Kontrola VPN bez rozhrania: jeden tok naraz, s dôkazmi
Bezhlavé zariadenie potrebuje požiadavku, ktorej odpoveď dokážete prečítať. Otestujte každú rodinu adries, kontext aj cieľ a potom zapíšte, čo výsledok nepokryl.
Na bezhlavom zariadení nie je prehliadač na otvorenie ani zámok na pozeranie, takže kontrola musí byť požiadavka, ktorej odpoveď dokážete prečítať. Znie to triviálne, kým si nevšimnete, že jeden jediný výsledok výstupnej adresy sa používa na certifikáciu zariadenia, ktoré prevádzkuje desiatku služieb, dve rodiny adries a proxy. Nasledujúci prehľad stavia vždy jeden obmedzený dôkaz, v tom istom kontexte, v ktorom pracovná záťaž skutočne beží.
Rozhodnite, čo má test dokázať
Pred spustením čohokoľvek napíšte očakávanie na jeden riadok: ktorý tok, cez ktoré rozhranie, ku ktorému cieľu a čo má byť vidieť na druhom konci. Test bez vysloveného očakávania dáva číslo, ktoré nikto nevie vyložiť.
Najužitočnejšia verzia pomenuje schválený koncový bod, ktorý hlási zdrojovú adresu, ktorú videl.
Tento koncový bod je jediná časť, ktorú musíte zariadiť. Všetko ostatné je pozorovanie na strane klienta a pozorovania na strane klienta zlyhávajú zaujímavými spôsobmi.
Vykonajte pozorovanie v správnom kontexte
Administrátorský shell nie je prostredie pracovnej záťaže. Môže niesť inú premennú proxy, inú smerovaciu tabuľku v inom mennom priestore alebo súbor prostredia iného používateľa. Spustite test v tom istom kontexte hostiteľa, kontajnera, menného priestoru alebo služby ako to, čo kontrolujete. Inak meriate vlastný shell.
Na bežnom hostiteľovi to znamená toho istého používateľa a tú istú jednotku. V prostredí kontajnerov to znamená vstup do sieťového menného priestoru kontajnera namiesto testovania z hostiteľa. Pri službe systemd to môže znamenať prechodnú jednotku s rovnakými nastaveniami.
Nasledujúca požiadavka má zmysel len vtedy, keď ste v správnom kontexte.
Kontrolujte rodiny adries oddelene
Pýtajte sa na každú rodinu výslovne, pretože úspešná požiadavka IPv4 vôbec necvičí cestu IPv6. Selektory --ipv4 a --ipv6 vynucujú voľbu a rozdiel medzi oboma výsledkami je sám informáciou.
curl --ipv4 https://probe.example/observed-source
curl --ipv6 https://probe.example/observed-sourceNeúspešná požiadavka IPv6 nie je dôkazom účinného blokovania. Môže znamenať, že koncový bod nemá adresu IPv6, že DNS nevrátil nič použiteľné alebo že zariadenie nemá vôbec cestu IPv6. Prečítajte si zlyhanie, skôr než z neho urobíte záver. Úspešná požiadavka IPv6 tunelom je jediný výsledok, ktorý dokazuje, že cesta IPv6 je pokrytá.
Zapíšte obe odpovede vedľa seba. Jedna sama je polovica faktu.
Pridajte štyri veci, ktoré výstupná kontrola prehliada
Výstupná adresa odpovedá na jednu otázku. Ďalšie štyri rozhodujú, či sa tunel správa podľa návrhu.
| Check | What it proves | What it does not |
|---|---|---|
| Included and excluded destinations | The split behaves as designed for those flows | Coverage of any other destination |
| Resolver path | Where a fresh lookup actually travelled | Where a cached answer came from |
| Tunnel-down behaviour | The failure policy for a new request | What an already open connection does |
| Reconnect and restart | The requirement survives the lifecycle event | Behaviour under load or partial failure |
Politika cieľov ide prvá: otestujte tok, ktorý má byť zahrnutý, a tok, ktorý má byť vylúčený, keď má návrh rozdelenie. Potom DNS, kde skúmate skutočnú cestu prekladača namiesto nakonfigurovanej hodnoty, pretože odpoveď z vyrovnávacej pamäte alebo vytlačené nastavenie nič nehovorí o tom, kam sa nová otázka vybrala.
Správanie pri zlyhaní potrebuje plán a zachovanú cestu obnovy. Pozorujte novú požiadavku, kým je tunel nedostupný, a pamätajte, že staré otvorené spojenie nie je dôkazom o politike zlyhania. Životný cyklus prichádza nakoniec: zopakujte pozorovanie po opätovnom pripojení alebo reštarte služby, ak tieto udalosti ovplyvňujú požiadavku.
Zapisujte dôkazy, nie rozsudok
Pri každom výsledku uchovajte kontext procesu, cieľ, rodinu adries, čas a pozorovaný zdroj. Táto sada je obmedzený dôkaz o tokoch, ktoré ste cvičili, a je obhájiteľná práve preto, že hovorí, čo pokryla.
Nie je to audit záznamov prevádzkovateľa VPN ani certifikát pre každú budúcu aplikáciu na zariadení.
Napíšte limity vedľa výsledku. Test, ktorý uvádza, čo nepokryl, prejde revíziou, zatiaľ čo ten, ktorý tvrdí, že zariadenie je overené, neprejde. Majte príručku curl vedľa použitých selektorov rodiny a tabuľku so štyrmi riadkami pri výsledkoch.