Kā pārbaudīt VPN slēdzi bez īstiem kontiem
Veiciet slēdža pārbaudi ar mānekli un rezerves profilu: aptveriet katru pārtraukuma veidu, nolasiet curl izejas kodus un atšķiriet īstu bloķēšanu no DNS kļūmes.
Lai noskaidrotu, vai bloķēšanas slēdzis turas, īsts konts nav vajadzīgs; tieši kontu pārbaude pakļauj riskam. Pārbaude rada īsu logu, kurā trafiks var vai nevar iziet ārpus tuneļa, tāpēc kravai jābūt kaut kam, ko varat zaudēt. Tagad to daru ar mānekļa lapu un rezerves pārlūka profilu, un tas sniedz skaidrāku atbildi nekā iepriekšējā pārlūka un tīmekļa pasta rutīna. Tālāk sekoju tai pašai secībai, ko piedāvā klients: iestatījums, galamērķis, pāreja un tad pierādījums.
Tests atbild tikai uz vienu šauru jautājumu: vai šīs pārejas laikā šī lietotne var sasniegt tīklu ārpus tuneļa? tas neko nesaka par to, vai pārējā politika ir saprātīga. Turiet tvērumu tik šauru, un rezultāts būs pierakstīšanas vērts.
Atrodiet slēdzi un tā tvērumu klientā
Atveriet klientu un atrodiet bloķēšanas iestatījumu, pirms maināt jebkuru tīkla stāvokli. Ražotāji to sauc dažādi: bloķēšanas slēdzis, bloķēšanas režīms, tīkla slēdzene, trafika bloķēšana ārpus tuneļa. Etiķete pasaka mazāk nekā opcijas tajā. Svarīgi ir tas, vai bloķēšana attiecas vienmēr vai tikai tad, kad lietotne nolemj, ka tunelis tikko ir sabrucis, un vai tā aptver visas lietotnes vai izvēlētu sarakstu.
Pēc tam uzskaitiet pārejas, ko jūsu klients patiešām spēj veikt. Lietotāja uzsākta atvienošana, iziešana no lietotnes un kontakta zaudēšana ar serveri lielākajā daļā klientu ir trīs dažādi koda ceļi, un tiem nav vienas bloķēšanas politikas. Daži atbrīvo bloķēšanu, kad lietotne aizveras. Citi atstāj filtra noteikumus, līdz kaut kas tos noņem. Lasiet ražotāja iestatījumu uzziņu savai versijai, nevis pieņemiet, un pēc tam pierakstiet, kuru no trim jūs pārbaudāt.
Pierakstiet arī profilu: protokolu, adrešu saimes un vai ir ieslēgts sadalītais tunelis. Apgalvojums par visu ierīci ir bezjēdzīgs, ja profils apzināti izslēdz dažas lietotnes, un jūsu paša konfigurētais izņēmums nav noplūde. OpenVPN Connect iestatījumu uzziņa ir tāda lapa, kas nosauc, kura pārslēgšana maina kādu uzvedību, lai gan etiķetes atšķiras starp klientiem.
Izvēlieties mānekļa galamērķi, kas darbojas arī bez tuneļa
Māneklim vajadzīgas divas īpašības, un jebkuras izlaišana dod neizlasāmu rezultātu. Tam jābūt tieši sasniedzamam, kad tunelis ir nolaists un bloķēšana ir izslēgta, citādi paziņojums, ka tas pārstāja atbildēt, var vienkārši nozīmēt, ka saimnieks ir pazudis. Un tam nedrīkst būt vajadzīga pieteikšanās, sīkdatne vai maksājums, lai noplūde izmaksātu vienu žurnāla rindu, nevis sesiju.
Statiska lapa uz saimnieka, kuru kontrolējat, ir vistīrākā izvēle. Rezerves virtuālā mašīna ar parastu HTTP serveri ir gandrīz tikpat laba, un publiska savienojuma pārbaudes lapa der, ja pieņemat, ka tās pieejamība ir ārpus jūsu kontroles. Pierakstiet adresi, portu, adrešu saimi un vai pieprasījumam vajadzīga nosaukuma meklēšana, jo katrs no tiem kļūst par mainīgo, kas vēlāk var būt jāizolē.
Nosakiet bāzes līniju, pirms pieskaraties slēdzim. Kad tunelis ir augšā, māneklis atbild caur tuneli, kas pierāda, ka politikas maršruts darbojas. Kad tunelis ir nolaists un bloķēšana izslēgta, tam jāatbild tieši, kas pierāda, ka galamērķis ir dzīvs. Tikai tad neveiksme bloķētajā stāvoklī jums kaut ko pasaka.
Veiciet pārejas noteiktā secībā
Veiciet pārejas pa vienai un dodiet katrai dažas sekundes, lai nomierinātos, jo klienti bieži tieši šajā starpā nojauc un no jauna būvē noteikumus. Tā pati īsā pārbaude katru reizi padara novērojumus salīdzināmus:
curl -sS -o /dev/null -w 'http=%{http_code}\n' --max-time 5 http://decoy.example/
echo "curl_exit=$?"
dig +short decoy.example
curl -6 -sS -o /dev/null -w 'v6_http=%{http_code}\n' --max-time 5 http://decoy.example/
echo "curl_v6_exit=$?"| Transition | Expected with the block on | Failure signature |
|---|---|---|
| Manual disconnect | Decoy stops answering within seconds | Decoy still returns 200 |
| Server or path failure | Blocked, with no exemption for the old endpoint | Direct access during the gap |
| Quit the app | Client-dependent; record what happens | Block disappears with the process |
| Wi-Fi to Ethernet | Block holds until the tunnel returns | Traffic flows mid-change |
Rinda ar iziešanu no lietotnes ir pelnījusi atsevišķu palaidienu, pat ja parastā lietošanā klientu nekad neaizverat. Ja bloķēšana tiek atbrīvota pie iziešanas, avārija vai piespiedu atjauninājums dod tādu pašu pakļautību, un tas ir fakts par izvietošanu, nevis par jūsu pacietību. Windows sistēmā līdzvērtīgās pārbaudes ir Resolve-DnsName decoy.example un curl.exe -s -o NUL -w "%{http_code}" http://decoy.example/.
Atšķiriet bloķēšanu no bojāta atrisinātāja
Lapai, kas neielādējas, ir vairāki cēloņi, un tikai viens no tiem ir strādājošs slēdzis. Ja nosaukums netiek atrisināts, jūs uzzinājāt, ka DNS ir bloķēts vai bojāts, nevis ka datu ceļš ir bloķēts. Pārbaudiet arī burtisku adresi, lai atbilde vispār nav atkarīga no atrisināšanas.
curl izejas kodi šos gadījumus atdala. 6 ir nosaukuma atrisināšanas kļūda, 7 nozīmē, ka savienojums tika atteikts, 28 ir taimauts. Bloķēts maršruts parasti izpaužas kā taimauts vai atteikums pret burtisku adresi, savukārt tikai DNS bloķēšana atstāj 6 un slēpj visu pārējo. Kešota lapa vai pārtveršanas portāls pieviļ aci, tāpēc pierādījums ir izejas kods, nevis ekrāns.
Atkārtojiet pārbaudi IPv6 ar burtisku adresi. Bloķēšana, kas aptver IPv4 un ignorē IPv6, ir pietiekami izplatīta, lai pelnītu savu rindu piezīmēs, un klientam, kas ārpus tuneļa izslēdz IPv6, vajadzētu tīri neizdoties abās saimēs.
Pierakstiet tvērumu, ko rezultāts aptver
Kad tunelis atgriežas, apstipriniet atjaunošanos: māneklis atbild caur tuneli, atrisinātājs atgriež atbildes, un politika stāv tur, kur to atstājāt. Pēc tam atsauciet eksperimentus. Pagaidu ugunsmūra noteikums, atkļūdošanas maršruts vai testa profils, kas palicis vietā, sajaucīs nākamo palaidienu un var pārdzīvot lietotni.
Viena pāreja aptver vienu klienta versiju, vienu profilu, vienu pāreju un vienu adrešu saimi. Pierakstiet šos četrus kopā ar iznākumu:
- Klienta versija un platforma, un vai iestatījums ir pēc profila vai globāls.
- Profils, protokols un jebkādi sadalītā tuneļa izņēmumi.
- Pārbaudītā pāreja un tas, kā jūs to izraisījāt.
- Adrešu saimes un DNS, ar curl izejas kodiem bloķētajā un nebloķētajā stāvoklī.
Ja kāda rinda ir tukša, pārbaude nav pabeigta. Viesabonēšana nozīmē atkārtot rindu ar tīkla maiņu. Neuzraudzīta pārstartēšana nozīmē pārbaudīt, vai noteikumi atgriežas, un tas ir jautājums par atjaunošanas kārtību, nevis par slēdzi. Atkārtojiet secību pēc klienta atjauninājuma, jo slēdži mainās reti, bet uzvedība aiz tiem mainās bieži. Turiet mānekli: nekas nav jāmaina, un nākamā pārbaude aizņem piecas minūtes.