VPN bez ekrāna pārbaude: pa vienai plūsmai, ar pierādījumiem
Bezekrāna kastei vajag pieprasījumu, kura atbildi varat nolasīt. Pārbaudiet katru adrešu saimi, kontekstu un galamērķi, pēc tam pierakstiet, ko rezultāts neaptvēra.
Bezekrāna kastē nav pārlūka, ko atvērt, un nav slēdzenes, uz ko paskatīties, tāpēc pārbaudei jābūt pieprasījumam, kura atbildi varat nolasīt. Tas šķiet triviāli, līdz pamanāt, ka viens vienīgs izejas adreses rezultāts tiek izmantots, lai sertificētu ierīci, kurā darbojas desmitiem pakalpojumu, divas adrešu saimes un starpniekserveris. Turpmākā apskate katru reizi veido vienu ierobežotu pierādījumu tajā pašā kontekstā, kurā darba slodze patiešām darbojas.
Izlemiet, kas testam jāpierāda
Pirms kaut ko palaist, ierakstiet gaidīto vienā rindā: kura plūsma, pa kuru saskarni, uz kuru galamērķi un kas būtu jāredz otrā galā. Tests bez pateikta gaidījuma dod skaitli, ko neviens nevar interpretēt.
Noderīgākā versija nosauc apstiprinātu galapunktu, kas ziņo redzēto avota adresi.
Šis galapunkts ir vienīgā daļa, kas jums jāsakārto. Viss pārējais ir novērojums klienta pusē, un novērojumi klienta pusē izgāžas interesantos veidos.
Veiciet novērojumu pareizajā kontekstā
Administratora apvalks nav darba slodzes vide. Tajā var būt cita starpniekservera mainīgā, cita maršrutēšanas tabula citā nosaukumtelpā vai cita lietotāja vides fails. Veiciet testu tajā pašā resursdatora, konteineru, nosaukumtelpas vai pakalpojuma kontekstā, kā pārbaudāmais objekts. Pretējā gadījumā jūs mērāt savu apvalku.
Parastā resursdatorā tas nozīmē to pašu lietotāju un to pašu vienību. Konteineru vidē tas nozīmē iekļūšanu konteinera tīkla nosaukumtelpā, nevis testēšanu no resursdatora. systemd pakalpojumā tas var nozīmēt pagaidu vienību ar tādiem pašiem iestatījumiem.
Turpmākais pieprasījums ir jēgpilns tikai tad, kad esat pareizajā kontekstā.
Pārbaudiet adrešu saimes atsevišķi
Pieprasiet katru saimi skaidri, jo veiksmīgs IPv4 pieprasījums nemaz neizmanto IPv6 ceļu. Atlasītāji --ipv4 un --ipv6 piespiež izvēli, un atšķirība starp diviem rezultātiem pati par sevi ir informācija.
curl --ipv4 https://probe.example/observed-source
curl --ipv6 https://probe.example/observed-sourceNeveiksmīgs IPv6 pieprasījums nav efektīvas bloķēšanas pierādījums. Tas var nozīmēt, ka galapunktam nav IPv6 adreses, ka DNS nav atgriezis neko lietderīgu vai ka ierīcei vispār nav IPv6 maršruta. Izlasiet neveiksmi pirms secinājuma izdarīšanas. Veiksmīgs IPv6 pieprasījums caur tuneli ir vienīgais rezultāts, kas pierāda, ka IPv6 ceļš ir pārklāts.
Pierakstiet abas atbildes līdzās. Viena no tām viena pati ir puse no fakta.
Pievienojiet četras lietas, ko izejas pārbaude palaiž garām
Izejas adrese atbild uz vienu jautājumu. Vēl četras nosaka, vai tunelis uzvedas tā, kā projektēts.
| Check | What it proves | What it does not |
|---|---|---|
| Included and excluded destinations | The split behaves as designed for those flows | Coverage of any other destination |
| Resolver path | Where a fresh lookup actually travelled | Where a cached answer came from |
| Tunnel-down behaviour | The failure policy for a new request | What an already open connection does |
| Reconnect and restart | The requirement survives the lifecycle event | Behaviour under load or partial failure |
Galamērķa politika nāk vispirms: pārbaudiet plūsmu, kurai jābūt iekļautai, un tādu, kurai jābūt izslēgtai, ja projektā ir sadalījums. Tad DNS, kur pārbaudāt faktisko atrisinātāja ceļu, nevis konfigurēto vērtību, jo kešatmiņā saglabāta atbilde vai izdrukāts iestatījums neko nepasaka par to, uz kurieni aizgāja jauns vaicājums.
Kļūdas uzvedībai vajag plānu un saglabātu atkopšanas ceļu. Novērojiet jaunu pieprasījumu, kamēr tunelis nav pieejams, un atcerieties, ka vecs atvērts savienojums nav pierādījums par kļūdas politiku. Dzīves cikls nāk pēdējais: atkārtojiet novērojumu pēc atkārtotas savienošanas vai pakalpojuma restartēšanas, ja šie notikumi ietekmē prasību.
Pierakstiet pierādījumus, nevis spriedumu
Katram rezultātam saglabājiet procesa kontekstu, galamērķi, adrešu saimi, laiku un novēroto avotu. Šī kopa ir ierobežots pierādījums par plūsmām, kuras izmēģinājāt, un tā ir aizstāvama tieši tāpēc, ka pasaka, ko aptvēra.
Tas nav VPN operatora uzskaites audits un nav sertifikāts katrai nākamajai ierīces lietotnei.
Ierakstiet ierobežojumus blakus rezultātam. Tests, kas pasaka, ko neaptvēra, iztur pārskatīšanu, bet tas, kas apgalvo, ka ierīce ir pārbaudīta, neiztur. Turiet curl rokasgrāmatu blakus izmantotajiem saimes atlasītājiem un turiet četru rindu tabulu kopā ar rezultātiem.