Халдлагад өртсөн хост дээр яаралтай унтраалга юуг хамардагийг хэрхэн шалгах вэ

Сүлжээ таслах туршилтыг хийж, давхарга бүрийн үр дүнг уншиж, яаралтай унтраалга хаана зогсдогийг хараарай: энэ нь замыг хаадаг, шифрлэхээс өмнө өгөгдөл уншдаг программыг биш.

Яаралтай унтраалгыг асааж, туннелийн серверийг сүлжээнээс салгаж, машин юу хийсээр байгааг ажиглаарай. Энэ туршилтыг хийх нь үнэ цэнэтэй, учир нь галт хана юуг үнэхээр хэрэгжүүлж байгааг таны таамаглалаас тусгаарладаг бөгөөд үр дүн нь ихэнх бүтээгдэхүүний хуудсуудын дурдахаас илүү нарийн юм. Яаралтай унтраалга сүлжээний замыг удирддаг; энэ нь төхөөрөмж дээр аль хэдийн ажиллаж буй программыг удирддаггүй. Би энэ дарааллыг клиент нь fail-closed гэж мэдэгддэг бүх машин дээр хийдэг бөгөөд энэ нь ойролцоогоор арван минут үргэлжилдэг.

Серверээс биш, клиентээс эхлээрэй

Хэрэгжүүлэх цэг нь таны сууж буй хост: үйлдлийн системийн галт хана, туслах үйлчилгээ эсвэл VPN клиентийн өөрийн драйвер. Энэ нь чухал, учир нь унтраалга хийж чадах бүхэн тэр давхаргын харж буйгаар хязгаарлагддаг. Хэрэв клиент хаалтыг чиглүүлэлтийн дүрэм болон тэмдэгээр хэрэгжүүлдэг бол хангалттай эрхтэй бүхэн өөрийн дүрмийг нэмж чадна; хэрэв цөмийн галт хананы хүснэгт ашигладаг бол мөн эрх хүснэгтийг засаж чадна. Шифрийн хүч энэ асуултад хэзээ ч ордоггүй.

Тиймээс хамгийн түрүүнд тодорхойлох зүйл бол энэ төхөөрөмж дээрх бодлогыг хэн эзэмшиж, юуг давж гарахыг зөвшөөрсөн бэ. Удирдлагатай ажлын машин дээр хариулт нь ихэвчлэн байгууллагын төгсгөлийн цэгийн агент бөгөөд хувийн VPN нь туннель хэрхэн тохируулагдсанаас үл хамааран тэр боломжуудыг арилгадаггүй.

Эхний алхам: хамардаг гэж бодож буй замууд дээр хаалтыг баталгаажуулаарай

Туннелийг клиент дээр биш, алслагдсан төгсгөлд нь буулгаарай, ингэснээр клиент холбогдсон байх ёстой гэж итгэсээр байх болно. Дараа нь хүн үнэхээр туршиж үзэх зүйлийг туршаарай:

curl -m 5 -sS -o /dev/null -w '%{http_code}
' https://example.com
ping -c 2 1.1.1.1
ip route
nft list ruleset   # or: iptables -S

Та хурдан бөгөөд цэвэрхэн бүтэлгүйтдэг клиент хүсч байна, хөтчийн хугацаа дуустал дүүжлэгддэг клиент биш. Дүүжлэгдэх нь ихэвчлэн татгалзалгүй дүрэм пакетуудыг чимээгүй хаяж байгааг илтгэнэ, энэ нь хүлээн зөвшөөрөгдөх боловч клиент үхсэн интерфэйс рүү чиглэсэн хуучирсан өгөгдмөл зам үлдээсэн байж болно. Туннель буусан үед чиглүүлэлтийн хүснэгтийг уншаарай: туннелийн төхөөрөмж рүү чиглэсэн хэвээр байгаа өгөгдмөл зам ба зөвхөн шинэ гадагш холболтыг хаадаг галт хананы дүрэм нь хоёр өөр төлөв бөгөөд зөвхөн нэг нь fail-closed юм.

Клиентийн allow-LAN сонголтыг асааж, унтрааж ижил командуудыг давтаарай. Тэр унтраалга нь ихэнх гэнэтийн зүйлийн газар, учир нь бодлогын үлдсэн хэсэг хаахаар бичигдсэн замыг дахин нээдэг.

Хоёр дахь алхам: DNS болон IPv6-г тусдаа замаар шалгаарай

Нэр шийдвэрлэлт нь ихэнх хэрэгжүүлэлтийг даван туулдаг цоорхой, учир нь асуулга системийн шийдвэрлэгчээс өөр зүйлээр гарч болно. Таны шийдвэрлэгчийн тохиргоог үл тоомсорлодог хэрэгслээр асууж, тэндээ v6 талыг шалгаарай:

dig +short example.com
dig +short @1.1.1.1 example.com
curl -6 -m 5 -sS https://example.com -o /dev/null -w '%{http_code}
'
ip -6 route

Туннель буусан үед хоёр нэрийн асуулгад хоосон хариулт өгөх нь таны хүсэж буй үр дүн. Хоёр дахь асуулга хариулбал хатуу кодлосон шийдвэрлэгчийн хаяг хүртээмжтэй бөгөөд туннель машинаас гарах цорын ганц зам биш. Зөвхөн v6 хүсэлт амжилттай болвол бодлого IPv4-ийг хамарч, IPv6-г үл тоомсорлодог бөгөөд энэ нь өөр хаягийн гэр бүл дэх мөн тэр алдагдал юм.

Хөтчүүд үүнийг гаднаас уншихад хэцүү болгодог, учир нь DNS over HTTPS-д тохируулсан хөтөч асуулгыг HTTPS хүсэлтээр шийдвэрлэдэг: асуулга нь тэр төгсгөл рүү чиглэсэн 443 порт хэр хэмжээгээр хаагдсанаар хаагдана. Бодлого орон нутгийн дэд сүлжээг зөвшөөрдөг хост дээр тэр хүсэлт LAN дахь шийдвэрлэгчид хүрч чадна.

Гурав дахь алхам: сүлжээний өртөлтийг төгсгөлийн цэгийн өртөлтөөс тусгаарлаарай

Одоо ямар ч галт хананы дүрэм хүрэхгүй хэсэг. Яаралтай унтраалга машин гадагш гарах замыг хаадаг; энэ нь машин дээрх программыг шифрлэхээс өмнө өгөгдөл уншихаас зогсоодоггүй бөгөөд тэр программыг туннелийг хууль ёсоор ашиглахаас ч зогсоодоггүй. Товчлуур бүртгэгч, хортой өргөтгөл, онгорхой үлдээсэн дэлгэц, өргөн эрхтэй синхрончлолын клиент: эдгээр бүгд унтраалга баяртайгаар зөвшөөрдөг холболтоор мэдээлэл зөөдөг.

Ажил олгогч санаатайгаар суулгасан хяналтын программд ч мөн адил хамаарна. Замыг хаах нь түүнийг арилгахгүй, шинэ VPN сервер худалдаж авах нь засвар биш, учир нь өртөлт нь туннелийн дээр байдаг.

Үүлэн бүртгэлд байршуулдаг санах ойн самбарын менежер үүнийг хурцаар харуулдаг. Хөдөлгөөн шифрлэгдсэн, очих газар зөвшөөрөгдсөн, яаралтай унтраалга бүх хугацаанд эрүүл төлөв мэдээлдэг.

Дөрөв дэх алхам: таны туршилтыг дэмжих мэдэгдлийг бичээрэй

Таслах туршилтын дараа та тодорхой баримтуудыг хэлж болно: аль програмууд бүтэлгүйтсэн, аль замууд зогссон, DNS болон IPv6 хэрхэн ажилласан, туннель унасан үед хаалт тэссэн эсэх. Та үйлдлийн систем цэвэр гэж хэлж чадахгүй, алслагдсан төгсгөлийн үйлчилгээ таны нэвтрэлтийг нууцална гэж ч хэлж чадахгүй.

Хоёр асуудлыг тусдаа барьж, тус бүрд нь өөрийн хяналтыг өгөөрэй:

  • Яаралтай унтраалга: тодорхойлсон бүтэлгүйтлийн шаардлага, клиент шинэчлэгдэх бүрийн дараа давтагдах таслах туршилтаар баталгаажна.
  • Төхөөрөмжийн итгэл: дэмжигдсэн шинэчлэлтүүд, найдвартай эх сурвалжаас төгсгөлийн цэгийн хамгаалалт, тайлбарлаагүй зөвшөөрөл, баталгаажуулалтын хүсэлтийг хянах.
  • Хэрэг: халдлагад өртсөн гэж сэжиглэх үед платформ эсвэл байгууллагын процессыг дагаарай; шинэ сервер цэвэрлэх алхам биш.
  • Ил тод болгох: тусламж хүсэхдээ хувийн түлхүүр эсвэл бүрэн оношилгооны архивыг нааж болохгүй, учир нь лог болон дэлгэцийн зураг холболттой ижил нууцыг агуулдаг.

Дараагийн шинэчлэлтийн дараа дарааллыг дахин хийгээрэй, учир нь яаралтай унтраалга нь хувилбаруудтай хамт хөдөлдөг тохиргоо юм. Таны найдаж буй зан төлөв одоо ч таны авч буй зан төлөв гэдгийг зөвхөн туршилт нотолно.

Холбоотой нийтлэлүүд