مفتاح إيقاف VPN: أي حركة يوقفها ومتى

هناك ميزتان تُوصفان بالكلمة نفسها وتؤديان مهمتين مختلفتين. تحاول إعادة الاتصال التلقائي إرجاع النفق، وقد تنجح في غضون ثانية بينما تفشل الطلبات في تلك الفجوة. ويقرر مفتاح الإيقاف ما يحدث لحركة المرور خلال تلك الفجوة. وقراءة برنامج العميل وكأن الاثنين إعداد واحد هي الطريقة التي ينتهي بها الناس إلى الثقة بأيقونة بدلًا من سياسة.

الحظر وإعادة الاتصال قراران منفصلان

أحد العملاء لا يوقف الحركة إلا حين يكون الانقطاع غير متوقع، ثم يعيد الاتصال ويرفع الحظر. وآخر يُبقي حظرًا على مستوى النظام حتى يغيّر أحدهم إعدادًا بيده، وثالث يعتبر الفصل المتعمد إذنًا بإعادة الوصول العادي. هذه ثلاثة سلوكيات مختلفة، ووثائق المورّد تقول أيها ينفّذه إصدارك.

لا شيء في استيراد ملف التعريف يقرر هذه المسألة. فملف الخادم نفسه يُحمَّل في عميلين بسلوك حظر متعاكس، لأن الملف يحمل إعدادات لا وعدًا. ولهذا أيضًا قد ينفّذ مربع اختيار على سطح المكتب ومفتاح على الهاتف بتسميتين متشابهتين قاعدتين مختلفتين. اقرأ الوصف الملحق بعنصر التحكم على منصتك، ثم اختبر ما يفعله.

ملف التعريف نفسه يتصرف بشكل مختلف في عميلين

تصف إعدادات تطبيق OpenVPN Connect نمط نفق يُبقي الحركة العادية فقط ما دام العميل يبلّغ عن حالة إيقاف مؤقت أو إعادة اتصال، وهو أضيق من وعد عام بكل حدث على كل منصة. اقرأ الحالات المذكورة لا اسم المنتج. والوصف المكتوب لإصدار عميل واحد لا ينتقل إلى عميل مورّد آخر.

تعرض Android الكلمة نفسها على عنصري تحكم، لأن الشبكة الافتراضية الدائمة وحظر الاتصالات دون شبكة افتراضية موثّقان بشكل منفصل. وقد ينفّذ عميل سطح مكتب بمربع اختيار مشابه التسمية شيئًا أضيق أو أوسع من أي منهما. اعتبر التسمية المشتركة في قائمتين مصادفة حتى يُقرأ الوصفان. والأجهزة المُدارة تضيف طبقة ثالثة، لأن ملف تعريف الجهاز قد يفرض إعدادًا لا يستطيع المستخدم رؤيته أو تجاوزه.

إعدادات المنصات المتشابهة ليست متكافئة

قارن عنصر التحكم الذي تراه بالسياسة المطبقة فعليًا. على جهاز مُدار قد يكون المفتاح المرئي باهتًا، أو قد يكون ممكّنًا بينما يفرض ملف أعلى مستوى العكس. اطلب السياسة الفعلية لا المحلية، واحصل على الجواب مكتوبًا.

سجّل ما تدّعيه كل طبقة قبل أن تختبر أي شيء، لأن الاثنين غالبًا ما يتناقضان ويصعب تتبع التناقض بعد بدء الاختبارات. والجهاز الذي يحظر بشكل صحيح أثناء الاختبار قد يحظر لسبب لم يوثّقه أحد.

نفّذ حدثًا واحدًا في كل مرة وسجّل رمز الحالة

اختبر حدثًا واحدًا في كل جولة، بطلب غير مؤذٍ، واجعل كل محاولة طلبًا جديدًا لا صفحة قد تكون مخزنة مؤقتًا. والأوامر أدناه تُسقط النفق، وتطلب صفحة، وتُظهر ما إذا عادت الواجهة.

ip link set tun0 down
curl -s -o /dev/null -w "%{http_code}\n" --max-time 5 https://example.com
ip -brief address show tun0

يربط الجدول كل إجراء بالملاحظة المهمة وبالدليل الذي يستحق الاحتفاظ به. فالطلب الذي يفشل داخل المهلة يخبرك أن الحظر عمل؛ والطلب الذي ينجح يخبرك أن الحركة وجدت مسارًا آخر، قد يكون مسارًا مستثنى لا حظرًا معطلًا. أعد المجموعة كلها بعد تحديث برمجي مهم أو تغيير في سياسة التوجيه، لأن أيًا منهما قد يغيّر الفرع دون أن يتحرك أي إعداد مرئي. وما تريده في النهاية هو سلوك فشل متوقع، لا أيقونة مطمئنة.

الاستثناءات وبوابات الشبكة وما لا يستطيع الحظر فعله

الوصول إلى الشبكة المحلية هو الاستثناء الشائع، وهو يغيّر نطاق الوعد. فقد يصل العميل إلى طابعة على الشبكة الفرعية نفسها بينما يحظر كل شيء آخر، وهذا معقول في المنزل ومشكوك فيه على شبكة ضيوف. قرر ما إذا كنت تريد هذا الاستثناء قبل أن يكتشفه حادث نيابة عنك.

الحظر الصارم يجعل أيضًا تسجيل الدخول إلى بوابة الشبكة أمرًا صعبًا، لأن البوابة هي بالضبط الحركة المباشرة التي وُجد الحظر لإيقافها. تعلّم الطريقة المدعومة للتصريح بالشبكة، ثم أعد السياسة عمدًا بدلًا من إطفاء عناصر التحكم حتى تُحمَّل صفحة. احفظ جواب محلّل الأسماء وجدول التوجيه في الملاحظة نفسها، كما أدناه. وما لا يستطيع مفتاح الإيقاف فعله هو جعل الخدمة مجهولة، لأن حظر الحركة خارج النفق لا يقول شيئًا عمّا يحدث داخله.

resolvectl query example.com
ss -tunp | grep -v tun0