Kiểm tra quy tắc định tuyến phân tách (Split Tunneling)
Kiểm tra IP xuất và chính sách định tuyến đối với các đích mạng khác nhau để đánh giá xem quy tắc phân luồng có hoạt động chính xác hay không.
| Trang web đích | IP xuất | Vị trí IP | Nhà mạng (ISP) | Trạng thái / Độ trễ |
|---|
Tìm hiểu về phân luồng định tuyến và rò rỉ tuyến đường
Định tuyến phân tách là gì, nó rò rỉ như thế nào và cách đọc kết quả kiểm tra.
Định tuyến phân tách có nghĩa là chỉ một phần lưu lượng truy cập của bạn đi qua VPN hoặc proxy trong khi phần còn lại đi thẳng ra ngoài. Điều này thường là do chủ ý, vì việc định tuyến lưu lượng mạng nội bộ hoặc phát trực tuyến bên ngoài đường hầm sẽ nhanh hơn. Sự cố rò rỉ xảy ra khi ranh giới phân tách không nằm ở vị trí bạn nghĩ. Một quy tắc được viết cho một tên miền có thể không bao quát được các địa chỉ mà tên miền đó phân giải thành. Một quy tắc được viết cho IPv4 có thể để mặc IPv6 hoàn toàn nằm ngoài đường hầm. Bài kiểm tra này mở kết nối đến nhiều đầu cuối độc lập cùng một lúc và so sánh địa chỉ cổng xuất mà mỗi đầu cuối nhìn thấy, từ đó phát hiện ra những điểm phân tách mà bài kiểm tra một đầu cuối không thể thấy.
Bởi vì chúng được định tuyến theo các cách khác nhau. Nếu hai điểm cuối báo cáo hai địa chỉ khác nhau, một phần lưu lượng của bạn đã rời khỏi đường hầm. Các nguyên nhân phổ biến là quy tắc proxy khớp theo tên máy chủ thay vì địa chỉ đích, cân bằng tải phía proxy phân bổ nhiều cổng xuất cho cùng một phiên, và cấu hình ngăn xếp kép nơi IPv4 đi qua đường hầm nhưng IPv6 thì không. Nhiều cổng xuất trong cùng một họ địa chỉ không hẳn là một lỗi, nhưng chúng có nghĩa là một người quan sát có thể tương quan phiên của bạn trên nhiều địa chỉ, điều này làm giảm tính ẩn danh thay vì cải thiện nó.
Nó thực sự xảy ra trên rất nhiều cấu hình. Một số lượng lớn cấu hình VPN và proxy chỉ bắt các tuyến IPv4, và bất kỳ trang web nào có thể truy cập qua IPv6 sau đó sẽ được liên hệ trực tiếp từ địa chỉ thực của bạn trong khi mọi thứ khác dường như đến từ đường hầm. Bởi vì các hệ điều hành hiện đại ưu tiên IPv6 khi nó khả dụng, điều này có thể âm thầm gửi phần lớn hoạt động duyệt web của bạn ra ngoài đường hầm. Bài kiểm tra này thăm dò các điểm cuối IPv4 và IPv6 riêng biệt, vì vậy nếu hai họ địa chỉ báo cáo các cổng xuất khác nhau, bạn sẽ thấy điều đó ngay lập tức.
Hãy định tuyến theo địa chỉ đích thay vì theo tên máy chủ bất cứ khi nào ứng dụng khách của bạn cho phép, vì các quy tắc tên máy chủ được đánh giá trước khi phân giải và bỏ sót bất kỳ thứ gì được truy cập bằng địa chỉ. Đảm bảo đường hầm bắt cả IPv6 cũng như IPv4, hoặc tắt hoàn toàn IPv6 nếu cổng xuất của bạn không hỗ trợ nó. Bật công tắc ngắt kết nối (kill switch) hoặc chế độ khóa mà ứng dụng khách cung cấp, để lưu lượng bị loại bỏ thay vì gửi ở dạng văn bản thuần khi đường hầm gặp sự cố. Sau khi thay đổi bất cứ điều gì, hãy chạy lại bài kiểm tra này: các quy tắc trông có vẻ chính xác trong tệp cấu hình thường hoạt động khác đi một khi bảng định tuyến của hệ điều hành can thiệp.
Không. Việc chủ ý giữ lưu lượng mạng cục bộ, máy in hoặc dịch vụ phát trực tuyến bên ngoài đường hầm là hợp lý và thường cải thiện hiệu suất. Rủi ro chỉ xảy ra khi có sự phân tách ngoài ý muốn của bạn, hoặc phân tách rộng hơn bạn tưởng. Câu hỏi hữu ích không phải là lưu lượng có bị phân tách hay không, mà là lưu lượng cụ thể mà bạn quan tâm có nằm trong đường hầm hay không. Bài kiểm tra này trả lời câu hỏi đó bằng cách cho bạn biết chính xác điểm cuối nào đã nhìn thấy địa chỉ cổng xuất nào, thay vì chỉ báo cáo một phán đoán chung chung duy nhất.