దెబ్బతిన్న హోస్ట్పై కిల్ స్విచ్ ఏమి కవర్ చేస్తుందో పరీక్షించడం ఎలా

కిల్ స్విచ్ ఆన్ చేయండి, టన్నెల్ సర్వర్ను ఆఫ్లైన్ చేయండి మరియు మెషిన్ ఇంకా ఏమి చేస్తుందో గమనించండి। ఈ పరీక్ష చేయదగినది, ఎందుకంటే ఫైర్వాల్ నిజంగా ఏమి అమలు చేస్తుందో మీరు ఊహించిన దాని నుండి వేరు చేస్తుంది, ఫలితాలు చాలా ఉత్పత్తి పేజీలు సూచించే దాని కంటే సన్నగా ఉంటాయి। కిల్ స్విచ్ నెట్వర్క్ మార్గాలను నియంత్రిస్తుంది; పరికరంలో ఇప్పటికే నడుస్తున్న సాఫ్ట్వేర్ను అది నియంత్రించదు। క్లయింట్ fail-closed అని చెప్పే ప్రతి మెషీన్లో నేను ఈ క్రమాన్ని అమలు చేస్తాను, దీనికి సుమారు పది నిమిషాలు పడుతుంది।

సర్వర్ నుండి కాదు, క్లయింట్ నుండి ప్రారంభించండి

అమలు బిందువు మీరు కూర్చున్న హోస్ట్: ఆపరేటింగ్ సిస్టమ్ ఫైర్వాల్, సహాయక సేవ లేదా VPN క్లయింట్ సొంత డ్రైవర్। ఇది ముఖ్యం ఎందుకంటే స్విచ్ చేయగలిగినదంతా ఆ పొర చూసే దానితో పరిమితమవుతుంది। క్లయింట్ రూటింగ్ నియమం మరియు గుర్తుతో బ్లాక్ను అమలు చేస్తే, సరిపడా అధికారాలు ఉన్న ఏదైనా తన సొంత నియమాన్ని జోడించగలదు; కెర్నల్ ఫైర్వాల్ పట్టికను ఉపయోగిస్తే, అదే అధికారాలు పట్టికను సవరించగలవు। సైఫర్ బలం ఈ ప్రశ్నలోకి ఎప్పుడూ రాదు।

కాబట్టి మొదట నిర్ణయించవలసినది ఈ పరికరంలోని విధానం ఎవరిది మరియు ఏమి దాటవేయడానికి అనుమతి ఉంది। నిర్వహించే పని మెషీన్లో సమాధానం సాధారణంగా సంస్థ ఎండ్పాయింట్ ఏజెంట్, మరియు వ్యక్తిగత VPN ఆ సామర్థ్యాలను తొలగించదు, టన్నెల్ ఎలా కాన్ఫిగర్ చేసినా।

మొదటి దశ: అది కవర్ చేస్తుందని మీరు నమ్మే మార్గాల్లో బ్లాక్ను నిర్ధారించండి

టన్నెల్ను క్లయింట్ వద్ద కాదు, దూరపు చివరలో దింపండి, తద్వారా క్లయింట్ ఇంకా కనెక్ట్ అయి ఉండాలని నమ్ముతుంది। తర్వాత ఒక వ్యక్తి నిజంగా ప్రయత్నించేది ప్రయత్నించండి:

curl -m 5 -sS -o /dev/null -w '%{http_code}
' https://example.com
ping -c 2 1.1.1.1
ip route
nft list ruleset   # or: iptables -S

త్వరగా మరియు శుభ్రంగా విఫలమయ్యే క్లయింట్ కావాలి, బ్రౌజర్ టైమౌట్ వరకు వేలాడేది కాదు। వేలాడటం సాధారణంగా తిరస్కరణ లేని నియమం ద్వారా ప్యాకెట్లు నిశ్శబ్దంగా పడవేయబడుతున్నాయని అర్థం, అది ఆమోదయోగ్యం, కానీ క్లయింట్ చనిపోయిన ఇంటర్ఫేస్ వైపు పాత డిఫాల్ట్ మార్గాన్ని విడిచిపెట్టి ఉండవచ్చని కూడా అర్థం। టన్నెల్ కింద ఉన్నప్పుడు రూటింగ్ పట్టికను చదవండి: ఇంకా టన్నెల్ పరికరం వైపు చూపుతున్న డిఫాల్ట్ మార్గం మరియు కొత్త బయటకు వెళ్లే కనెక్షన్లను మాత్రమే నిరోధించే ఫైర్వాల్ నియమం రెండు వేర్వేరు స్థితులు, వాటిలో ఒకటి మాత్రమే fail-closed।

క్లయింట్ allow-LAN ఎంపిక ఆన్ మరియు ఆఫ్లో ఉన్నప్పుడు అదే ఆదేశాలను పునరావృతం చేయండి। అదే టోగుల్ ఎక్కువ ఆశ్చర్యాల స్థలం, ఎందుకంటే మిగిలిన విధానం మూసివేయడానికి రాసిన మార్గాన్ని అది తిరిగి తెరుస్తుంది।

రెండవ దశ: DNS మరియు IPv6ను వేర్వేరు మార్గాలుగా తనిఖీ చేయండి

పేర్ల పరిష్కారం చాలా అమలుల నుండి బయటపడే ఖాళీ, ఎందుకంటే ప్రశ్న సిస్టమ్ రిజాల్వర్ కాకుండా వేరే దాని ద్వారా బయటకు వెళ్లవచ్చు। మీ రిజాల్వర్ కాన్ఫిగరేషన్ను పట్టించుకోని సాధనంతో అడగండి, అక్కడే v6 వైపు కూడా తనిఖీ చేయండి:

dig +short example.com
dig +short @1.1.1.1 example.com
curl -6 -m 5 -sS https://example.com -o /dev/null -w '%{http_code}
'
ip -6 route

టన్నెల్ కింద ఉన్నప్పుడు రెండు పేర్ల ప్రశ్నలకు ఖాళీ సమాధానాలే మీకు కావాల్సిన ఫలితం। రెండవ ప్రశ్న సమాధానం ఇస్తే, హార్డ్కోడ్ చేసిన రిజాల్వర్ చిరునామా చేరుకోగలదు మరియు టన్నెల్ మెషీన్ నుండి బయటకు వెళ్లే ఏకైక మార్గం కాదు। v6 అభ్యర్థన మాత్రమే విజయవంతమైతే, విధానం IPv4ను కవర్ చేస్తుంది మరియు IPv6ను పట్టించుకోదు, అది మరో చిరునామా కుటుంబంలో అదే లీక్।

బ్రౌజర్లు దీన్ని బయట నుండి చదవడం కష్టతరం చేస్తాయి, ఎందుకంటే DNS over HTTPS కోసం కాన్ఫిగర్ చేసిన బ్రౌజర్ ప్రశ్నను HTTPS అభ్యర్థన ద్వారా పరిష్కరిస్తుంది: ఆ చివరి వరకు పోర్ట్ 443 ఎంత నిరోధించబడిందో అంతే ప్రశ్న నిరోధించబడుతుంది। విధానం స్థానిక సబ్నెట్ను అనుమతించే హోస్ట్లో, ఆ అభ్యర్థన ఇంకా LANలోని రిజాల్వర్ను చేరుకోవచ్చు।

మూడవ దశ: నెట్వర్క్ ఎక్స్పోజర్ను ఎండ్పాయింట్ ఎక్స్పోజర్ నుండి వేరు చేయండి

ఇప్పుడు ఏ ఫైర్వాల్ నియమం చేరుకోని భాగం। కిల్ స్విచ్ మెషీన్ నుండి బయటకు వెళ్లే మార్గాలను నిరోధిస్తుంది; మెషీన్లోని సాఫ్ట్వేర్ ఎన్క్రిప్షన్కు ముందు డేటా చదవడాన్ని అది ఆపదు, ఆ సాఫ్ట్వేర్ టన్నెల్ను చట్టబద్ధంగా ఉపయోగించడాన్ని కూడా ఆపదు। కీలాగర్, హానికరమైన పొడిగింపు, తెరిచి ఉంచిన స్క్రీన్, విస్తృత అనుమతులతో సింక్ క్లయింట్: ఇవన్నీ స్విచ్ సంతోషంగా అనుమతించే కనెక్షన్ ద్వారా సమాచారాన్ని తరలిస్తాయి।

ఉద్యోగి ఉద్దేశపూర్వకంగా ఇన్స్టాల్ చేసిన పర్యవేక్షణ సాఫ్ట్వేర్కు కూడా ఇదే వర్తిస్తుంది। మార్గాలను నిరోధించడం దాన్ని తొలగించదు, కొత్త VPN సర్వర్ కొనడం పరిష్కారం కాదు, ఎందుకంటే ఎక్స్పోజర్ టన్నెల్కు ముందు ఉంది।

క్లౌడ్ ఖాతాకు అప్లోడ్ చేసే క్లిప్బోర్డ్ మేనేజర్ దీన్ని తీక్షణంగా చూపిస్తుంది। ట్రాఫిక్ ఎన్క్రిప్ట్ చేయబడింది, గమ్యం అనుమతించబడింది, కిల్ స్విచ్ నిరంతరం ఆరోగ్యకరమైన స్థితిని నివేదిస్తుంది।

నాల్గవ దశ: మీ పరీక్షకు మద్దతిచ్చే ప్రకటనను రాయండి

అంతరాయ పరీక్ష తర్వాత మీరు నిర్దిష్ట వాస్తవాలను చెప్పవచ్చు: ఏ యాప్లు విఫలమయ్యాయి, ఏ మార్గాలు ఆగాయి, DNS మరియు IPv6 ఎలా ప్రవర్తించాయి, టన్నెల్ పడిపోయినప్పుడు బ్లాక్ నిలిచిందా। ఆపరేటింగ్ సిస్టమ్ శుభ్రంగా ఉందని చెప్పలేరు, దూరపు చివరలోని సేవ మీ లాగిన్ను గోప్యంగా ఉంచుతుందని కూడా చెప్పలేరు।

రెండు సమస్యలను వేరుగా ఉంచి ప్రతి దానికి దాని స్వంత నియంత్రణ ఇవ్వండి:

• కిల్ స్విచ్: నిర్వచించిన వైఫల్య అవసరం, ప్రతి క్లయింట్ అప్గ్రేడ్ తర్వాత పునరావృతమయ్యే అంతరాయ పరీక్ష ద్వారా ధృవీకరించబడుతుంది।
• పరికర విశ్వాసం: మద్దతు ఉన్న నవీకరణలు, విశ్వసనీయ మూలం నుండి ఎండ్పాయింట్ రక్షణ, వివరించని అనుమతులు మరియు ప్రామాణీకరణ అభ్యర్థనల సమీక్ష।
• సంఘటన: చొరబాటు అనుమానం ఉన్నప్పుడు ప్లాట్ఫారమ్ లేదా సంస్థ ప్రక్రియను అనుసరించండి; కొత్త సర్వర్ శుభ్రపరచడం దశ కాదు।
• బహిర్గతం: సహాయం అడిగినప్పుడు ప్రైవేట్ కీలు లేదా పూర్తి డయాగ్నస్టిక్ ఆర్కైవ్లను అతికించవద్దు, ఎందుకంటే లాగ్లు మరియు స్క్రీన్షాట్లు కనెక్షన్తో సమానమైన రహస్యాలను మోస్తాయి।

తదుపరి నవీకరణ తర్వాత క్రమాన్ని మళ్లీ అమలు చేయండి, ఎందుకంటే కిల్ స్విచ్ వెర్షన్లతో కదిలే కాన్ఫిగరేషన్। మీరు ఆధారపడే ప్రవర్తన ఇంకా మీరు పొందే ప్రవర్తనే అని పరీక్ష మాత్రమే రుజువు।