په هک شوي هوسټ کې د بیړني بټن پوښښ څنګه ازموو

بیړنی بټن چالان کړئ، د تونل سرور آفلاین کړئ او وګورئ چې ماشین لا هم څه کوي. دا ازموینه د هغې ارزښت لري، ځکه چې جلا کوي چې فایر وال واقعاً څه پلي کوي له هغه څه چې تاسو فکر کړی و، او پایلې د ډېرو محصول پاڼو له اشارې څخه تنګې دي. بیړنی بټن د شبکې لارې کنټرولوي؛ هغه په وسیله کې مخکې روان سافټویر کنټرول نه کوي. زه دا ترتیب په هر هغه ماشین کې چلوم چې کلاینټ یې د fail-closed ادعا کوي، او شاوخوا لس دقیقې وخت نیسي.

له کلاینټ پیل کړئ، نه له سرور

د پلي کولو نقطه هغه هوسټ دی چې تاسو پرې ناست یاست: د عملیاتي سیستم فایر وال، مرستندویه خدمت یا د VPN کلاینټ خپل ډرایور. دا مهم دی ځکه چې هر څه چې بټن کولای شي، د هغې طبقې د لیدلو شي لخوا محدود دي. که کلاینټ بندیز د لارښوونې قاعده او نښې سره پلي کوي، هر هغه څه چې بسې واک ولري خپله قاعده ورزیاتولای شي؛ که د کرنل فایر وال جدول وکاروي، هماغه واک جدول سمولای شي. د کوډ قوت په دې پوښتنه کې هېڅکله نه راځي.

نو لومړی باید دا معلومه شي چې په دې وسیله د پالیسۍ څښتن څوک دی او څه ته اجازه لري چې پرې تېر شي. په مدیریت شوي کاري ماشین کې ځواب معمولاً د سازمان د پای نقطې ایجنټ وي، او شخصي VPN هغه وړتیاوې نه لیرې کوي، هر څنګه چې تونل تنظیم شوی وي.

لومړی ګام: هغو لارو کې بندیز تایید کړئ چې فکر کوئ پوښښ یې کوي

تونل په لرې سر کې ښکته کړئ، نه په کلاینټ کې، تر څو کلاینټ لا هم باور ولري چې باید وصل وي. بیا هغه څه وآزموئ چې یو کس به واقعاً وآزموي:

curl -m 5 -sS -o /dev/null -w '%{http_code}
' https://example.com
ping -c 2 1.1.1.1
ip route
nft list ruleset   # or: iptables -S

تاسو هغه کلاینټ غواړئ چې ژر او پاک ناکام شي، نه هغه چې تر براوزر وخت پای ته وځنډيږي. ځنډېدل معمولاً مانا دا ده چې پاکټونه د رد پرته د یوې قاعدې لخوا په خاموشۍ غورځول کیږي، چې منل کېدونکی دی، خو کېدای شي مانا دا هم وي چې کلاینټ یو زوړ ډیفالټ مسیر پرېښی چې مړ انټرفېس ته اشاره کوي. د تونل د ښکته کېدو پر مهال د لارښوونې جدول ولولئ: هغه ډیفالټ مسیر چې لا هم د تونل وسیلې ته اشاره کوي او هغه فایر وال قاعده چې یوازې نوي وتونکي اړیکې بندوي دوه بېلې حالتونه دي، او یوازې یو یې fail-closed دی.

هماغه حکمونه د کلاینټ د allow-LAN اختیار د چالان او بند حالت کې تکرار کړئ. هماغه ټوګل د ډېرو حیرانونو ځای دی، ځکه هغه لاره بیا پرانیزي چې پاتې پالیسي د بندولو لپاره لیکل شوې وه.

دویم ګام: DNS او IPv6 د جلا لارو په توګه وګورئ

د نومونو حل هغه خلا ده چې ډېر پلي کول ژغوري، ځکه پوښتنه کولای شي د سیستم د حل کوونکي پرته بل څه ته ووځي. د هغې وسیلې سره وپوښتئ چې ستاسو د حل کوونکي تنظیم له پامه غورځوي، او هماغه ځای v6 خوا هم وګورئ:

dig +short example.com
dig +short @1.1.1.1 example.com
curl -6 -m 5 -sS https://example.com -o /dev/null -w '%{http_code}
'
ip -6 route

د تونل د ښکته کېدو پر مهال دواړو نوم پوښتنو ته تش ځوابونه هغه پایله ده چې غواړئ. که دویمه پوښتنه ځواب ووايي، کلک کوډ شوی حل کوونکی پته د لاسرسي وړ ده او تونل له ماشین څخه د وتلو یوازینۍ لاره نه ده. که یوازې v6 غوښتنه بریالۍ شي، پالیسي IPv4 پوښي او IPv6 له پامه غورځوي، چې په بل پته کورنۍ کې هماغه لیک دی.

براوزرونه دا له بهر لوستل سختوي، ځکه د DNS over HTTPS لپاره تنظیم شوی براوزر پوښتنه د HTTPS غوښتنې له لارې حل کوي: پوښتنه یوازې هومره بنده ده څومره چې هغې پای ټکي ته پورټ 443 بند وي. په هغه هوسټ کې چې پالیسي سیمه ییز سبنيټ اجازه ورکوي، هغه غوښتنه لا هم LAN کې حل کوونکي ته رسېدلای شي.

دریم ګام: د شبکې افشا له پای نقطې افشا جلا کړئ

اوس هغه برخه چې هېڅ د فایر وال قاعده ورته نه رسي. بیړنی بټن له ماشین څخه وتونکې لارې بندوي؛ هغه په ماشین کې سافټویر نه منع کوي چې د کوډ کولو مخکې ډاټا ولولي او نه هغه سافټویر منع کوي چې تونل په قانوني ډول وکاروي. کیلي لاګر، زیانمنونکی توسیع، پرانیستی پرېښل شوی سکرین، پراخو اجازتو سره سینک کلاینټ: دا ټول هغه اړیکې له لارې معلومات لېږدوي چې بټن په خوښۍ اجازه ورکوي.

همدا خبره هغه څارنې سافټویر ته هم صدق کوي چې کارفرما په قصد نصب کړی. د لارو بندول هغه نه لیرې کوي، او نوی VPN سرور پیرودل حل نه دی، ځکه افشا له تونل مخکې ده.

هغه کلیپ بورډ مدیر چې کلاوډ حساب ته اپلوډ کوي دا خبره تېزه ښیي. ټرافیک کوډ شوی، منزل اجازه لري، او بیړنی بټن هر وخت روغه حالت راپور ورکوي.

څلورم ګام: هغه ادعا ولیکئ چې ستاسو ازموینه یې ملاتړ کوي

د قطعې ازموینې وروسته تاسو کولای شئ ځانګړي حقایق ووایئ: کوم اپلیکیشنونه ناکام شول، کومې لارې ودرېدې، DNS او IPv6 څنګه چلند وکړ او آیا بندیز هغه وخت ودرېد چې تونل ولویډ. تاسو نه شئ ویلای چې عملیاتي سیستم پاک دی، او نه شئ ویلای چې په لرې سر کې خدمت ستاسو ننوتل پټ ساتي.

دواړه ستونزې جلا وساتئ او هر یو ته خپل کنټرول ورکړئ:

• بیړنی بټن: ټاکل شوی د ناکامۍ غوښتنه، چې د هر کلاینټ لوړولو وروسته تکرارېدونکې قطعې ازموینې لخوا تاییدیږي.
• د وسیلې باور: ملاتړ شوي تازه کول، له باوري سرچینې پای نقطه ساتنه، د ناڅرګندو اجازتو او تصدیق غوښتنو بیاکتنه.
• پېښه: کله چې د نفوذ شک وي د پلیټفارم یا سازمان بهیر تعقیب کړئ؛ نوی سرور د پاکولو ګام نه دی.
• افشا: کله چې مرسته غواړئ، شخصي کیلي یا بشپړ تشخیصي آرشیفونه مه نښلوئ، ځکه لاګونه او سکرین شاټونه هغه رازونه لري چې اړیکه یې لري.

له بل تازه کولو وروسته بیا ترتیب چل کړئ، ځکه بیړنی بټن هغه تنظیم دی چې له نسخو سره ځي. ازموینه یوازینی شاهد دی چې هغه چلند چې تاسو پرې تکیه کوئ لا هم هغه دی چې ترلاسه کوئ.