Sal jou doodskakelaar die app blokkeer wat jy uit die tonnel uitgesluit het?

Doodskakelaar aan, ’n app wat doelbewus van die tonnel uitgesluit is, en die twee vereistes weerspreek mekaar nou. Die een sê niks mag buite die tonnel uitgaan nie, die ander sê hierdie program moet direk gaan. Elke kliënt beslis dié botsing anders, en die instellingsblad verduidelik selde watter reël wen. Skryf die beleid per toepassing neer voordat jy enige etiket vertrou.

Twee beleide, een masjien

’n Doodskakelaar is ’n belofte oor mislukking: wanneer die tonnel nie verkeer beskerm nie, stop die verkeer. Split-tonneling is ’n belofte oor keuse: hierdie programme of bestemmings gebruik die tonnel, en daardie nie. Die tweede belofte skep verkeer waaroor die eerste moet besluit. Nie een belofte is verkeerd nie; hulle is bloot deur verskillende mense vir verskillende bedreigings geskryf.

Drie uitkomste is moontlik en net een daarvan is wat die ontplooiing bedoel het. Die uitgeslote app kan tydens ’n onderbreking direk bly, wat die splitsing eerbiedig en die doodskakelaar breek. Dit kan saam met alles anders geblokkeer word, wat die doodskakelaar eerbiedig en die splitsing breek. Of dit kan net soms geblokkeer word, afhangend van hoe die platform die reël evalueer nadat ’n koppelvlak verdwyn. Daardie laaste geval is die een wat kaartjies genereer.

Skryf die app-lys voor die reël

Lys die programme wat die tonnel moet gebruik, dié wat direk moet gaan, en die name of bestemmings wat nooit op enige lys mag verskyn nie. Sluit resolveerdergedrag en die IPv6-kant afsonderlik in, want albei kan ’n ander beleid as bladsyverkeer volg.

Reëls per app pas gewoonlik op ’n uitvoerbare lêer of ’n pakket, nie op ’n profiel daarbinne nie. ’n Blaaierprofiel, ’n privaat venster en ’n uitbreiding dra geen netwerkidentiteit van hul eie nie, so hulle erf wat die proses ook al ontvang het. ’n Hulpproses wat deur daardie blaaier begin is, erf dalk glad nie dieselfde reël nie.

Twee lyste is nodig, nie een nie: wat die tonnel moet dra, en wat om enige rede nooit buite dit mag reis nie. ’n Toepassing wat op albei verskyn, is ’n vereiste-konflik eerder as ’n implementeringsdetail, en dit moet besleg word voordat die kliënt opgestel word.

Wat die kliënt tydens ’n onderbreking doen

Sommige implementerings blokkeer uitgeslote apps tydens ’n onderbreking en herstel hulle toegang by herverbinding. Ander behou die direkte pad deurgaans, wat met die splitsing ooreenstem en swakker is as ’n veiligheidseienskap. Platformvlak-vergrendeling kan die kliënt se eie keuse per app heeltemal oorheers. Daardie verskil is nie kosmeties nie, want dit bepaal of die uitgeslote app ’n beleidsuitsondering of ’n gat is.

Android se altyd-aan-VPN met die opsie om verbindings sonder VPN te blokkeer, is die duidelikste geval, want die platform dwing die vergrendeling af eerder as die kliënt, en ’n uitgeslote pakket word saam met alles anders geblokkeer terwyl die tonnel af is. ’n Rekenaarkliënt wat uitsluitings per app in sy eie drywer toepas, laat die uitgeslote proses gewoonlik op die fisiese koppelvlak, want dit het nooit daardie proses se verkeer besit nie. Albei gedrag is verdedigbaar, en net een daarvan pas by ’n vereiste dat die uitgeslote app bruikbaar moet bly. Vra watter komponent die reël afdwing voordat jy die resultaat interpreteer.

Lees die gedrag van die bedryfstelsel voor jou eerder as die instelling met dieselfde naam elders. Die handhawings-API’s verskil, en een merkblokkie kan op ’n rekenaar en op ’n selfoon streng verskillende dinge beteken. Weergawe maak ook saak, want die vergrendelingsbeheer het oor Android-vrystellings tussen skerms geskuif, en ’n kliëntkant-uitsluitingslys is nie dieselfde beheer as ’n platformvergrendeling nie.

Drie oomblikke: tonnel op, tonnel af, herverbind

Gebruik onskadelike versoeke op drie oomblikke: terwyl die tonnel werk, tydens die mislukking waaroor jy jou bekommer, en ná herverbinding. ’n Enkele blaaierresultaat kan nie die uitgeslote app se gedrag vasstel nie.

curl -sS --max-time 8 https://api.ipify.org
curl -sS --max-time 8 --interface tun0 https://api.ipify.org
dig +short example.com

Die uitgangsadres wys watter pad gevolg is, en die eksplisiete koppelvlaktoets wys wat gebeur wanneer die tonnel die enigste beskikbare uitgang is. Let op die verwagte resultaat langs elke reël voordat jy enigeen uitvoer, anders word die uitset agterna geïnterpreteer.

As ’n uitgeslote app vanlyn gaan, ondersoek die beleidsvoorrang voordat jy ’n breë firewall-toelating byvoeg, want daardie regstelling vernietig die onderskeid wat jy getoets het. As dit direk bly, bevestig dat dit die gedokumenteerde uitsondering was en nie ’n toevallige terugval nie. Vir ’n streng vereiste vir die hele toestel, verkort die uitsonderingslys totdat dit met die hand getoets kan word.