Beëindig of ontkoppel: twee verskillende VPN-uitkomste

Die kieslys bied Ontkoppel, die venster het 'n sluitknoppie, en die taakbestuurder bied Eindig taak. Elkeen lyk soos 'n manier om die VPN te stop, en elkeen kan die masjien in 'n ander toestand laat. Een stop dalk die tonnel terwyl 'n blokkade bly staan, 'n ander ruim alles op as deel van 'n grasieuse afsluiting, en 'n derde verberg dalk net die koppelvlak terwyl die agtergrondkomponent aanhou werk. Om dit as sinonieme te behandel, is hoe 'n privaatheidstoets die verkeerde gevolgtrekking oor wat gebeur het, bereik.

Die kliëntdokumentasie is die enigste betroubare plek om te leer watter een watter is.

Vier beheermaatreëls, moontlik vier gedragspatrone

Ontkoppel breek gewoonlik die tonnel af terwyl die kliënt in die geheue bly, wat beteken dat 'n diens, 'n komponent in die systaakbalk of 'n reël vir die kill switch die klik kan oorleef. Baie kliënte hou dan aan om verkeer te blokkeer omdat hul beleid sê die toestel mag nie na direkte toegang terugval terwyl die kliënt teenwoordig is nie. Daardie gedrag lyk soos 'n gebreekte netwerk en is doelbewuste beskerming.

Beëindig is bedoel om die program te stop, en 'n welgemanierde kliënt verwyder sy reëls op pad uit. Sommige ontwerpe laat eerder 'n aparte helper agter wat die beleid afdwing, en dit is 'n keuse eerder as 'n fout. Om die venster te sluit is 'n koppelvlakaksie met geen bepaalde uitwerking op die tonnel nie, en Pouse, waar dit aangebied word, is 'n vierde gedrag met sy eie reëls.

'n Onderbreking aan die bedienerkant is heeltemal 'n vyfde pad, en dit is die een wat gebruikers die meeste teëkom.

Lees die toestand voor en ná elke aksie

Teken die prosesselys, die dienstoestand en die firewall-reëls voor die aksie vas, en herhaal die opname dadelik daarna. Deur die twee lyste te vergelyk, wys wat die beheermaatreël werklik gedoen het, sonder om op die koppelvlak se eie beskrywing staat te maak.

systemctl status wg-quick@wg0 --no-pager
pgrep -a -f 'openvpn|wireguard|vpnagent'
ip link show | grep -E 'tun|wg'
nft list ruleset | grep -E 'drop|reject' | head -20
scutil --nc list

As reëls saam met die proses verdwyn, was dit die kliënt se reëls. As reëls bly staan terwyl die proses weg is, dwing iets anders die beleid af, en om daardie komponent te vind kom voor enige verandering. Teken die dienstoestand op dieselfde oomblik vas, want 'n gestopte koppelvlak sê niks oor 'n stelseldiens nie.

Handmatige ontkoppeling is nie 'n ineenstorting nie

Ontkoppel loop die beoogde afsluitpad, en 'n ineenstorting slaan dit oor. Resultate van die een dra dus nie oor na die ander nie, so 'n toets wat 'n kieslysitem gebruik het, kan nie 'n bewering oor gedrag ondersteun wanneer die kliënt sterf nie.

Net so sê 'n ineenstorting niks oor 'n goedgekeurde tydelike pouse nie. Hou daardie drie vrae apart in die toetsplan en in alles wat daarna neergeskryf word. Die afsluitpad verduidelik ook waarom 'n skoon beëindiging reëls kan verwyder wat 'n ineenstorting agterlaat. Dieselfde knoppie, ander kode, ander bewyse.

Kies die onbeskikbare toestand wat jy werklik nodig het

As verkeer geblokkeer moet bly wanneer die tonnel af is, verifieer daardie vereiste tydens die spesifieke aksie waaroor jy bekommerd is, met skadelose verkeer na 'n bekende bestemming. Sluit programuitsonderings en plaaslike netwerk-uitsonderings in, want toestelwye afdwinging is dikwels nouer as wat die etiket suggereer. Bevestig dan wat ná 'n herlaai gebeur, want dit is wanneer verouderde toestand gewoonlik opduik.

As die doel gewone direkte toegang is, gebruik die gedokumenteerde beheermaatreël eerder as om prosesse te dood of die hele firewall af te skakel. Verouderde reëls wat deur 'n onderbroke afsluiting agtergelaat is, is 'n ander probleem as 'n doelbewuste inperking, en hulle het 'n ander herstel nodig.

Skryf neer watter komponent gestop het: die tonnel, die sigbare program, of die laag wat die beleid afdwing. Daardie een sin verhoed die meeste van die verwarring wat hierdie beheermaatreëls veroorsaak.