En headless VPN iwwerpréiwen: engem Floss op eemol, mat Beweiser
Eng headless Këscht brauch eng Ufro, deenen hir Äntwert dir liese kënnt. Test all Adressfamill, Kontext an Destinatioun, a schreif dann op, wat d'Resultat net ofgedeckt huet.
Op enger headless Këscht gëtt et kee Browser opzemaachen an kee Schloss unzekucken, dofir muss d'Iwwerpréiwung eng Ufro sinn, deenen hir Äntwert dir liese kënnt. Dat kléngt trivial, bis dir bemierkt, datt een eenzegt Resultat vun der Ausgangsadress benotzt gëtt, fir en Apparat ze zertifizéieren, deen eng Dosen Servicer, zwou Adressfamillen an e Proxy bedreift. D'Duerchgang hei drënner baut all Kéier een agrenzte Beweis, am selwechte Kontext, an deem d'Aarbechtslaascht tatsächlech leeft.
Entscheet, wat den Test beweise soll
Ier dir eppes ausféiert, schreift d'Erwaardung an enger Linn: wéi engem Floss, duerch wéi eng Interface, op wéi eng Destinatioun, a wat um aneren Enn ze gesi soll sinn. En Test ouni ausgeschwaten Erwaardung gëtt eng Zuel, déi keen interpretéiere kann.
Déi nëtzlechst Versioun nennt en approuvéierten Endpunkt, deen d'Quelladress mellt, déi en gesinn huet.
Dee Endpunkt ass deen eenzegen Deel, deen dir missen arrangéieren. Alles anescht ass eng Observatioun op der Clientsäit, an Observatioune op der Clientsäit ginn op interessant Manéieren an d'Luucht.
Féiert d'Observatioun am richtege Kontext aus
D'Shell vun engem Administrateur ass net d'Ëmfeld vun der Aarbechtslaascht. Si ka missen eng aner Proxyvariabel, eng aner Routingstabell an engem aneren Nummraum oder eng aner Benotzer seng Ëmfelldatei droen. Féiert den Test am selwechten Host-, Container-, Nummraum- oder Servicekontext aus wéi dat, wat dir iwwerpréift. Soss moosst dir Är eege Shell.
Op engem normale Host heescht dat dee selwechte Benotzer an déiselwecht Eenheet. An enger Containerlandschaft heescht dat an den Netzwierk-Nummraum vum Container ze goen, amplaz vum Host aus ze testen. Op engem systemd-Service kann et eng temporär Eenheet mat deene selwechte Astellungen heeschen.
D'Ufro, déi duerno kënnt, ass nëmme sënnvoll, wann dir am richtege Kontext sidd.
Iwwerpréift Adressfamillen getrennt
Frot all Famill ausdrécklech, well eng erfollegräich IPv4-Ufro guer keen IPv6-Wee üübt. D'Selektoren --ipv4 an --ipv6 zwéngen d'Wiel, an den Ënnerscheed tëscht den zwou Resultater ass sech selwer Informatioun.
curl --ipv4 https://probe.example/observed-source
curl --ipv6 https://probe.example/observed-sourceEng feelgeschloen IPv6-Ufro ass kee Beweis fir eng effektiv Blockéierung. Si kann heeschen, datt den Endpunkt keng IPv6-Adress huet, datt DNS näischt Brauchbares zréckginn huet, oder datt den Apparat guer keng IPv6-Route huet. Liest de Feeler, ier dir eng Konklusioun doraus zitt. Eng erfollegräich IPv6-Ufro duerch den Tunnel ass dat eenzegt Resultat, dat beweist, datt den IPv6-Wee ofgedeckt ass.
Schreift béid Äntwerten niefteneen op. Eng dovun eleng ass d'Halschent vun enger Tatsaach.
Füügt déi véier Saachen dobäi, déi eng Ausgangsiwwerpréiwung iwwersäit
Eng Ausgangsadress beäntwert eng Fro. Véier weider entscheeden, ob den Tunnel sech wéi entworf behält.
| Check | What it proves | What it does not |
|---|---|---|
| Included and excluded destinations | The split behaves as designed for those flows | Coverage of any other destination |
| Resolver path | Where a fresh lookup actually travelled | Where a cached answer came from |
| Tunnel-down behaviour | The failure policy for a new request | What an already open connection does |
| Reconnect and restart | The requirement survives the lifecycle event | Behaviour under load or partial failure |
D'Destinatiounspolitik kënnt als éischt: test en Floss, deen abegraff soll sinn, an een, deen ausgeschloss soll sinn, wann den Design eng Spléckung huet. Dunn DNS, wou dir dee realen Resolver-Wee ënnersicht amplaz vum konfiguréierte Wäert, well eng gecachte Äntwert oder eng gedréckt Astellung seet näischt doriwwer, wouhin eng nei Ufro gaang ass.
D'Feelerverhalen brauch e Plang an en erhalene Recuperatiounswee. Observéiert eng nei Ufro, wärend den Tunnel net disponibel ass, a behält am Kapp, datt eng al oppe Verbindung kee Beweis iwwer d'Feelerpolitik ass. Den Liewenszyklus kënnt als lescht: widderhollt d'Observatioun no enger Reconnectioun oder engem Service-Restart, wann déi Evenementer d'Ufuerderung beaflossen.
Schreift Beweiser op, keen Urteel
Behält fir all Resultat de Prozesskontext, d'Destinatioun, d'Adressfamill, d'Zäit an d'observéiert Quell. Dee Set ass agrenzte Beweis iwwer d'Flëss, déi dir geübt hutt, an en ass verdeedegbar just well en seet, wat en ofgedeckt huet.
Et ass keen Audit vun den Opzeechnunge vum VPN-Betribber, an och keen Zertifikaat fir all zukünfteg Applikatioun op dem Apparat.
Schreift d'Limiten nieft d'Resultat. En Test, deen seet, wat en net ofgedeckt huet, iwwerlieft d'Iwwerpréiwung, wärend een, deen behaapt, den Apparat sief verifizéiert, dat net mécht. Hält d'curl-Handbuch nieft de Familljeselektoren, déi dir benotzt hutt, an hält d'Tabell mat véier Zeilen bei den Resultater.