VPN-afskakelaar: watter verkeer dit blokkeer en wanneer
Herverbinding herstel 'n tonnel; 'n afskakelaar besluit wat gebeur terwyl dit weg is. Toets verlies, handmatige ontkoppeling, programafsluiting en netwerkverandering afsonderlik.
Twee funksies word met dieselfde woord beskryf en doen verskillende take. Outomatiese herverbinding probeer die tonnel terugbring, en dit kan binne 'n sekonde slaag terwyl versoeke in die gaping misluk. 'n Afskakelaar besluit wat met verkeer gebeur gedurende daardie gaping. Om 'n kliënt te lees asof die twee een instelling is, is hoe mense uiteindelik 'n ikoon vertrou eerder as 'n beleid.
Blokkeer en herverbind is afsonderlike besluite
Een kliënt blokkeer net wanneer 'n verlies onverwags is, en herverbind dan en laat die blok los. 'n Ander hou 'n blok op stelselvlak totdat iemand 'n instelling met die hand verander, en 'n derde beskou 'n doelbewuste ontkoppeling as toestemming om gewone toegang te herstel. Dit is drie verskillende gedrag, en die verskaffer se dokumentasie sê watter een jou bou implementeer.
Niks aan die invoer van 'n profiel besluit daardie vraag nie. Dieselfde bedienerprofiel laai in twee kliënte met teenoorgestelde blokkeergedrag, want die profiel dra instellings eerder as 'n belofte. Dit is ook hoekom 'n merkkassie op 'n rekenaar en 'n skyfie op 'n selfoon met soortgelyke etikette verskillende reëls kan implementeer. Lees die beskrywing by die beheer op jou platform, en toets dan wat dit doen.
Dieselfde profiel gedra hom anders in twee kliënte
Die programinstellings van OpenVPN Connect beskryf 'n tonnelmodus wat gewone verkeer net hou terwyl die kliënt 'n gepauseerde of herverbindende toestand rapporteer, wat smaller is as 'n algemene belofte oor elke gebeurtenis op elke platform. Lees die gelyste toestande eerder as die produknaam. 'n Beskrywing wat vir een kliëntbou geskryf is, dra nie oor na 'n ander verskaffer se kliënt nie.
Android wys dieselfde woord vir twee beheers, want altyd-aan VPN en die blokkering van verbindings sonder 'n VPN word afsonderlik gedokumenteer. 'n Kliënt vir 'n rekenaar met 'n soortgelyk benoemde merkkassie kan iets smaller of breër as enige van hulle implementeer. Beskou 'n gedeelde etiket in twee menus as 'n toeval totdat albei beskrywings gelees is. Bestuurde toestelle voeg 'n derde laag by, want 'n toestelprofiel kan 'n instelling afdwing wat die gebruiker nie kan sien of ignoreer nie.
Platforminstellings wat dieselfde lyk, is nie gelykwaardig nie
Vergelyk die beheer wat jy kan sien met die beleid wat werklik geld. Op 'n bestuurde toestel kan die sigbare skyfie grys wees, of dit kan geaktiveer wees terwyl 'n profiel op 'n hoër vlak die teenoorgestelde afdwing. Vra na die effektiewe beleid eerder as die plaaslike een, en kry die antwoord skriftelik.
Teken aan wat elke laag beweer voordat jy iets toets, want die twee stem dikwels nie ooreen nie en die verskil is maklik om te verloor sodra die toetse begin. 'n Toestel wat tydens 'n toets korrek blokkeer, blokkeer dalk om 'n rede wat niemand gedokumenteer het nie.
Voer een gebeurtenis op 'n slag uit en teken die kode aan
Toets een gebeurtenis per lopie, met 'n onskadelike versoek, en maak elke poging 'n nuwe versoek eerder as 'n bladsy wat dalk al gekas is. Die opdragte hieronder neem die tonnel af, vra vir 'n bladsy, en wys of die koppelvlak teruggekom het.
ip link set tun0 down
curl -s -o /dev/null -w "%{http_code}\n" --max-time 5 https://example.com
ip -brief address show tun0Die tabel karteer elke aksie na die waarneming wat saak maak en na die bewyse wat werd is om te hou. 'n Versoek wat binne die tydsperk misluk, sê vir jou die blok het ingeskakel; 'n versoek wat slaag, sê die verkeer het 'n ander pad gevind, wat dalk 'n uitgeslote roete is eerder as 'n gedeaktiveerde blok. Herhaal die hele stel na 'n betekenisvolle sagteware-opdatering of 'n verandering in roetebeleid, want enige van die twee kan die tak verander sonder dat enige sigbare instelling beweeg. Wat jy aan die einde wil hê, is voorspelbare mislukkingsgedrag, nie 'n gerusstellende ikoon nie.
| What I do | What I watch | Evidence to keep |
|---|---|---|
| Bring the tunnel down by hand | Whether a fresh request fails at once | The HTTP code and the client state at that second |
| Choose Disconnect in the client | Whether ordinary access returns on purpose | The same request succeeding with no tunnel up |
| Quit the app, then reboot | Whether the block outlives the client | A request made from a clean boot |
| Move from Wi-Fi to cellular | Whether DNS and IPv6 follow the policy | The resolver answer, the route table and the code again |
Uitsonderings, gasheernetwerke en wat 'n blok nie kan doen nie
Toegang tot die plaaslike netwerk is die algemene uitsondering, en dit verander die omvang van die belofte. 'n Kliënt kan 'n drukker op dieselfde subnet bereik terwyl alles anders geblokkeer word, wat tuis redelik is en op 'n gasnetwerk twyfelagtig. Besluit of daardie uitsondering gewens is voordat 'n voorval dit vir jou ontdek.
'n Streng blok maak aanmelding by 'n gasheernetwerk ook ongemaklik, want die portaal is juis die direkte verkeer wat die blok bestaan om te stop. Leer die ondersteunde manier om die netwerk te magtig, en herstel dan die beleid doelbewus in plaas daarvan om beheers af te skakel totdat 'n bladsy laai. Hou die antwoord van die naamoplosser en die roetetabel in dieselfde nota, soos hieronder. Wat 'n afskakelaar nie kan doen nie, is om die diens anoniem te maak, want die blokkering van verkeer buite die tonnel sê niks oor wat binne-in dit gebeur nie.
resolvectl query example.com
ss -tunp | grep -v tun0