Kako preizkusiti stikalo VPN brez pravih računov
Izvedite preizkus stikala z vabo in rezervnim profilom: pokrijte vsak tip prekinitve, preberite izhodne kode curl in ločite pravo blokado od okvare DNS.
Za ugotavljanje, ali blokirno stikalo drži, ne potrebujete pravega računa; prav račun preizkus postavi v nevarnost. Preverjanje ustvari kratko okno, v katerem promet lahko, a ni nujno, zapusti tunel, zato mora biti breme nekaj, kar lahko izgubite. Zdaj to počnem z vabo in rezervnim profilom brskalnika in dobim jasnejši odgovor kot pri prejšnjem postopku z brskalnikom in spletno pošto. V nadaljevanju sledim istemu vrstnemu redu, ki ga ponuja odjemalec: nastavitev, cilj, prehod in nato dokaz.
Preizkus odgovori le na eno ozko vprašanje: ali lahko med tem prehodom ta aplikacija doseže omrežje zunaj tunela? nič ne pove o tem, ali je preostanek politike smiseln. Obseg držite tako ozek in rezultat bo vreden zapisa.
Poiščite stikalo in njegov obseg v odjemalcu
Odprite odjemalca in poiščite nastavitev blokiranja, preden spremenite kakršno koli omrežno stanje. Proizvajalci jo imenujejo različno: blokirno stikalo, način zaklepanja, omrežna ključavnica, blokiranje prometa zunaj tunela. Oznaka pove manj kot možnosti znotraj nje. Pomembno je, ali se blokada uporablja vedno ali le takrat, ko aplikacija presodi, da je tunel pravkar odpovedal, in ali pokriva vse aplikacije ali izbran seznam.
Nato naštejte prehode, ki jih vaš odjemalec resnično zna izvesti. Prekinitev, ki jo sproži uporabnik, izhod iz aplikacije in izguba stika s strežnikom so pri večini odjemalcev tri različne poti v kodi in si ne delijo ene politike blokiranja. Nekateri blokado sprostijo ob izhodu iz aplikacije. Drugi pustijo pravila filtra, dokler jih nekaj ne odstrani. Preberite referenco nastavitev proizvajalca za svojo različico, namesto da bi predpostavljali, in zapišite, katerega od treh primerov preizkušate.
Zapišite tudi profil: protokol, družine naslovov in ali je vklopljen razdeljeni tunel. Trditev o zaščiti cele naprave je nesmiselna, če profil namerno izključuje nekaj aplikacij, izključitev, ki ste jo nastavili sami, pa ni uhajanje. Referenca nastavitev OpenVPN Connect je prav takšna stran, ki poimenuje, katero stikalo spremeni katero vedenje, čeprav se oznake med odjemalci razlikujejo.
Izberite vabo, ki deluje tudi brez tunela
Vaba potrebuje dve lastnosti in izpustitev katere koli da neberljiv rezultat. Dosegljiva mora biti neposredno, ko je tunel izklopljen in blokada ne deluje, sicer lahko podatek, da ne odgovarja več, pomeni le, da je gostitelj izginil. In ne sme zahtevati prijave, piškotka ali plačila, da uhajanje stane eno vrstico dnevnika namesto seje.
Statična stran na gostitelju, ki ga nadzorujete, je najčistejša izbira. Rezervni navidezni stroj z običajnim strežnikom HTTP je skoraj enako dober, javna stran za preverjanje povezljivosti pa je v redu, če sprejmete, da je njena razpoložljivost zunaj vašega nadzora. Zapišite naslov, vrata, družino naslovov in ali zahteva potrebuje iskanje imena, ker vsaka od teh postane spremenljivka, ki jo boste morda morali pozneje izolirati.
Vzpostavite izhodiščno stanje, preden se dotaknete stikala. Ko je tunel dvignjen, mora vaba odgovarjati skozi tunel, kar dokazuje, da pot po politiki deluje. Ko je tunel spuščen in blokada izklopljena, mora odgovarjati neposredno, kar dokazuje, da je cilj živ. Šele takrat vam neuspeh v blokiranem stanju kaj pove.
Izvajajte prehode v ustaljenem vrstnem redu
Prehode izvajajte enega za drugim in vsakemu dajte nekaj sekund za umiritev, ker odjemalci prav v tem intervalu pogosto porušijo in znova zgradijo pravila. Izvajanje istega kratkega preizkusa vsakič naredi opažanja primerljiva:
curl -sS -o /dev/null -w 'http=%{http_code}\n' --max-time 5 http://decoy.example/
echo "curl_exit=$?"
dig +short decoy.example
curl -6 -sS -o /dev/null -w 'v6_http=%{http_code}\n' --max-time 5 http://decoy.example/
echo "curl_v6_exit=$?"| Transition | Expected with the block on | Failure signature |
|---|---|---|
| Manual disconnect | Decoy stops answering within seconds | Decoy still returns 200 |
| Server or path failure | Blocked, with no exemption for the old endpoint | Direct access during the gap |
| Quit the app | Client-dependent; record what happens | Block disappears with the process |
| Wi-Fi to Ethernet | Block holds until the tunnel returns | Traffic flows mid-change |
Vrstica z izhodom iz aplikacije si zasluži samostojen tek, tudi če odjemalca v običajni rabi nikoli ne zaprete. Če se blokada ob izhodu sprosti, vam zrušitev ali prisilna posodobitev data enako izpostavljenost, in to je dejstvo o uvedbi, ne o vaši potrpežljivosti. V sistemu Windows sta enakovredni sondi Resolve-DnsName decoy.example in curl.exe -s -o NUL -w "%{http_code}" http://decoy.example/.
Ločite blokado od pokvarjenega resolverja
Stran, ki se ne naloži, ima več vzrokov in le eden od njih je delovanje stikala. Če se ime ne razreši, ste izvedeli, da je DNS blokiran ali pokvarjen, ne pa da je podatkovna pot blokirana. Preizkusite tudi dobesedni naslov, da odgovor sploh ne bo odvisen od razreševanja imen.
Izhodne kode curl ločijo te primere. 6 je napaka pri razreševanju imena, 7 pomeni zavrnjeno povezavo, 28 je potek časa. Blokirana pot se običajno pokaže kot potek časa ali zavrnitev pri dobesednem naslovu, medtem ko blokada samo DNS-a pusti 6 in skrije vse drugo. Predpomnjena stran ali prestrezni portal zavajata oko, zato je dokaz izhodna koda, ne zaslon.
Ponovite sondo prek IPv6 z dobesednim naslovom. Blokada, ki pokriva IPv4 in ignorira IPv6, je dovolj pogosta, da si zasluži svojo vrstico v zapiskih, odjemalec, ki izklopi IPv6 zunaj tunela, pa bi moral čisto odpovedati v obeh družinah.
Zapišite obseg, ki ga rezultat pokriva
Ko se tunel vrne, potrdite obnovitev: vaba odgovarja skozi tunel, resolver vrača odgovore in politika stoji tam, kjer ste jo pustili. Nato poskuse razveljavite. Začasno pravilo požarnega zidu, pot za odpravljanje napak ali preskusni profil, ki ostanejo na mestu, bodo zmedli naslednji tek in lahko preživijo aplikacijo.
En prehod pokriva eno različico odjemalca, en profil, en prehod in eno družino naslovov. Te štiri zapišite skupaj z izidom:
- Različica odjemalca in platforma ter ali nastavitev velja za profil ali globalno.
- Profil, protokol in morebitne izključitve razdeljenega tunela.
- Preizkušeni prehod in kako ste ga sprožili.
- Družine naslovov in DNS, z izhodnimi kodami curl za blokirano in neblokirano stanje.
Če je katera koli vrstica prazna, preizkus ni dokončan. Gostovanje pomeni ponovitev vrstice s spremembo omrežja. Nenadzorovan ponovni zagon pomeni preverjanje, ali se pravila vrnejo, in to je vprašanje vrstnega reda obnavljanja, ne stikala. Zaporedje ponovite po posodobitvi odjemalca, ker se stikala redko spreminjajo, vedenje za njimi pa pogosto. Vabo obdržite: nič ni treba zavrteti in naslednje preverjanje traja pet minut.