Провера VPN-а без интерфејса: један ток истовремено, са доказима
Безглава кутија тражи захтев чији одговор можете прочитати. Тестирајте сваку породицу адреса, контекст и одредиште, па забележите шта резултат није покрио.
На безглавој кутији нема прегледача за отварање ни катанца за гледање, па провера мора бити захтев чији одговор можете прочитати. То звучи тривијално док не приметите да се један једини резултат излазне адресе користи за сертификацију уређаја који покреће десетак сервиса, две породице адреса и прокси. Преглед испод гради по један ограничен доказ истовремено, у истом контексту у којем радно оптерећење заиста ради.
Одлучите шта тест мора да докаже
Пре него што било шта покренете, напишите очекивање у једном реду: који ток, кроз које сучеље, ка ком одредишту и шта треба приметити на другом крају. Тест без наведеног очекивања даје број који нико не може протумачити.
Најкориснија верзија именује одобрену крајњу тачку која пријављује изворну адресу коју је видела.
Та крајња тачка је једини део који морате да организујете. Све остало је посматрање на страни клијента, а посматрања на страни клијента иду на занимљиве начине по злу.
Покрените посматрање у исправном контексту
Администраторова шкољка није окружење радног оптерећења. Може носити другу прокси променљиву, другу таблицу усмеравања у другом именском простору или датотеку окружења другог корисника. Покрените тест у истом контексту хоста, контејнера, именског простора или сервиса као оно што проверавате. Иначе мерите своју шкољку.
На нормалном хосту то значи исти корисник и иста јединица. У окружењу контејнера то значи улазак у мрежни именски простор контејнера уместо тестирања са хоста. На systemd сервису то може значити пролазну јединицу са истим поставкама.
Захтев који следи има смисла само кад сте у исправном контексту.
Проверите породице адреса одвојено
Питајте за сваку породицу изричито, јер успешан IPv4 захтев уопште не вежба путању IPv6. Селектори --ipv4 и --ipv6 намећу избор, а разлика између два резултата и сама је информација.
curl --ipv4 https://probe.example/observed-source
curl --ipv6 https://probe.example/observed-sourceНеуспешан IPv6 захтев није доказ делотворне блокаде. Може значити да крајња тачка нема IPv6 адресу, да DNS није вратио ништа употребљиво или да уређај уопште нема IPv6 руту. Прочитајте неуспех пре него што из њега извучете закључак. Успешан IPv6 захтев кроз тунел једини је резултат који доказује да је IPv6 путања покривена.
Забележите оба одговора један поред другог. Један сам по себи је пола чињенице.
Додајте четири ствари које излазна провера пропушта
Излазна адреса одговара на једно питање. Још четири одлучују да ли се тунел понаша како је пројектован.
| Check | What it proves | What it does not |
|---|---|---|
| Included and excluded destinations | The split behaves as designed for those flows | Coverage of any other destination |
| Resolver path | Where a fresh lookup actually travelled | Where a cached answer came from |
| Tunnel-down behaviour | The failure policy for a new request | What an already open connection does |
| Reconnect and restart | The requirement survives the lifecycle event | Behaviour under load or partial failure |
Политика одредишта долази прва: тестирајте ток који треба бити укључен и онај који треба бити искључен, кад дизајн има поделу. Затим DNS, где прегледате стварну путању разрешивача уместо конфигурисане вредности, јер кеширани одговор или исписана поставка не говори ништа о томе камо је отишао нови упит.
Понашање при квару захтева план и сачувану путању опоравка. Посматрајте нови захтев док је тунел недоступан и запамтите да старо отворено спајање није доказ о политици квара. Животни циклус долази последњи: поновите посматрање након поновног спајања или рестарта сервиса ако ти догађаји утичу на захтев.
Бележите доказе, не пресуду
За сваки резултат задржите контекст процеса, одредиште, породицу адреса, време и посматрани извор. Тај скуп је ограничен доказ о токовима које сте вежбали и бранљив је управо зато што каже шта је покрио.
То није ревизија записа VPN оператера и није сертификат за сваку будућу апликацију на уређају.
Напишите ограничења уз резултат. Тест који наводи шта није покрио пролази преглед, а онај који тврди да је уређај проверен не пролази. Држите curl приручник уз селекторе породице које сте користили и држите табелу са четири реда уз резултате.