Wéi een test, wat en Noutausschaltknäppchen op engem kompromittéierten Host ofdeckt

Schalt den Noutausschaltknäppchen un, huel den Tunnelserver offline a kuck wat d'Maschinn nach mécht. Den Test lount sech, well en trennt wat d'Firewall tatsächlech duerchsetzt vun deem wat dir ugeholl hat, an d'Resultater si méi schmuel wéi déi meescht Produktsäiten uginn. En Noutausschaltknäppchen regéiert Netzwierkweeër; et regéiert keng Software déi schonn um Apparat leeft. Ech fueren dës Sequenz op all Maschinn aus wou de Client behaapt fail-closed ze sinn, an et dauert ongeféier zéng Minutten.

Fänkt beim Client un, net beim Server

De Duerchsetzungspunkt ass den Host op deem dir sëtzt: d'Firewall vum Betribssystem, en Hëllefsdéngscht oder den eegenen Treiber vum VPN-Client. Dat zielt, well alles wat de Schalter ka maachen duerch dat begrenzt ass wat déi Schicht gesäit. Wa de Client de Block mat enger Routingregel an enger Mark implementéiert, kann alles mat genuch Privilegien eng eegen Regel bäisetzen; wa en eng Kernel-Firewalltabell benotzt, kënnen déiselwecht Privilegien d'Tabell änneren. D'Stäerkt vum Chiffrement kënnt ni an dës Fro.

Also dat éischt wat festzeleeën ass, ass wien d'Politik op dësem Apparat besëtzt a wat et sech erlaabt z'iwwerschreiwen. Op enger geréierter Aarbechtsmaschinn ass d'Äntwert meeschtens den Endpunktagent vun der Organisatioun, an eng perséinlech VPN hëlt déi Fähegkeeten net ewech, wéi den Tunnel och konfiguréiert ass.

Éischte Schrëtt: bestätegt de Block op de Weeër déi dir mengt datt en ofdeckt

Huelt den Tunnel um wäiten Enn erof, net beim Client, sou datt de Client nach ëmmer mengt et misst verbonne sinn. Probéiert dann dat wat eng Persoun wierklech probéiere géif:

curl -m 5 -sS -o /dev/null -w '%{http_code}
' https://example.com
ping -c 2 1.1.1.1
ip route
nft list ruleset   # or: iptables -S

Dir wëllt e Client deen séier an propper feelt, net een deen bis zum Browser-Timeout hänkt. Hänke bedeit meeschtens datt Pakete stëllduerch eng Regel ouni Ofleenung fale gelooss ginn, wat akzeptabel ass, awer et kann och heeschen datt de Client eng veralt Standardroute op eng dout Interface hannerlooss huet. Liest d'Routingtabell wärend den Tunnel erof ass: eng Standardroute déi nach op den Tunnelapparat weist an eng Firewallregel déi nëmmen nei erausgäng Verbindungen blockéiert sinn zwee verschidde Statiounen, an nëmmen eng dovun ass fail-closed.

Widderhëlt déiselwecht Kommandos mam allow-LAN-Optioun vum Client un an aus. Dee Schalter ass wou déi meescht Iwwerraschunge wunnen, well en e Wee erëm opmécht deen de Rescht vun der Politik sollt zoumaachen.

Zweete Schrëtt: iwwerpréift DNS an IPv6 als getrennt Weeër

Nimmopléisung ass d'Lück déi déi meescht Implementatiounen iwwerlieft, well d'Ufro iwwer eppes aneschtes wéi den Systemresolver erausgoe kann. Frot mat engem Instrument dat är Resolverkonfiguratioun ignoréiert, a préift gläichzäiteg d'v6-Säit:

dig +short example.com
dig +short @1.1.1.1 example.com
curl -6 -m 5 -sS https://example.com -o /dev/null -w '%{http_code}
'
ip -6 route

Eidel Äntwerten op béid Nummufroen mam erofgeloossenen Tunnel sinn d'Resultat dat dir wëllt. Wa déi zweet Ufro äntwert, ass eng haart kodéiert Resolveradress erreechbar an den Tunnel ass net deen eenzege Wee aus der Maschinn. Wa just d'v6-Ufro geléngt, deckt d'Politik IPv4 of an ignoréiert IPv6, wat déiselwecht Leck an enger anerer Adressfamill ass.

Browsere maachen dat vun dobaussen schwéier ze liesen, well e Browser dee fir DNS iwwer HTTPS konfiguréiert ass d'Ufro iwwer eng HTTPS-Ufro léist: d'Ufro ass nëmmen esou blockéiert wéi de Port 443 op deen Endpunkt et ass. Op engem Host wou d'Politik dat lokalt Subnetz erlaabt, kann déi Ufro nach ëmmer en Resolver am LAN erreechen.

Drëtte Schrëtt: trennt d'Netzwierkexposition vun der Endpunktexposition

Jetzt deen Deel deen keng Firewallregel erreecht. En Noutausschaltknäppchen blockéiert Weeër aus der Maschinn; et hält Software op der Maschinn net dovun of Daten ze liese virun hirer Verschlësselung, an et hält déi Software net dovun of den Tunnel legal ze benotzen. E Keylogger, eng béiswëlleg Erweiderung, en oppe geloossenen Ecran, en Synchroniséierungsclient mat breeden Rechter: all beweegen Informatioun iwwer eng Verbindung déi de Schalter gären erlaabt.

Datselwecht gëllt fir Iwwerwaachungssoftware déi en Employeur bewosst installéiert huet. Weeër blockéiere hëlt se net ewech, an en neien VPN-Server kaafen ass net d'Reparatur, well d'Exposition virum Tunnel läit.

En Zwëschenofluechtmanager dee op e Cloudkonto eropluede weist dat schaarf. Den Trafic ass verschlësselt, d'Destinatioun ass erlaabt, an den Noutausschaltknäppchen mellt déi ganz Zäit en gesonden Zoustand.

Véierte Schrëtt: schreift d'Behaaptung déi ären Test ënnerstëtzt

No dem Ausfalltest kënnt dir konkret Fakten nennen: wéi eng Applikatiounen feelt hunn, wéi eng Weeër gestoppt hunn, wéi DNS an IPv6 sech beholl hunn a wéi de Block gehalen huet wéi den Tunnel gefall ass. Dir kënnt net soen datt d'Betribssystem propper ass, an och net datt en Déngscht um wäiten Enn är Umellung privat hält.

Hält déi zwee Problemer getrennt a gitt jidderengem seng eege Kontroll:

• Noutausschaltknäppchen: déi definéiert Feelbedingung, verifizéiert duerch en Ausfalltest deen dir no all Clientupgrade widderhëlt.
• Apparatvertrauen: ënnerstëtzt Updates, Endpunktschutz aus enger vertrauenswierdeger Quell, Iwwerpréiwung vun onerkläerte Rechter an Authentifikatiounsufroen.
• Tëschefall: befollegt de Prozess vun der Plattform oder der Organisatioun wann en Kompromiss verdächtegt gëtt; en neie Server ass kee Botzschrëtt.
• Verëffentlechung: wann dir Hëllef frot, kopéiert keng privat Schlësselen oder ganz Diagnosearchiver, well Loggen an Screenshots déiselwecht Geheimnisser droen wéi d'Verbindung.

Fuert d'Sequenz no dem nächsten Update nach eng Kéier aus, well en Noutausschaltknäppchen eng Konfiguratioun ass déi mat Versiounen weidergeet. Den Test ass den eenzege Beweis datt d'Verhalen op dat dir setzt nach ëmmer dat Verhalen ass dat dir kritt.