Başsız bir VPN'i denetlemek: her seferinde bir akış, kanıtlarla
Başsız bir kutu, yanıtını okuyabileceğiniz bir istek gerektirir. Her adres ailesini, bağlamı ve hedefi test edin, sonra sonucun neyi kapsamadığını yazın.
Başsız bir kutuda açılacak tarayıcı ve bakılacak kilit yoktur, bu yüzden denetim yanıtını okuyabileceğiniz bir istek olmalıdır. Bu, tek bir çıkış adresi sonucuyla düzineyle hizmet, iki adres ailesi ve bir vekil sunucu çalıştıran bir cihazın sertifikalandırılmaya çalışıldığını fark edene kadar önemsiz görünür. Aşağıdaki anlatım, iş yükünün gerçekten çalıştığı bağlamda her seferinde bir sınırlı kanıt oluşturur.
Testin neyi kanıtlaması gerektiğine karar verin
Herhangi bir şey çalıştırmadan önce beklentiyi tek satırda yazın: hangi akış, hangi arayüzden, hangi hedefe ve diğer uçta ne görülmeli. Açıklanmış bir beklentisi olmayan test, kimsenin yorumlayamayacağı bir sayı üretir.
En kullanışlı sürüm, gördüğü kaynak adresini bildiren onaylı bir uç noktayı adlandırır.
O uç nokta, hazırlamanız gereken tek parçadır. Geri kalan her şey istemci tarafı gözlemdir ve istemci tarafı gözlemler ilginç biçimlerde ters gider.
Gözlemi doğru bağlamda yürütün
Bir yöneticinin kabuğu, iş yükünün ortamı değildir. Başka bir vekil sunucu değişkeni, başka bir ad alanındaki başka bir yönlendirme tablosu veya başka bir kullanıcının ortam dosyasını taşıyabilir. Testi, denetlediğiniz şeyle aynı ana bilgisayar, konteyner, ad alanı veya hizmet bağlamında çalıştırın. Aksi hâlde kendi kabuğunuzu ölçersiniz.
Normal bir ana bilgisayarda bu, aynı kullanıcı ve aynı birim anlamına gelir. Konteyner ortamında bu, ana bilgisayardan test etmek yerine konteynerin ağ ad alanına girmek anlamına gelir. Bir systemd hizmetinde bu, aynı ayarlara sahip geçici bir birim anlamına gelebilir.
Sonraki istek yalnızca doğru bağlamda olduğunuzda anlamlıdır.
Adres ailelerini ayrı ayrı denetleyin
Her aileyi açıkça isteyin, çünkü başarılı bir IPv4 isteği bir IPv6 yolunu hiç çalıştırmaz. --ipv4 ve --ipv6 seçicileri seçimi zorunlu kılar ve iki sonuç arasındaki fark kendi başına bilgidir.
curl --ipv4 https://probe.example/observed-source
curl --ipv6 https://probe.example/observed-sourceBaşarısız bir IPv6 isteği etkili bir engellemenin kanıtı değildir. Uç noktanın IPv6 adresi olmadığı, DNS'in kullanılabilir bir şey döndürmediği veya cihazın hiç IPv6 yolu olmadığı anlamına gelebilir. Sonuç çıkarmadan önce hatayı okuyun. Tünelden geçen başarılı bir IPv6 isteği, IPv6 yolunun kapsandığını kanıtlayan tek sonuçtur.
İki yanıtı yan yana kaydedin. Yalnızca biri, bir olgunun yarısıdır.
Çıkış denetiminin gözden kaçırdığı dört şeyi ekleyin
Bir çıkış adresi tek bir soruyu yanıtlar. Dört tanesi daha tünelin tasarlandığı gibi davranıp davranmadığını belirler.
| Check | What it proves | What it does not |
|---|---|---|
| Included and excluded destinations | The split behaves as designed for those flows | Coverage of any other destination |
| Resolver path | Where a fresh lookup actually travelled | Where a cached answer came from |
| Tunnel-down behaviour | The failure policy for a new request | What an already open connection does |
| Reconnect and restart | The requirement survives the lifecycle event | Behaviour under load or partial failure |
Hedef ilkesi önce gelir: tasarımda bir bölünme varsa içerilmesi gereken akışı ve dışlanması gereken akışı test edin. Sonra DNS; burada yapılandırılmış değer yerine gerçek çözümleyici yolunu incelersiniz, çünkü önbelleğe alınmış bir yanıt veya yazdırılmış bir ayar, yeni bir sorgunun nereye gittiği hakkında hiçbir şey söylemez.
Hata davranışı bir plan ve korunmuş bir kurtarma yolu gerektirir. Tünel kullanılamazken yeni bir isteği gözlemleyin ve eski açık bir bağlantının hata ilkesi hakkında kanıt olmadığını unutmayın. Yaşam döngüsü en sonda gelir: bu olaylar gereksinimi etkiliyorsa yeniden bağlanma veya hizmet yeniden başlatmasından sonra gözlemi yineleyin.
Kanıt kaydedin, hüküm değil
Her sonuç için süreç bağlamını, hedefi, adres ailesini, zamanı ve gözlenen kaynağı saklayın. Bu küme, çalıştırdığınız akışlara ilişkin sınırlı bir kanıttır ve neyi kapsadığını söylediği için savunulabilir.
Bu, VPN operatörünün kayıtlarının denetimi değildir ve cihazdaki her gelecekteki uygulama için bir sertifika değildir.
Sınırları sonucun yanına yazın. Neyi kapsamadığını belirten bir test incelemeden geçer, cihazın doğrulandığını iddia eden test ise geçmez. Kullandığınız aile seçicilerinin yanında curl kılavuzunu ve sonuçlarla birlikte dört satırlık tabloyu tutun.