мурунтан иштеп жаткан программаны башкарбайт. Мен бул ырааттуулукту клиенти fail-closed деп билдирген ар бир машинада аткарам, жана бул болжол менен он мүнөт алат.

Серверден эмес, клиенттен баштаңыз

Аткаруу чекити — сиз отурган хост: операциялык тутумдун firewall-ы, жардамчы кызмат же VPN клиентинин өз драйвери. Бул маанилүү, анткени өчүргүч кыла алгандын баары ошол катмар көргөн менен чектелет. Эгер клиент бөгөттөөнү маршруттоо эрежеси жана белги менен ишке ашырса, жетиштүү артыкчылыгы бар нерсе өз эрежесин кошо алат; эгер ал өзөк firewall таблицасын колдонсо, ошол эле артыкчылык таблицаны оңдой алат. Шифрдын күчү бул суроого эч качан кирбейт.

Ошондуктан биринчи аныктала турган нерсе — бул түзмөктөгү саясат кимге таандык жана ага эмнени четтетүүгө уруксат берилген. Башкарылуучу жумуш машинасында жооп адатта уюмдун акыркы чекит агенти болот, ал эми жеке VPN бул мүмкүнчүлүктөрдү жок кылбайт, туннель кандай конфигурацияланса да.

Биринчи кадам: камтыйт деп ойлогон жолдордо бөгөттөөнү ырастаңыз

Туннелди клиентте эмес, алыскы учта түшүрүңүз, ошондо клиент дагы эле туташуусу керек деп ишенет. Андан кийин адам чындап сынай турган нерсени сынаңыз:

curl -m 5 -sS -o /dev/null -w '%{http_code}
' https://example.com
ping -c 2 1.1.1.1
ip route
nft list ruleset   # or: iptables -S

Сиз тез жана таза иштен чыккан клиент каалайсыз, браузердин убакыт чегине чейин илинип турган клиентти эмес. Илинип туруу адатта баш тартуусуз эреже пакеттерди үнсүз таштап жатканын билдирет, бул кабыл алынат, бирок клиент өлүк интерфейске багытталган эскирген демейки маршрутту калтырган болушу да мүмкүн. Туннель түшүрүлгөндө маршруттоо таблицасын окуңуз: дагы эле туннель түзмөгүнө көрсөткөн демейки маршрут жана жаңы чыгуучу туташууларды гана бөгөттөгөн firewall эрежеси — эки башка абал, жана алардын бирөө гана fail-closed.

Клиенттин allow-LAN опциясы күйүк жана өчүк абалда ошол эле буйруктарды кайталаңыз. Так ошол которуштуруу көпчүлүк таң калуучу жер, анткени ал саясаттын калган бөлүгү жабууга жазылган жолду кайра ачат.

Экинчи кадам: DNS жана IPv6ны өзүнчө жолдор катары текшериңиз

Аттарды чечүү — көпчүлүк ишке ашыруулардан аман калган кемтик, анткени суроо тутумдук чечүүчүдөн башка нерсе менен чыга алат. Чечүүчү конфигурацияңызды этибарга албаган курал менен сураңыз, жана ошол жерде v6 тарабын текшериңиз:

dig +short example.com
dig +short @1.1.1.1 example.com
curl -6 -m 5 -sS https://example.com -o /dev/null -w '%{http_code}
'
ip -6 route

Туннель түшүрүлгөн абалда эки ат суроосуна тең бош жооптор — каалаган жыйынтыгыңыз. Эгер экинчи суроо жооп берсе, катуу коддолгон чечүүчү дареги жеткиликтүү жана туннель машинадан чыгуучу жалгыз жол эмес. Эгер тек v6 суроосу ийгиликтүү болсо, саясат IPv4тү камтыйт жана IPv6ны этибарга албайт, бул башка дарек тобундагы ошол эле агым.

Браузерлер муну сырттан окууну кыйындатат, анткени DNS over HTTPS үчүн конфигурацияланган браузер суроону HTTPS суроосу аркылуу чечет: суроо ошол акыркы чекитке чейинки 443 порту канчалык бөгөттөлсө, ошончолук бөгөттөлөт. Саясат жергиликтүү ички тармакка уруксат берген хостто, ал суроо дагы эле LANдагы чечүүчүгө жете алат.

Үчүнчү кадам: тармактык таасирди акыркы чекит таасиринен ажыратыңыз

Эми эч бир firewall эрежеси жетпеген бөлүк. Өзгөчө өчүргүч машинадан чыгуучу жолдорду бөгөттөйт; ал машинадагы программанын шифрлөөгө чейин маалымат окушун токтотпойт жана ошол программанын туннелди мыйзамдуу колдонушун да токтотпойт. Ачкыч жазуучу, зыяндуу кеңейтүү, ачык калтырылган экран, кең укуктардагы синхрондоо клиенти: булардын баары өчүргүч кубаныч менен уруксат берген туташуу аркылуу маалымат ташыйт.

Ошол эле нерсе жумуш берүүчү атайын орноткон көзөмөлдөө программасына да тиешелүү. Маршруттарды бөгөттөө аны жок кылбайт, ал эми жаңы VPN серверин сатып алуу оңдоо эмес, анткени таасир туннелден жогору турат.

Булут аккаунтуна жүктөгөн алмашуу буферинин менеджери муну кескин көрсөтөт. Трафик шифрленген, багыт уруксат берилген, ал эми өзгөчө өчүргүч бардык убакта соо абал тууралуу билдирет.

Төртүнчү кадам: тестиңиз колдогон ырастоону жазыңыз

Үзгүлтүк тесттен кийин конкреттүү фактыларды айта аласыз: кайсы колдонмолор ишке ашкан жок, кайсы жолдор токтоду, DNS жана IPv6 кандай жүрүштү жана туннель кулаганда бөгөттөө кармалдыбы. Сиз операциялык тутум таза деп айта албайсыз, ошондой эле алыскы учтагы кызмат кирүүңүздү жашыруун сактайт деп да айта албайсыз.

Эки маселени өзүнчө кармаңыз жана ар бирине өз көзөмөлүн бериңиз:

  • Өзгөчө өчүргүч: аныкталган ишке ашпоо талабы, ал ар бир клиент жаңыртуусунан кийин кайталануучу үзгүлтүк тести менен ырасталат.
  • Түзмөк ишеними: колдоого алынган жаңыртуулар, ишенимдүү булактан акыркы чекит коргоосу, түшүндүрүлбөгөн уруксаттарды жана аутентификация суроолорун карап чыгуу.
  • Окуя: бузулууга шектенүү болгондо платформанын же уюмдун процессин аткарыңыз; жаңы сервер тазалоо кадамы эмес.
  • Жарыялоо: жардам сураганда жеке ачкычтарды же толук диагностикалык архивдерди койбоңуз, анткени журналдар жана экран сүрөттөрү туташуу менен бирдей сырларды алып жүрөт.

Кийинки жаңыртуудан кийин ырааттуулукту кайра аткарыңыз, анткени өзгөчө өчүргүч версиялар менен бирге жүргөн конфигурация. Тест — сиз таянган жүрүш-туруш дагы эле алган жүрүш-турушуңуз экенин билдирген жалгыз далил.

Тектеш макалалар