Проверите да ли подељени тунел ради: један IP резултат није тест

Једна једина страница прегледача која приказује IP адресу не доказује готово ништа о подељеном тунелу. Видљива адреса може бити права из погрешног разлога, а искључени ток њоме никада није обухваћен. Запишите очекивани резултат пре тестирања: која апликација или одредиште треба да користи тунел, шта треба да остане директно и шта треба да се заустави када тунел откаже. Без тог плана сваки вероватан број изгледа као успех.

Мит: претрага адресе доказује покривеност

Провера IP-а одговара на једно питање: шта спољни свет види из једне апликације у једном тренутку. Не говори ништа о интерном префиксу, другом профилу прегледача или имену које треба приватно да се разреши. Не говори ништа ни о квару, а то је она половина дизајна подељеног тунела која се квари у продукцији.

Страница адресе такође не може да прикаже руту, резолвер ни политику квара. Третирајте је као једно запажање, не као пресуду.

Вежбајте укључени и искључени ток

Пошаљите безопасан захтев из апликације која треба да буде укључена, или на префикс за који очекујете да ће ићи кроз тунел, и забележите извор, одредиште, фамилију адреса и запажену путању. Учините исто за ток који треба да остане директан. Искључена страна је она коју људи прескачу, и она је једини доказ да је подела намерна, а не случајна. Помоћни процес може да носи засебан идентитет политике, па тестирајте у процесу који поседује сокет.

flow: Firefox to intranet.example:443, IPv4, source 10.8.0.6, tunneled
flow: Firefox to 1.1.1.1, IPv4, source 192.0.2.20, direct

Зато тест покренут у погрешној апликацији може да покаже супротно од онога што дизајн намерава. Запишите четири поља за обе стране пре него што донесете било какав закључак.

Додајте DNS и случај квара

Питајте системски резолвер и резолвер који апликација користи, а затим те одговоре упоредите са излазном адресом коју наводи веб-место. Два слоја могу намерно да се разилазе, а једна претрага у прегледачу не проверава политику оперативног система. Љуска чини поређење поновљивим: Намерно прекините тунел, затим пошаљите захтев који прегледач нема у кешу; страница послужена из кеша не говори вам ништа о томе куда је отишла резерва. Забележите шта се стварно догодило уместо онога што је дизајн предвиђао.

curl -s https://ifconfig.me
nslookup intranet.example

Подељени тунел који откаже затворено и онај који откаже отворено изгледају једнако док тунел не прекинете намерно. Забележите које сте понашање посматрали, а не које сте очекивали.

Поновите након промене стања

Поновите иста запажања након поновног повезивања, промене мреже и релевантног ажурирања апликације. Сачувано изузеће може наставити да показује на путању или идентитет апликације који више не постоји, а дизајн тихо престаје да одговара својој документацији. Та три догађаја су места на којима подељени тунели дрифтају, и сваки је јефтин за поновно тестирање. Тест који се покреће само једном при увођењу описује конфигурацију која више не постоји.

Ако се резултат разликује, пронађите власника правила и фазу обраде пре него што промените неколико поставки одједном. Променити пет ствари и посматрати један резултат није дијагноза, то је нова конфигурација.

Шта резултат треба да утврди

Вежите запажања уз политику и верзију клијента коју сте стварно тестирали. Циљ је да покажете да ово увођење одговара покривености коју тврди, а не да ће свака будућа апликација бити приватна. То је ужа тврдња и то је она коју стварно можете поткрепити доказима. Запишите тврдњу, верзију и резултате четири поља у запис промена.

Тада следећи рецензент може да утврди да ли се променио дизајн или тест. Подељени тунел је проверен када се обе стране, подела резолвера и понашање при квару подударају с оним што сте записали на почетку. Један IP резултат не проверава ниједно од тога.