Jinsi ya kujaribu kile kitufe cha dharura kinachofunika kwenye mwenyeji aliyeathiriwa

Endesha jaribio la kukatika, soma matokeo ya kila tabaka na uone mahali kitufe cha dharura kinasimama: huzuia njia, si programu inayosoma data kabla ya usimbaji fiche.

Washa kitufe cha dharura, zima seva ya handaki mtandaoni na uangalie mashine bado inafanya nini. Jaribio linafaa kwa sababu hutenganisha kile firewall inalazimisha kwa kweli na kile ulichodhani, na matokeo ni nyembamba kuliko kurasa nyingi za bidhaa zinavyodokeza. Kitufe cha dharura hudhibiti njia za mtandao; hadhibiti programu inayokwisha kukimbia kwenye kifaa. Naitenda mfululizo huu kwenye kila mashine ambayo mteja wake anadai kuwa fail-closed, na huchukua takriban dakika kumi.

Anza kwa mteja, si kwa seva

Sehemu ya utekelezaji ni mwenyeji unaoketi: firewall ya mfumo wa uendeshaji, huduma msaidizi au dereva wa mteja wa VPN mwenyewe. Hilo ni muhimu kwa sababu kila kitu kitufe kinachoweza kufanya kinapunguzwa na kile tabaka hilo linaona. Ikiwa mteja anatekeleza kizuizi kwa kanuni ya uelekezaji na alama, kitu chochote chenye mamlaka ya kutosha kinaweza kuongeza kanuni yake; ikiwa anatumia jedwali la firewall la kerneli, mamlaka hayo hayo yanaweza kuhariri jedwali. Nguvu ya siri kamwe haiingii katika swali hili.

Kwa hiyo jambo la kwanza kuthibitisha ni nani anamiliki sera kwenye kifaa hiki na anaruhusiwa kupuuza nini. Kwenye mashine ya kazi inayosimamiwa jibu kwa kawaida ni wakala wa mwisho wa shirika, na VPN ya kibinafsi haiondoi uwezo huo, handaki lilivyosanidiwa vyovyote.

Hatua ya kwanza: thibitisha kizuizi kwenye njia unazodhani kinafunika

Shusha handaki upande wa mbali, si kwa mteja, ili mteja bado aamini inapaswa kuwa imeunganishwa. Kisha jaribu kile mtu angejaribu kweli:

curl -m 5 -sS -o /dev/null -w '%{http_code}
' https://example.com
ping -c 2 1.1.1.1
ip route
nft list ruleset   # or: iptables -S

Unataka mteja anayeshindwa haraka na safi, si yule anayening'inia hadi muda wa kivinjari uishe. Kuning'inia kwa kawaida humaanisha pakiti zinatupwa kimya na kanuni bila kukataa, jambo linalokubalika, lakini pia kunaweza kumaanisha mteja aliacha njia ya kawaida ya zamani inayoelekea kiolesura kilichokufa. Soma jedwali la uelekezaji wakati handaki iko chini: njia ya kawaida inayoelekea kifaa cha handaki na kanuni ya firewall inayozuia tu miunganisho mipya ya kutoka ni hali mbili tofauti, na moja tu kati yao ni fail-closed.

Rudia amri zilezile kukiwa na chaguo la allow-LAN la mteja limewashwa na kuzimwa. Kitufe hicho ndicho mahali pa mshangao mwingi, kwa sababu hufungua tena njia ambayo sera iliyobaki iliandikwa kuifunga.

Hatua ya pili: angalia DNS na IPv6 kama njia tofauti

Utatuzi wa majina ni pengo linaloendelea kuishi katika utekelezaji mwingi, kwa sababu swali linaweza kutoka kwa kitu kingine isipokuwa kitatuzi cha mfumo. Uliza kwa chombo kinachopuuza usanidi wako wa kitatuzi, na angalia upande wa v6 wakati huo huo:

dig +short example.com
dig +short @1.1.1.1 example.com
curl -6 -m 5 -sS https://example.com -o /dev/null -w '%{http_code}
'
ip -6 route

Majibu matupu kwa maswali yote mawili ya jina wakati handaki iko chini ndiyo matokeo unayotaka. Ikiwa swali la pili linajibu, anwani ya kitatuzi iliyowekwa ngumu inafikiwa na handaki si njia pekee ya kutoka kwenye mashine. Ikiwa ombi la v6 pekee linafanikiwa, sera inashughulikia IPv4 na kupuuza IPv6, ambayo ni uvujaji uleule katika familia nyingine ya anwani.

Vivinjari hufanya hili kuwa gumu kusoma kutoka nje, kwa sababu kivinjari kilichosanidiwa kwa DNS kupitia HTTPS hutatua swali kupitia ombi la HTTPS: swali limezuiwa kadiri bandari 443 kuelekea mwisho huo imezuiwa. Kwenye mwenyeji ambapo sera inaruhusu subnet ya ndani, ombi hilo bado linaweza kufikia kitatuzi kwenye LAN.

Hatua ya tatu: tenganisha mfiduo wa mtandao na mfiduo wa mwisho

Sasa sehemu ambayo hakuna kanuni ya firewall inayofikia. Kitufe cha dharura huzuia njia za kutoka kwenye mashine; hakizuii programu iliyo kwenye mashine kusoma data kabla ya kusimbwa, na hakizuii programu hiyo kutumia handaki kwa njia halali. Kirekodi cha vitufe, kiendelezi hasidi, skrini iliyoachwa wazi, mteja wa usawazishaji mwenye ruhusa pana: vyote huhamisha taarifa kupitia muunganisho ambao kitufe kinaruhusu kwa furaha.

Hiyo hiyo inahusu programu ya ufuatiliaji ambayo mwajiri aliisakinisha kwa makusudi. Kuzuia njia hakuiondoi, na kununua seva mpya ya VPN si suluhisho, kwa sababu mfiduo uko mbele ya handaki.

Msimamizi wa ubao wa kunakili anayepakia kwenye akaunti ya wingu anaonyesha hilo kwa ukali. Trafiki imesimbwa, mahali panaruhusiwa, na kitufe cha dharura huripoti hali nzuri muda wote.

Hatua ya nne: andika dai ambalo jaribio lako linaunga mkono

Baada ya jaribio la kukatika unaweza kutaja ukweli mahususi: ni programu gani zilishindwa, ni njia gani zilisimama, DNS na IPv6 zilijibuje, na kama kizuizi kilidumu handaki ilipoanguka. Hukuwezi kusema mfumo wa uendeshaji ni safi, na hukuwezi kusema huduma ya upande wa mbali itaweka kuingia kwako kuwa siri.

Tenganisha matatizo mawili na upe kila moja udhibiti wake:

  • Kitufe cha dharura: hitaji lililobainishwa la kushindwa, lililothibitishwa kwa jaribio la kukatika unalorudia baada ya kila uboreshaji wa mteja.
  • Imani ya kifaa: masasisho yanayotumika, ulinzi wa mwisho kutoka chanzo kinachoaminika, ukaguzi wa ruhusa na maombi ya uthibitishaji yasiyoelezwa.
  • Tukio: fuata mchakato wa jukwaa au shirika unaposhuku uvunjaji; seva mpya si hatua ya kusafisha.
  • Ufichuzi: unapoomba msaada, usibandike funguo za faragha au kumbukumbu kamili za uchunguzi, kwa sababu kumbukumbu na picha za skrini hubeba siri zilezile kama muunganisho.

Endesha mfululizo tena baada ya sasisho lijalo, kwa sababu kitufe cha dharura ni usanidi unaosonga na matoleo. Jaribio ndilo ushahidi pekee kwamba tabia unayotegemea bado ni ile unayopata.

Makala zinazohusiana