Għaliex ir-regola tiegħek ta' split tunnel waqfet taqbel ma' servizz

Ir-regola tiffissa prefiss u s-servizz marret. Aqra d-destinazzjoni li l-app tuża tassew, imbagħad sewwi l-mekkaniżmu minflok twessa' l-eċċezzjoni.

Split tunneling normalment ifalli b'wieħed minn żewġ modi. Jew it-traffiku li għandu jkun ġewwa t-tunnel idur madwaru, jew it-traffiku li għandu jibqa' barra jiġi miġbud ġewwa. Il-falliment tar-regola antika huwa l-ewwel tip, u huwa l-aktar konfuż, għax ir-regola tiġi infurzata eżatt kif miktuba. Dak li nbidel hija d-destinazzjoni: is-servizz issa jwieġeb fuq indirizz li r-regola qatt ma semmiet, u fit-tunnel m'hemm xejn ħażin.

X'jiffissa r-regola u x'jirritorna d-DNS

Regola ta' split tunnel hija dikjarazzjoni statika dwar destinazzjonijiet, normalment espressa bħala prefiss, rotta jew lista ta' indirizzi. Tiġi evalwata kontra d-destinazzjoni tal-pakkett fil-ħin tat-trasmissjoni. Isem tal-host huwa tfittxija li tirritorna sett ta' indirizzi b'ħajja u cache, u t-tweġiba tista' tvarja skont ir-resolver, skont it-tip ta' mistoqsija u skont il-minuta.

Dawk iż-żewġ oġġetti qatt ma jinnegozjaw ma' xulxin. Ir-regola tibqa' taqbel mal-prefiss li ngħatat, is-servizz ikompli jbiddel l-indirizz li joħroġ, u l-vojt bejnietom jikber bil-kwiet. Għalhekk is-sintomu jidher wara migrazzjoni tal-fornitur jew tiġdid taċ-ċertifikat u mhux wara bidla fil-konfigurazzjoni. Ħadd ma editja t-tunnel, allura ħadd ma jħares lejn it-tunnel, u d-dijanjosi tiżloq lejn l-app minflok lejn il-politika.

Tliet modi kif tkisser il-qbil

Il-każ ovvju huwa servizz li ċċaqlaq: l-operatur tah indirizz ġdid, id-DNS segwa, u l-eċċezzjoni ma segwietx. It-tieni huwa familja ta' indirizzi li r-regola qatt ma kopriet, li jiġri meta isem jibda jirritorna rekords AAAA li eċċezzjoni biss għal IPv4 tinjora. It-tielet hija differenza fir-resolver: veduta interna u veduta pubblika jistgħu jirritornaw indirizzi differenti għall-istess isem, allura l-indirizz li tuża l-app tiegħek mhuwiex dak li ttestjajt bih.

Konnessjoni fil-cache hija r-raba' varjant u hija faċli li tinqabeż. L-app tista' għadha tkellem indirizz li solviet siegħa ilu, li jfisser li t-tfittxija friska tiegħek u s-socket miftuħa tagħha ma jaqblux fejn jgħix is-servizz.

Aqra d-destinazzjoni li l-app tuża tassew

Staqsi lis-sistema operattiva u lit-tabella tas-sockets, mhux lit-tab tal-browser. It-tfittxija twieġeb għal xiex jissolva l-isem bħalissa, u t-tabella tas-sockets turi l-indirizz li l-proċess huwa konness miegħu, li jista' jkun eqdem. Mexxi t-tnejn qabel ma tifforma teorija, għax id-differenza bejniethom hija nnifisha t-tweġiba f'madwar nofs il-każijiet.

getent ahosts api.example.com
dig +short api.example.com A
dig +short api.example.com AAAA
ss -tnp | grep -F api
ip route get 203.0.113.40

Imbagħad qabbel ma' dak li tkopri r-regola. Jekk l-indirizz attwali jaqa' barra mill-eċċezzjoni u t-talba xorta tfalli, sibt il-kawża mingħajr ma mess konfigurazzjoni tat-tunnel. Jekk l-app hija konnessa ma' indirizz li jaqbel mar-regola u t-talba xorta tfalli, il-problema hija lil hinn mit-tunnel u din hija l-investigazzjoni żbaljata.

Sewwi l-mekkaniżmu, mhux is-sintomu

Jekk il-prodott jappoġġa tmexxija miżmuma bbażata fuq id-dominju, użaha u segwi l-imġiba dokumentata tagħha ta' aġġornament u ambitu. Dan jissostitwixxi assunzjoni statika b'tweġiba miżmuma, bi prezz li tiddependi fuq li l-karatteristika taħdem kif dokumentat.

Jekk id-disinn jiddependi fuq lista statika, agħtiha sid u pjan ta' aġġornament. Il-pjan għandu jgħid kif jinstab l-indirizz, min japprova l-bidla u kemm malajr hija mistennija li l-lista ssegwi migrazzjoni tal-fornitur. Lista mingħajr sid hija tfixkil futur b'kawża magħrufa.

Tkabbirx l-eċċezzjoni għal netwerk ġar kbir biss biex taqbad kull indirizz li rajt waqt test qasir. Din mhijiex tiswija; hija bidla permanenti fil-fruntiera tas-sigurtà, u se tħalli bil-kwiet servizzi mhux relatati jaqbżu t-tunnel sakemm teżisti r-regola.

Ivverifika ż-żewġ nofsijiet tal-ħsieb

Disinn ta' split tunnel għandu żewġ ħsibijiet, u tiswija għandha tippreserva t-tnejn. Is-servizz protett irid jgħaddi mit-tunnel, u l-kategoriji esklużi iridu jkomplu jduru madwaru. Ittestja konnessjoni friska mad-destinazzjoni msewwija, imbagħad ittestja xi ħaġa li suppost tibqa' barra.

curl -sv --max-time 5 https://api.example.com/ -o /dev/null 2>&1 | grep -E 'Trying|Connected to'
curl -sS --max-time 5 https://public.example/ -o /dev/null -w '%{http_code}\n'

Irreġistra l-indirizz il-ġdid, il-mekkaniżmu li għażilt u d-data. Dik in-nota hija dik li żżomm lill-persuna li jmiss milli tikkonkludi li l-VPN injorat il-konfigurazzjoni tagħha stess bl-addoċċ.

Artikli relatati