Tətbiq üzrə kill switch, yoxsa bütün cihazın kilidlənməsi: nə dəyişir
Etiketə görə deyil, qorunan çoxluğa görə qərar verin: xaric edilmiş tətbiqlər, fon köməkçiləri və yeni bağlantılar üçün nə dayanır və hər halı necə sınamaq lazımdır.
Tətbiq üzrə kill switch diqqətli seçim kimi səslənir: tunel düşəndə yalnız iş klienti şəbəkəsini itirir, qalan hər şey işləməyə davam edir. Sonra kimsə şəxsi brauzerin yenə də səhifə yüklədiyini, eyni paketlə gələn sinxronizasiya köməkçisinin təkrar-təkrar cəhd etdiyini və keşlənmiş adın hələ də tunelə heç vaxt toxunmamış ünvana həll olunduğunu görür. Funksiyanın üzərindəki etiketlə onun həqiqətən qoruduğu bağlantılar çoxluğu iki fərqli şeydir. Əvvəlcə qorunan çoxluğu müəyyən edin, çünki bu çoxluq tətbiq üzrə icranın, yoxsa cihaz genişliyində kilidlənmənin dürüst təsvir olduğunu həll edir.
Etiketlə deyil, çoxluqla başlayın
Tətbiq üzrə siyasət seçilmiş tətbiqləri qoruyur. Cihaz kilidlənməsi daha geniş şəbəkə sərhədini hədəfləyir və adətən yerli çap, idarəetmə trafiki və ya captive portal üçün sənədləşdirilmiş istisnalar daşıyır. Heç bir etiket üç suala cavab verə bilməyincə tam deyil: xaric edilmiş tətbiqlərə nə olur, həmin tətbiqlərin başlatdığı köməkçilərə nə olur və qorunma mövcud olmadığı vaxt açılan bağlantılara nə olur.
Bu cavabları klient parametrinə toxunmazdan əvvəl yazın. Tələb "bu əməkhaqqı klienti tuneldən kənarda internetə heç vaxt çıxmasın, brauzerim isə çıxa bilsin"dirsə, çoxluq kiçikdir və tətbiq üzrə icra uyğundur. Tələb "bu cihazda heç nə qorunmasız internetə çatmasın, yalnız yeniləmə xidməti istisna olmaqla"dırsa, heç bir tətbiq üzrə siyasət bunu yaratmayacaq, çünki adını çəkmədiyiniz tətbiqlər problemin özüdür.
Tətbiq üzrə icra identifikatorlarla, proqram adları ilə deyil, uyğunlaşır
Android tətbiq üzrə VPN-i paketlər vasitəsilə təqdim edir və VpnService sənədləri bunun həmişə aktiv iş rejimi və bloklama ilə necə qarşılıqlı təsir etdiyini təsvir edir. iOS tətbiq üzrə VPN-i idarəetmə profili vasitəsilə qurur və tətbiqə və ya domenə görə uyğunlaşdırır. Windows və Linux-da ümumiyyətlə proses üzrə marşrut yoxdur, ona görə eyni fikir proqrama bağlanmış firewall qaydası və ya sahib istifadəçiyə uyğun qayda ilə təxmin edilir.
Sərhəd identifikatordur və identifikatorların ətrafından keçmək asandır. URL-i sistem brauzerinə ötürən və ya sənədi görüntüləyicidə açan tətbiq siyasətinizin heç vaxt adını çəkmədiyi prosesə keçir. Düşmə zamanı sonlandırma seçimi də paket filtri deyil: o, sizin konfiqurasiya etdiyiniz tətbiqi öldürür, halbuki uşaq prosesi, növbə işçisi və ya brauzer vərəqi mövcud soketi canlı saxlaya bilər.
Kilidlənmə tətbiq üzrə siyasətin görə bilmədiyini əhatə edir
Cihaz genişliyində kilidlənmə seçimi aradan qaldırır. Tunelə aid olmayan hər çıxan paket atılır, o cümlədən tətbiq siyasətinizin heç bilmədiyi proseslərdən gələn trafik. Android-də bu, həmişə aktiv VPN ilə bağlantıları bloklama parametrinin birləşməsidir və icra klient pəncərəsində deyil, sistemdə baş verir. Masaüstündə isə bu, daimi firewall qaydası və ya əlçatmaz şlüzə yönəlmiş defolt marşrutdur.
Xərc odur ki, qalan hər şey dayanır, ona görə istisnalar sonradan düşünülən şey deyil, dizaynın hissəsinə çevrilir. Yerli printerlər, xidmət kəşfi, captive portal girişləri, idarəetmə agentləri və ƏS yeniləmələri hər biri sənədləşdirilmiş deşik tələb edir, çünki hər biri tunel düşəndə açıq qalan yoldur. Kilidlənmənin gücü həmin siyahıdakı ən qısa bənd qədərdir.
DNS, IPv6 və fon köməkçiləri sızmaları gizlədir
Qorunan tətbiqin adı həll edə bilməməsi keşlənmiş cavabların və ya birbaşa IP trafikinin bloklandığını təsdiqləmir. Həlledici tuneldən kənarda əlçatan qalırsa, ad həll olunur və bağlantı uğursuz olur; bu, işləyən kill switch kimi görünür və deyil. Daha pisi, keşlənmiş qeyd tunelin daşımadığı ünvana işarə edə bilər, ona görə bağlantı birbaşa çıxır, tətbiq isə VPN xətası bildirir.
IPv6 onu işlədən hər platformada öz qaydasını tələb edir, çünki v4 atma qaydası v6 marşrutunu əhatə etmir. Mobildə şəxsi DNS parametri həlli cihaz siyasətinin yoxlamadığı şifrələnmiş kanala köçürə bilər. Fon köməkçiləri isə masaüstündə adi günahkardır: yeniləyici və ya sinxronizasiya qabı prosesi VPN klientindən əvvəl başlayır və öz bağlantısını saxlayır, ona görə dəyişmiş marşrutu heç vaxt görmür.
Üç tətbiqi və iki keçidi sınayın
| Test | What it proves |
|---|---|
| Included app, by name and by direct IP | the policy is applied, not just the resolver |
| Excluded app, same checks | the exclusion is intentional and documented |
| Helper or updater process | nothing inherited an older route |
| Tunnel drop, then Wi-Fi to cellular | the block survives the transition |
Hər sətri iki dəfə, bir dəfə host adı ilə və bir dəfə hərfi ünvanla, şəbəkə imkan verirsə bir dəfə də IPv6 üzərindən işlədin. Keçmək o deməkdir ki, daxil edilmiş tətbiq dayandı, xaric edilmiş tətbiq yazdığınız kimi davrandı və köməkçi yayınmadı. Qəbul etdiyiniz birbaşa davranışı qeyd edin ki, növbəti administrator qəsdən verilmiş istisnanı nasazlıqdan ayıra bilsin.
Sonra nəticəni tətbiqlərin və şərtlərin adını çəkən bir cümlə ilə təsvir edin, məsələn: əməkhaqqı klientinin tuneldən kənarda marşrutu yoxdur, brauzer dizaynına görə birbaşadır və tunel düşəndə qalan hər şey dayanır. Bu cümləni yazmaq çətindirsə, siyasət hələ də bir-biri ilə çəkişən iki siyasətdir.