Kontrolléieren, ob en Split-Tunnel funktionéiert: een IP-Resultat ass keen Test

Eng eenzeg Browsersäit, déi eng IP-Adress weist, beweet bal näischt iwwer en Split-Tunnel. Eng sichtbar Adress kann déi richteg aus dem falsche Grond sinn, an eng ausgeschlossene Flux gëtt ni vun hir erfaasst. Schreif d'erwaart Resultat op, ier s de testen: wéi eng Anwendung oder wéi en Zil den Tunnel benotze soll, wéi eng direkt bleiwe soll, a wat stoppe muss, wann den Tunnel ausfällt. Ouni dee Plang gesäit all plausibel Zuel wéi en Erfolleg aus.

De Mythos: eng Adressopuf beweist Ofdeckung

D'IP-Prüfung beäntwert eng Fro: wat d'Aussenwelt zu engem Moment vun enger Anwendung gesäit. Si seet näischt iwwer e internen Prefix, en zweet Browsersprofil oder en Numm, dee privat opgeléist soll ginn. Si seet och näischt iwwer den Ausfall, an dat ass d'Halschent vun engem Split-Tunnel-Design, déi am Produktiounsbetrib brécht.

Eng Adresssäit kann och d'Route, den Resolver oder d'Ausfallpolitik net weisen. Behandel si als eng Observatioun, net als en Urteil.

Eng ageschlossenen an eng ausgeschlossene Flux testen

Schéck eng harmlos Ufro aus der Anwendung, déi ageschlosse soll sinn, oder un de Prefix, deen s de duerch den Tunnel erwaart, a log Quell, Zil, Adressfamill an observéierte Wee. Maach datselwecht fir eng Flux, déi direkt bleiwe soll. D'ausgeschlossene Säit ass déi, déi d'Leit iwwerspréngen, an et ass deen eenzege Beweis, datt d'Deelung absichtlech an net zoufälleg ass. En Hëllefsprozess kann eng eege Richtlinn-Identitéit droen, also test an deem Prozess, deen de Socket besëtzt.

flow: Firefox to intranet.example:443, IPv4, source 10.8.0.6, tunneled
flow: Firefox to 1.1.1.1, IPv4, source 192.0.2.20, direct

Dofir kann en Test an der falscher Anwendung d'Géigendeel weisen vun deem, wat den Design wëll. Schreif déi véier Felder fir béid Säiten op, ier s de eng Schlussfolgerung zers.

DNS an den Ausfallfall derbäisetzen

Fro den Systemresolver an de Resolver, deen d'App benotzt, a vergläich dann déi Äntwerten mat der Ausgangsadress, déi d'Säit mellt. Déi zwou Schichten kënnen absichtlech net iwwerenee stëmmen, an eng eenzeg Browserufro prüft d'Politik vum Betribssystem net. Eng Shell mécht de Verglach widderhuelbar: Bréch den Tunnel absichtlech, stell dann eng Ufro, déi de Browser net gecacht huet; eng Säit aus dem Cache seet dir näischt doriwwer, a wéi eng Richtung de Fallback gaang ass. Halt fest, wat tatsächlech geschitt ass, amplaz wat den Design virausgesot huet.

curl -s https://ifconfig.me
nslookup intranet.example

En Split-Tunnel, deen zou ausfällt, an een, deen oppen ausfällt, gesinn identesch aus, bis s de den Tunnel absichtlech bréchs. Halt fest, wéi en Verhalen s de observéiert hues, net wéi een s de erwaart hues.

Widderhuelen, nodeems sech den Zoustand geännert huet

Widderhuel déi selwecht Observatiounen no enger Widderverbindung, engem Netzwierkwiessel an engem relevante Anwendungsupdate. Eng gespäichert Ausnam kann weider op en Wee oder eng Anwendungsidentitéit weisen, déi et net méi gëtt, an den Design passt stëll net méi zu senger Dokumentatioun. Déi dräi Evenementer sinn déi Plazen, wou Split-Tunnelen ofdrëften, an all eenzel ass bëlleg nach eng Kéier ze testen. En Test, deen nëmmen eng Kéier beim Rollout leeft, beschreift eng Konfiguratioun, déi et net méi gëtt.

Wann en Resultat ofwäicht, fann den Eegentümer vun der Regel an d'Verarbeitungsstuf, ier s de méi Astellungen op eemol änderst. Fënnef Saachen änneren an een Resultat observéieren ass keng Diagnos, et ass eng nei Konfiguratioun.

Wat d'Resultat solle beleeën

Bind d'Observatiounen un d'Richtlinn an d'Client-Versioun, déi s de tatsächlech getest hues. D'Zil ass ze weisen, datt dës Bereitstellung der Ofdeckung entsprécht, déi si behaapt, net datt all zukünfteg Anwendung privat wäert sinn. Dat ass eng méi schmal Behauptung, an et ass déi, déi s de tatsächlech mat Beweiser ënnerstëtze kanns. Schreif d'Behauptung, d'Versioun an déi véier-Feld-Resultater an den Ännerungsrekord.

Dann kann den nächsten Iwwerprüfer gesinn, ob den Design sech geännert huet oder den Test. En Split-Tunnel ass verifizéiert, wann béid Säiten, d'Resolver-Deelung an den Ausfallverhalen deem entspriechen, wat s de um Ufank opgeschriwwen hues. Een IP-Resultat verifizéiert näischt dovu.