Overte, že rozdelený tunel funguje: jeden výsledok IP nie je test

Jediná stránka prehliadača zobrazujúca adresu IP nedokazuje o rozdelenom tuneli takmer nič. Viditeľná adresa môže byť tá správna zo zlého dôvodu a vylúčený tok ňou nikdy neprejde. Zapíšte očakávaný výsledok pred testom: ktorá aplikácia alebo cieľ má tunel používať, ktorá má zostať priama a čo sa má zastaviť, keď tunel zlyhá. Bez tohto plánu vyzerá každé vierohodné číslo ako úspech.

Mýtus: vyhľadanie adresy dokazuje pokrytie

Kontrola IP odpovedá na jednu otázku: čo vonkajší svet vidí z jednej aplikácie v jednom okamihu. Nehovorí nič o internom prefixe, druhom profile prehliadača ani názve, ktorý sa má prekladať súkromne. Nehovorí nič ani o zlyhaní, a to je práve tá polovica návrhu rozdeleného tunela, ktorá sa v prevádzke rozbíja.

Stránka adresy tiež nevie ukázať trasu, resolver ani politiku zlyhania. Berte ju ako jedno pozorovanie, nie ako rozsudok.

Vyskúšajte zahrnutý tok a vylúčený tok

Pošlite neškodnú požiadavku z aplikácie, ktorá má byť zahrnutá, alebo na prefix, pri ktorom očakávate smerovanie tunelom, a zaznamenajte zdroj, cieľ, rodinu adries a pozorovanú cestu. To isté urobte pre tok, ktorý má zostať priamy. Vylúčená strana je tá, ktorú ľudia preskakujú, a je to jediný dôkaz, že rozdelenie je zámerné a nie náhodné. Pomocný proces môže niesť samostatnú identitu politiky, preto testujte v procese, ktorý vlastní socket.

flow: Firefox to intranet.example:443, IPv4, source 10.8.0.6, tunneled
flow: Firefox to 1.1.1.1, IPv4, source 192.0.2.20, direct

Preto môže test spustený v nesprávnej aplikácii ukázať opak toho, čo návrh zamýšľa. Zapíšte štyri polia pre obe strany, skôr než vyvodíte akýkoľvek záver.

Pridajte DNS a prípad zlyhania

Oslovte systémový resolver a resolver, ktorý používa aplikácia, a potom tieto odpovede porovnajte s výstupnou adresou, ktorú uvádza web. Obe vrstvy sa môžu zámerne rozchádzať a jedno vyhľadanie v prehliadači nepreveruje politiku operačného systému. Shell robí porovnanie opakovateľným: Prerušte tunel úmyselne a potom pošlite požiadavku, ktorú prehliadač nemá v vyrovnávacej pamäti; stránka z vyrovnávacej pamäte vám nepovie nič o tom, kadiaľ sa vybrala náhradná cesta. Zaznamenajte, čo sa skutočne stalo, namiesto toho, čo návrh predpovedal.

curl -s https://ifconfig.me
nslookup intranet.example

Rozdelený tunel, ktorý zlyháva zavretý, a ten, ktorý zlyháva otvorený, vyzerajú rovnako, kým tunel úmyselne neprerušíte. Zaznamenajte, aké správanie ste pozorovali, nie aké ste očakávali.

Opakujte po zmene stavu

Rovnaké pozorovania zopakujte po opätovnom pripojení, zmene siete a príslušnej aktualizácii aplikácie. Uložené vylúčenie môže ďalej ukazovať na cestu alebo identitu aplikácie, ktorá už neexistuje, a návrh ticho prestáva zodpovedať svojej dokumentácii. Tieto tri udalosti sú miesta, kde rozdelené tunely driftujú, a každé z nich je lacné znova otestovať. Test, ktorý beží len raz pri nasadení, opisuje konfiguráciu, ktorá už neexistuje.

Ak sa výsledok líši, nájdite vlastníka pravidla a fázu spracovania, skôr než zmeníte niekoľko nastavení naraz. Zmeniť päť vecí a pozorovať jeden výsledok nie je diagnóza, je to nová konfigurácia.

Čo má výsledok preukázať

Zviažte pozorovania s politikou a verziou klienta, ktoré ste skutočne testovali. Cieľom je ukázať, že toto nasadenie zodpovedá pokrytiu, ktoré deklaruje, nie že každá budúca aplikácia bude súkromná. To je užšie tvrdenie a je to to, ktoré skutočne môžete doložiť dôkazmi. Zapíšte tvrdenie, verziu a výsledky štyroch polí do záznamu zmien.

Potom ďalší recenzent pozná, či sa zmenil návrh alebo test. Rozdelený tunel je overený, keď obe strany, rozdelenie resolvera a správanie pri zlyhaní zodpovedajú tomu, čo ste na začiatku zapísali. Jeden výsledok IP neoveruje žiadne z nich.