വിട്ടുവീഴ്ച ചെയ്യപ്പെട്ട ഹോസ്റ്റിൽ കിൽ സ്വിച്ച് എന്ത് ഉൾക്കൊള്ളുന്നു എന്ന് പരിശോധിക്കുന്നത് എങ്ങനെ

കിൽ സ്വിച്ച് ഓണാക്കി, ടണൽ സെർവർ ഓഫ്ലൈനാക്കി, യന്ത്രം ഇപ്പോഴും എന്ത് ചെയ്യുന്നു എന്ന് നിരീക്ഷിക്കുക। ഈ പരിശോധന നടത്താൻ തക്കതാണ്, കാരണം ഫയർവാൾ യഥാർത്ഥത്തിൽ എന്ത് നടപ്പാക്കുന്നു എന്നതിനെ നിങ്ങൾ കരുതിയതിൽ നിന്ന് വേർതിരിക്കുന്നു, ഫലങ്ങൾ മിക്ക ഉൽപ്പന്ന പേജുകൾ സൂചിപ്പിക്കുന്നതിനേക്കാൾ ഇടുങ്ങിയതാണ്। കിൽ സ്വിച്ച് നെറ്റ്വർക്ക് വഴികൾ നിയന്ത്രിക്കുന്നു; ഉപകരണത്തിൽ ഇതിനകം പ്രവർത്തിക്കുന്ന സോഫ്റ്റ്വെയറിനെ അത് നിയന്ത്രിക്കുന്നില്ല। ക്ലയന്റ് fail-closed എന്ന് അവകാശപ്പെടുന്ന എല്ലാ യന്ത്രത്തിലും ഞാൻ ഈ ക്രമം നടത്തുന്നു, ഇതിന് ഏകദേശം പത്ത് മിനിറ്റ് എടുക്കും।

സെർവറിൽ നിന്നല്ല, ക്ലയന്റിൽ നിന്ന് ആരംഭിക്കുക

നടപ്പാക്കൽ പോയിന്റ് നിങ്ങൾ ഇരിക്കുന്ന ഹോസ്റ്റാണ്: ഓപ്പറേറ്റിംഗ് സിസ്റ്റത്തിന്റെ ഫയർവാൾ, ഒരു സഹായ സേവനം അല്ലെങ്കിൽ VPN ക്ലയന്റിന്റെ സ്വന്തം ഡ്രൈവർ। ഇത് പ്രധാനമാണ്, കാരണം സ്വിച്ചിന് ചെയ്യാനാകുന്നതെല്ലാം ആ പാളി കാണുന്നതിന് പരിമിതമാണ്। ക്ലയന്റ് റൂട്ടിംഗ് നിയമവും അടയാളവും ഉപയോഗിച്ച് ബ്ലോക്ക് നടപ്പാക്കുകയാണെങ്കിൽ, മതിയായ അനുമതിയുള്ള ഏതിനും സ്വന്തം നിയമം ചേർക്കാം; കേണൽ ഫയർവാൾ പട്ടിക ഉപയോഗിക്കുകയാണെങ്കിൽ, അതേ അനുമതിക്ക് പട്ടിക തിരുത്താം। സൈഫറിന്റെ ശക്തി ഈ ചോദ്യത്തിൽ ഒരിക്കലും വരുന്നില്ല।

അതിനാൽ ആദ്യം തീരുമാനിക്കേണ്ടത് ഈ ഉപകരണത്തിലെ നയം ആരുടേതാണ്, എന്ത് മറികടക്കാൻ അതിന് അനുവാദമുണ്ട് എന്നതാണ്। നിയന്ത്രിത പ്രവൃത്തി യന്ത്രത്തിൽ ഉത്തരം സാധാരണയായി സംഘടനയുടെ എൻഡ്പോയിന്റ് ഏജന്റാണ്, വ്യക്തിഗത VPN ആ കഴിവുകൾ നീക്കുന്നില്ല, ടണൽ എങ്ങനെ കോൺഫിഗർ ചെയ്താലും।

ആദ്യ ഘട്ടം: അത് ഉൾക്കൊള്ളുന്നു എന്ന് നിങ്ങൾ കരുതുന്ന വഴികളിൽ ബ്ലോക്ക് സ്ഥിരീകരിക്കുക

ക്ലയന്റിലല്ല, വിദൂര അറ്റത്ത് ടണൽ താഴ്ത്തുക, അപ്പോൾ ക്ലയന്റ് ഇപ്പോഴും ബന്ധിപ്പിച്ചിരിക്കണം എന്ന് വിശ്വസിക്കും। തുടർന്ന് ഒരു വ്യക്തി യഥാർത്ഥത്തിൽ പരീക്ഷിക്കുന്നത് പരീക്ഷിക്കുക:

curl -m 5 -sS -o /dev/null -w '%{http_code}
' https://example.com
ping -c 2 1.1.1.1
ip route
nft list ruleset   # or: iptables -S

വേഗത്തിലും വൃത്തിയായും പരാജയപ്പെടുന്ന ക്ലയന്റാണ് വേണ്ടത്, ബ്രൗസർ സമയപരിധി വരെ തൂങ്ങിക്കിടക്കുന്ന ഒന്നല്ല। തൂങ്ങിക്കിടക്കൽ സാധാരണയായി നിരസിക്കാത്ത നിയമം പാക്കറ്റുകൾ നിശബ്ദമായി ഉപേക്ഷിക്കുന്നു എന്നാണ്, അത് സ്വീകാര്യമാണ്, പക്ഷേ ക്ലയന്റ് മരിച്ച ഇന്റർഫേസിലേക്ക് പഴയ ഡിഫോൾട്ട് റൂട്ട് വിട്ടിട്ടുണ്ടെന്നും അർത്ഥമാക്കാം। ടണൽ താഴ്ത്തിയിരിക്കുമ്പോൾ റൂട്ടിംഗ് പട്ടിക വായിക്കുക: ഇപ്പോഴും ടണൽ ഉപകരണത്തിലേക്ക് ചൂണ്ടുന്ന ഡിഫോൾട്ട് റൂട്ടും പുതിയ പുറത്തേക്കുള്ള കണക്ഷനുകൾ മാത്രം തടയുന്ന ഫയർവാൾ നിയമവും രണ്ട് വ്യത്യസ്ത അവസ്ഥകളാണ്, അവയിൽ ഒന്ന് മാത്രമാണ് fail-closed।

ക്ലയന്റിന്റെ allow-LAN ഓപ്ഷൻ ഓണും ഓഫും ആക്കി അതേ കമാൻഡുകൾ ആവർത്തിക്കുക। ആ ടോഗിളാണ് കൂടുതൽ അത്ഭുതങ്ങളുടെ ഇടം, കാരണം ബാക്കി നയം അടയ്ക്കാൻ എഴുതിയ വഴി അത് വീണ്ടും തുറക്കുന്നു।

രണ്ടാം ഘട്ടം: DNS-ഉം IPv6-ഉം വെവ്വേറെ വഴികളായി പരിശോധിക്കുക

പേര് നിർണ്ണയം മിക്ക നടപ്പാക്കലുകളെയും അതിജീവിക്കുന്ന വിടവാണ്, കാരണം ചോദ്യം സിസ്റ്റം റിസോൾവറല്ലാതെ മറ്റെന്തിലൂടെയും പുറത്തുപോകാം। നിങ്ങളുടെ റിസോൾവർ കോൺഫിഗറേഷൻ അവഗണിക്കുന്ന ഒരു ഉപകരണം കൊണ്ട് ചോദിക്കുക, അവിടെ v6 വശവും പരിശോധിക്കുക:

dig +short example.com
dig +short @1.1.1.1 example.com
curl -6 -m 5 -sS https://example.com -o /dev/null -w '%{http_code}
'
ip -6 route

ടണൽ താഴ്ത്തിയിരിക്കുമ്പോൾ രണ്ട് പേര് ചോദ്യങ്ങൾക്കും ശൂന്യമായ ഉത്തരങ്ങളാണ് ആവശ്യമുള്ള ഫലം। രണ്ടാമത്തെ ചോദ്യം ഉത്തരം നൽകുകയാണെങ്കിൽ, ഹാർഡ്കോഡ് ചെയ്ത റിസോൾവർ വിലാസം എത്താവുന്നതാണ്, ടണൽ യന്ത്രത്തിൽ നിന്ന് പുറത്തുപോകാനുള്ള ഏക വഴിയല്ല। v6 അഭ്യർത്ഥന മാത്രം വിജയിക്കുകയാണെങ്കിൽ, നയം IPv4 ഉൾക്കൊള്ളുന്നു, IPv6 അവഗണിക്കുന്നു, അത് മറ്റൊരു വിലാസ കുടുംബത്തിലെ അതേ ചോർച്ചയാണ്।

ബ്രൗസറുകൾ ഇത് പുറത്തുനിന്ന് വായിക്കാൻ ബുദ്ധിമുട്ടാക്കുന്നു, കാരണം DNS over HTTPS-നായി ക്രമീകരിച്ച ബ്രൗസർ ചോദ്യം HTTPS അഭ്യർത്ഥനയിലൂടെ പരിഹരിക്കുന്നു: ആ അറ്റത്തിലേക്കുള്ള 443 പോർട്ട് എത്രമാത്രം തടയപ്പെട്ടിട്ടുണ്ടോ അത്രമാത്രമേ ചോദ്യവും തടയപ്പെടൂ। പ്രാദേശിക സബ്നെറ്റ് നയം അനുവദിക്കുന്ന ഹോസ്റ്റിൽ, ആ അഭ്യർത്ഥന ഇപ്പോഴും LAN-ലെ റിസോൾവറിലെത്താം।

മൂന്നാം ഘട്ടം: നെറ്റ്വർക്ക് എക്സ്പോഷറും എൻഡ്പോയിന്റ് എക്സ്പോഷറും വേർതിരിക്കുക

ഇനി ഒരു ഫയർവാൾ നിയമവും എത്താത്ത ഭാഗം। കിൽ സ്വിച്ച് യന്ത്രത്തിൽ നിന്ന് പുറത്തേക്കുള്ള വഴികൾ തടയുന്നു; യന്ത്രത്തിലെ സോഫ്റ്റ്വെയർ എൻക്രിപ്ഷന് മുമ്പ് ഡാറ്റ വായിക്കുന്നത് അത് നിർത്തുന്നില്ല, ആ സോഫ്റ്റ്വെയർ ടണൽ നിയമാനുസൃതമായി ഉപയോഗിക്കുന്നതും നിർത്തുന്നില്ല। കീലോഗർ, ദുഷ്പ്രേരിത എക്സ്റ്റൻഷൻ, തുറന്നിട്ട സ്ക്രീൻ, വിശാല അനുമതികളുള്ള സിങ്ക് ക്ലയന്റ്: ഇവയെല്ലാം സ്വിച്ച് സന്തോഷത്തോടെ അനുവദിക്കുന്ന ഒരു കണക്ഷനിലൂടെ വിവരങ്ങൾ കൊണ്ടുപോകുന്നു।

തൊഴിലുടമ ബോധപൂർവം ഇൻസ്റ്റാൾ ചെയ്ത നിരീക്ഷണ സോഫ്റ്റ്വെയറിനും ഇത് ബാധകമാണ്। വഴികൾ തടയുന്നത് അതിനെ നീക്കുന്നില്ല, പുതിയ VPN സെർവർ വാങ്ങുന്നത് പരിഹാരമല്ല, കാരണം എക്സ്പോഷർ ടണലിന് മുകളിലാണ്।

ക്ലൗഡ് അക്കൗണ്ടിലേക്ക് അപ്ലോഡ് ചെയ്യുന്ന ക്ലിപ്പ്ബോർഡ് മാനേജർ ഇത് മൂർച്ചയോടെ കാണിക്കുന്നു। ട്രാഫിക് എൻക്രിപ്റ്റ് ചെയ്തതാണ്, ലക്ഷ്യം അനുവദിച്ചതാണ്, കിൽ സ്വിച്ച് എല്ലാ സമയവും ആരോഗ്യകരമായ അവസ്ഥ റിപ്പോർട്ട് ചെയ്യുന്നു।

നാലാം ഘട്ടം: നിങ്ങളുടെ പരിശോധന പിന്തുണയ്ക്കുന്ന വാദം എഴുതുക

ഔട്ടേജ് പരിശോധനയ്ക്ക് ശേഷം നിർദ്ദിഷ്ട വസ്തുതകൾ പറയാം: ഏത് ആപ്പുകൾ പരാജയപ്പെട്ടു, ഏത് വഴികൾ നിന്നു, DNS-ഉം IPv6-ഉം എങ്ങനെ പെരുമാറി, ടണൽ വീണപ്പോൾ ബ്ലോക്ക് നിലനിന്നോ। ഓപ്പറേറ്റിംഗ് സിസ്റ്റം ശുദ്ധമാണെന്ന് പറയാനാകില്ല, വിദൂര അറ്റത്തെ സേവനം നിങ്ങളുടെ ലോഗിൻ സ്വകാര്യമായി സൂക്ഷിക്കും എന്നും പറയാനാകില്ല।

രണ്ട് പ്രശ്നങ്ങളും വേർതിരിച്ച് നിർത്തി ഓരോന്നിനും അതിന്റേതായ നിയന്ത്രണം നൽകുക:

• കിൽ സ്വിച്ച്: നിർവചിച്ച പരാജയ ആവശ്യകത, ഓരോ ക്ലയന്റ് അപ്ഗ്രേഡിനും ശേഷം ആവർത്തിക്കുന്ന ഔട്ടേജ് പരിശോധനയിലൂടെ സ്ഥിരീകരിക്കുന്നു।
• ഉപകരണ വിശ്വാസം: പിന്തുണയ്ക്കുന്ന അപ്ഡേറ്റുകൾ, വിശ്വസനീയമായ ഉറവിടത്തിൽ നിന്നുള്ള എൻഡ്പോയിന്റ് സംരക്ഷണം, വിശദീകരിക്കാത്ത അനുമതികളുടെയും പ്രാമാണീകരണ അഭ്യർത്ഥനകളുടെയും പരിശോധന।
• സംഭവം: ചോർച്ചയിൽ സംശയമുണ്ടെങ്കിൽ പ്ലാറ്റ്ഫോമിന്റെയോ സംഘടനയുടെയോ പ്രക്രിയ പിന്തുടരുക; പുതിയ സെർവർ ശുദ്ധീകരണ ഘട്ടമല്ല।
• വെളിപ്പെടുത്തൽ: സഹായം തേടുമ്പോൾ സ്വകാര്യ കീകളോ മുഴുവൻ ഡയഗ്നോസ്റ്റിക് ആർക്കൈവുകളോ പകർത്തരുത്, കാരണം ലോഗുകളും സ്ക്രീൻഷോട്ടുകളും കണക്ഷനുള്ള അതേ രഹസ്യങ്ങൾ വഹിക്കുന്നു।

അടുത്ത അപ്ഡേറ്റിന് ശേഷം ക്രമം വീണ്ടും നടത്തുക, കാരണം കിൽ സ്വിച്ച് പതിപ്പുകളോടൊപ്പം നീങ്ങുന്ന കോൺഫിഗറേഷനാണ്। നിങ്ങൾ ആശ്രയിക്കുന്ന പെരുമാറ്റം ഇപ്പോഴും നിങ്ങൾക്ക് ലഭിക്കുന്ന പെരുമാറ്റമാണെന്നുള്ള ഏക തെളിവ് പരിശോധനയാണ്।