Buzilgan xostda favqulodda kalit nimalarni qamrab olishini qanday sinash kerak

Favqulodda kalitni yoqing, tunnel serverini tarmoqdan chiqaring va mashina hali nima qilayotganini kuzating. Test o'tkazishga arziydi, chunki u xavfsizlik devori amalda nima qo'llashini siz taxmin qilganingizdan ajratadi, natijalar esa aksariyat mahsulot sahifalari ishora qilganidan torroq. Favqulodda kalit tarmoq yo'llarini boshqaradi; u qurilmada allaqachon ishlayotgan dasturiy ta'minotni boshqarmaydi. Men bu ketma-ketlikni mijozi fail-closed deb da'vo qiladigan har bir mashinada bajaraman va u taxminan o'n daqiqa vaqt oladi.

Serverdan emas, mijozdan boshlang

Qo'llash nuqtasi siz o'tirgan xost: operatsion tizim xavfsizlik devori, yordamchi xizmat yoki VPN mijozining o'z drayveri. Bu muhim, chunki kalit qila oladigan hamma narsa o'sha qatlam ko'radigan narsa bilan cheklangan. Agar mijoz bloklashni marshrutlash qoidasi va belgi bilan amalga oshirsa, yetarli imtiyozga ega har qanday narsa o'z qoidasini qo'sha oladi; agar yadro xavfsizlik devori jadvalidan foydalansa, xuddi shu imtiyoz jadvalni tahrirlashi mumkin. Shifrning kuchi bu savolga hech qachon kirmaydi.

Shuning uchun birinchi navbatda bu qurilmadagi siyosat kimga tegishli ekanini va unga nimani bekor qilishga ruxsat berilganini aniqlash kerak. Boshqariladigan ish mashinasida javob odatda tashkilotning oxirgi nuqta agenti bo'ladi va shaxsiy VPN tunnel qanday sozlanganidan qat'i nazar bu imkoniyatlarni olib tashlamaydi.

Birinchi qadam: qamrab oladi deb o'ylagan yo'llarda blokni tasdiqlang

Tunnelni mijozda emas, uzoq uchida tushiring, shunda mijoz hali ham ulangan bo'lishi kerak deb ishonadi. Keyin odam haqiqatan sinab ko'radigan narsani sinab ko'ring:

curl -m 5 -sS -o /dev/null -w '%{http_code}
' https://example.com
ping -c 2 1.1.1.1
ip route
nft list ruleset   # or: iptables -S

Siz tez va toza muvaffaqiyatsizlikka uchraydigan mijozni xohlaysiz, brauzer muddati tugaguncha osilib turadiganini emas. Osilib turish odatda paketlar rad etishsiz qoida bilan jimgina tashlab yuborilayotganini bildiradi, bu maqbul, lekin mijoz o'lik interfeysga yo'naltirilgan eskirgan standart marshrutni qoldirgan bo'lishi ham mumkin. Tunnel tushirilganda marshrutlash jadvalini o'qing: hali ham tunnel qurilmasiga ishora qiluvchi standart marshrut va faqat yangi chiquvchi ulanishlarni bloklaydigan xavfsizlik devori qoidasi ikki xil holat, va ulardan faqat biri fail-closed.

Mijozning allow-LAN opsiyasi yoqilgan va o'chirilgan holatda bir xil buyruqlarni takrorlang. O'sha almashtirgich ko'pchilik hayratlarning joyi, chunki siyosatning qolgan qismi yopish uchun yozilgan yo'lni qayta ochadi.

Ikkinchi qadam: DNS va IPv6ni alohida yo'llar sifatida tekshiring

Nomlarni hal qilish — aksariyat amalga oshirishlardan omon qoladigan bo'shliq, chunki so'rov tizim rezolveridan boshqa narsa orqali chiqishi mumkin. Rezolver sozlamalaringizni e'tiborsiz qoldiradigan vosita bilan so'rang va shu yerda v6 tomonini ham tekshiring:

dig +short example.com
dig +short @1.1.1.1 example.com
curl -6 -m 5 -sS https://example.com -o /dev/null -w '%{http_code}
'
ip -6 route

Tunnel tushirilganda ikkala nom so'roviga bo'sh javoblar siz xohlagan natijadir. Agar ikkinchi so'rov javob bersa, qattiq kodlangan rezolver manzili yetib borish mumkin va tunnel mashinadan chiqishning yagona yo'li emas. Agar faqat v6 so'rovi muvaffaqiyatli bo'lsa, siyosat IPv4ni qamrab oladi va IPv6ni e'tiborsiz qoldiradi, bu boshqa manzil oilasidagi xuddi shu oqish.

Brauzerlar buni tashqaridan o'qishni qiyinlashtiradi, chunki DNS over HTTPS uchun sozlangan brauzer so'rovni HTTPS so'rovi orqali hal qiladi: so'rov o'sha oxirgi nuqtaga 443 porti qanchalik bloklangan bo'lsa, shunchalik bloklanadi. Siyosat mahalliy quyi tarmoqqa ruxsat beradigan xostda bu so'rov hali ham LANdagi rezolverga yetib borishi mumkin.

Uchinchi qadam: tarmoq ta'sirini oxirgi nuqta ta'siridan ajrating

Endi hech bir xavfsizlik devori qoidasi yetib bormaydigan qism. Favqulodda kalit mashinadan chiqadigan yo'llarni bloklaydi; u mashinadagi dasturiy ta'minotning shifrlashdan oldin ma'lumot o'qishini to'xtatmaydi va o'sha dasturiy ta'minotning tunneldan qonuniy foydalanishini ham to'xtatmaydi. Klaviatura yozuvchisi, zararli kengaytma, ochiq qoldirilgan ekran, keng ruxsatli sinxronizatsiya mijozi: bularning barchasi kalit mamnuniyat bilan ruxsat beradigan ulanish orqali ma'lumot ko'chiradi.

Xuddi shu narsa ish beruvchi ataylab o'rnatgan kuzatuv dasturiy ta'minotiga ham tegishli. Marshrutlarni bloklash uni olib tashlamaydi va yangi VPN serveri sotib olish tuzatish emas, chunki ta'sir tunneldan yuqorida.

Bulutli hisobga yuklaydigan clipboard menejeri buni keskin ko'rsatadi. Trafik shifrlangan, manzil ruxsat etilgan va favqulodda kalit doim sog'lom holat haqida xabar beradi.

To'rtinchi qadam: testingiz qo'llab-quvvatlaydigan da'voni yozing

Uzilish testidan keyin aniq faktlarni aytishingiz mumkin: qaysi ilovalar muvaffaqiyatsiz bo'ldi, qaysi yo'llar to'xtadi, DNS va IPv6 qanday tutdi va tunnel yiqilganda blok bardosh berdimi. Operatsion tizim toza deb ayta olmaysiz va uzoq uchidagi xizmat kirishingizni maxfiy saqlaydi deb ham ayta olmaysiz.

Ikki muammoni alohida saqlang va har biriga o'z nazoratini bering:

• Favqulodda kalit: belgilangan nosozlik talabi, har bir mijoz yangilanishidan keyin takrorlanadigan uzilish testi bilan tasdiqlanadi.
• Qurilma ishonchi: qo'llab-quvvatlanadigan yangilanishlar, ishonchli manbadan oxirgi nuqta himoyasi, tushuntirilmagan ruxsatlar va autentifikatsiya so'rovlarini ko'rib chiqish.
• Hodisa: buzilishga shubha bo'lganda platforma yoki tashkilot jarayoniga rioya qiling; yangi server tozalash qadami emas.
• Oshkor qilish: yordam so'raganda shaxsiy kalitlarni yoki to'liq diagnostika arxivlarini qo'shmang, chunki jurnallar va ekran rasmlari ulanish bilan bir xil sirlarni olib yuradi.

Keyingi yangilanishdan keyin ketma-ketlikni qayta bajaring, chunki favqulodda kalit versiyalar bilan birga harakatlanadigan konfiguratsiya. Test siz tayanadigan xatti-harakat hali ham siz oladigan xatti-harakat ekanining yagona dalilidir.