Проверете дали разделен тунел работи: еден IP резултат не е тест

Една единствена страница во прелистувачот што прикажува IP адреса не докажува речиси ништо за разделен тунел. Видливата адреса може да е правилната од погрешна причина, а исклучен тек никогаш не се вежба со неа. Запишете го очекуваниот резултат пред да тестирате: која апликација или одредиште треба да го користи тунелот, што треба да остане директно и што треба да запре кога тунелот ќе откаже. Без тој план, секој веродостоен број изгледа како успех.

Мит: една проверка на адреса докажува покриеност

Проверката на IP одговара на едно прашање: што гледа надворешниот свет од една апликација во еден момент. Таа не кажува ништо за внатрешен префикс, втор профил на прелистувачот или име што треба да се реши приватно. Не кажува ништо ни за отказот, а тоа е половината од дизајнот на разделен тунел што се крши во производство.

Страницата со адреса исто така не може да ја прикаже рутата, резолверот или политиката при отказ. Третирајте ја како едно набљудување, не како пресуда.

Вежбајте вклучен и исклучен тек

Испратете безопасно барање од апликацијата што треба да биде вклучена, или кон префиксот за кој очекувате да оди низ тунелот, и забележете го изворот, одредиштето, семејството адреси и набљудуваната патека. Направете го истото за тек што треба да остане директен. Исклучената страна е онаа што луѓето ја прескокнуваат, и таа е единствениот доказ дека поделбата е намерна, а не случајна. Помошен процес може да носи одделен идентитет на политиката, затоа тестирајте во процесот што го поседува сокетот.

flow: Firefox to intranet.example:443, IPv4, source 10.8.0.6, tunneled
flow: Firefox to 1.1.1.1, IPv4, source 192.0.2.20, direct

Затоа тест во погрешната апликација може да го покаже спротивното од она што го предвидува дизајнот. Запишете ги четирите полиња за двете страни пред да донесете каков било заклучок.

Додајте DNS и случајот на отказ

Прашајте го системскиот резолвер и резолверот што го користи апликацијата, потоа споредете ги тие одговори со адресата на излезот што ја известува страницата. Двата слоја можат намерно да се разидуваат, а една проверка во прелистувачот не ја вежба политиката на оперативниот систем. Обвивката го прави споредувањето повторливо: Прекини го тунелот намерно, потоа направи барање што прелистувачот не го кеширал; страницата сервирана од кешот не ви кажува ништо за насоката на резервниот пат. Забележете што навистина се случило, наместо она што го предвидел дизајнот.

curl -s https://ifconfig.me
nslookup intranet.example

Разделен тунел што откажува затворен и оној што откажува отворен изгледаат исто додека намерно не го прекинете тунелот. Забележете какво однесување сте набљудувале, не какво сте очекувале.

Повторете по промената на состојбата

Повторете ги истите набљудувања по повторно поврзување, промена на мрежата и соодветно ажурирање на апликацијата. Зачувано исклучување може да продолжува да укажува на патека или идентитет на апликација што повеќе не постои, и дизајнот тивко престанува да одговара на својата документација. Тие три настани се местата каде разделените тунели дрифтаат, и секој од нив е ефтин за повторно тестирање. Тест што се извршува само еднаш при распоредувањето опишува конфигурација што повеќе не постои.

Ако резултатот се разликува, најдете го сопственикот на правилото и фазата на обработка пред да промените неколку поставки одеднаш. Промена на пет работи и набљудување на еден резултат не е дијагноза, туку нова конфигурација.

Што треба да утврди резултатот

Поврзете ги набљудувањата со политиката и верзијата на клиентот што навистина сте ги тестирале. Целта е да покажете дека ова распоредување одговара на покриеноста што ја тврди, а не дека секоја идна апликација ќе биде приватна. Тоа е потесно тврдење и токму него можете навистина да го поткрепите со докази. Запишете го тврдењето, верзијата и резултатите по четирите полиња во дневникот на промени.

Тогаш следниот проверувач може да утврди дали се променил дизајнот или тестот. Разделен тунел е проверен кога двете страни, поделбата на резолверот и однесувањето при отказ одговараат на она што сте го запишале на почетокот. Еден IP резултат не потврдува ниту едно од нив.