VPN bağlantı kilidi yenidən başlatmadan sonra qalırmı? Bunu necə yoxlamaq olar

Yenidən başlatma insanların bağlantı kilidini yoxlamağın ən geniş yayılmış üsuludur və ən çox yalan deyən sınaq da elə budur. Müştəridəki onay qutusu sadəcə bir üstünlükdür; vacib olan şey şəbəkə yığınının qalxdığı anla tunelin həqiqətən qurulduğu an arasında nəyinsə blok tətbiq etməsidir. Windows-da bu şey adətən Windows Filtering Platform-da bir filtrlə, Linux-da bölmə tərəfindən yüklənən qaydalar dəsti ilə, macOS-da bir pf lövbəri ilə, Android-də sistemin öz həmişə-açıq və kilidləmə bayraqları ilə olur. Bu quruluşlar yenidən başlatma boyunca çox fərqli davranır və yalnız platforma səviyyəsində olanlar hər hansı biri daxil olmadan əvvəl yerində olur.

Yenidən başlatma üç ayrı sual verir

Sualı bölün. Birincisi, siyasət diskdə yükləmə zamanı nəyinsə oxuduğu formada varmı? İkincisi, o oxuyucu hər hansı trafik çıxa bilməzdən əvvəl işləyirmi? Üçüncüsü, siyasət sizi maraqlandıran trafiki əhatə edirmi, yəni hər prosesi, hər iki ünvan ailəsini və DNS-i. Birinciyə “bəli” və ikinciyə “xeyr” insanların yenidən başlatmadan sonra qalmayan bağlantı kilidi kimi bildirdiyi nasazlığı yaradır: başlanğıcda trafik bir neçə saniyə qaçır və heç kim axtarmağa getməyincə fərqinə varmır.

Qatları ayrı saxlayın. Yadda saxlanmış firewall qaydalar dəsti, yükləmədə başlayan xidmət və müştəri üstünlüyü üç fərqli obyekt və üç fərqli ömürdür. Üstünlük yenidən başlatmalardan sağ çıxır, çünki konfiqurasiya faylında bir dəyərdir. Qaydalar paketləri bloklayan yeganə şeydir və onlar daşıyan nüvə ilə birlikdə yox olur.

Bloku bərpa edən obyekti tapın

Linux-da netfilter qaydaları nüvədə yaşayır. Siz bunu qurmasanız, yükləmə zamanı heç nə onları geri yazmır: iptables-save üstəgəl netfilter-persistent, nftables.service bölməsi /etc/nftables.conf faylını yükləyir, ya da öz skriptinizi işlədən systemd bölməsi. Nəyin aktiv olduğunu yoxlayın, xatırladığınızı deyil.

systemctl is-enabled nftables netfilter-persistent 2>/dev/null
sudo nft list ruleset
sudo iptables -S OUTPUT

Yükləmədən bir neçə saniyə sonra boş qaydalar dəsti başlıqdakı sualın cavabıdır. Windows-da müştəri xidmətindən necə başladığını soruşun, sonra tunel aşağıda ikən platforma filtr vəziyyətini çıxarın.

Get-Service | Where-Object { $_.Name -match 'vpn' } | Select-Object Name, Status, StartType
netsh wfp show state

İkinci əmr wfpstate.xml faylını cari qovluğa yazır. Müştəri qoşulmazdan əvvəl artıq mövcud olan blok əməliyyatlı filtrləri axtarın. Base Filtering Engine yükləmənin əvvəlində başlayır və davamlı bayraqla əlavə edilmiş filtrləri bərpa edir; buna görə bəzi bağlantı kilidləri hər hansı müştəri pəncərəsi yox ikən trafiki bloklayır, digərləri isə yox. macOS-da sudo pfctl -s info pf-in aktiv olub-olmadığını bildirir, sudo pfctl -s rules nəyin yükləndiyini göstərir və VPN müştəriləri adətən qaydalarını əsas qaydalar dəstinə deyil, bir lövbərə bağlayır. utun3 adını çəkən qayda növbəti yükləmədən sonra fərqli interfeysə işarə edə bilər, çünki bu nömrə işləmə zamanı verilir.

Şəbəkənin qalxması ilə tunelin qalxması arasındakı boşluğa baxın

Təhlükəli interval bütün yenidən başlatma deyil, boşluqdur. İnterfeys bir nöqtədə icarə və standart marşrut alır, VPN xidməti başqa nöqtədə başlayır, tunel isə daha sonra autentifikasiya edir, bəzən yalnız istifadəçi daxil olduqdan və etimad agenti işlədikdən sonra. Blok ən sonda tətbiq olunursa, boşluqdakı hər şey açıq şəkildə çıxır.

systemd hostlarında sıralamanı təxmin etmək əvəzinə oxuyun. İşə salın systemctl cat əmrini VPN və firewall bölmələrində və baxın After= və ya Before= dəyərlərinin network-pre.target və network-online.target ilə müqayisəsinə baxın. network-online.target ardınca sıralanan firewall bölməsi interfeysə uduzur; əvəzində network-pre.target qabağına sıralanan və tələb olunan bölmə qalib gəlir. Windows-da ekvivalent suallar xidmətin başlama növü və onun asılılıqlarıdır, çünki Manual-a qoyulmuş xidmət yükləmə vaxtı prosesini bloklaya bilməz. Əgər tələbiniz daxil olmadan əvvəl trafiki əhatə edirsə, bunu yalnız cihaz səviyyəsində quruluş təmin edir: Always On VPN cihaz tuneli maşın sertifikatı ilə autentifikasiya edir və istifadəçi daxil olmadan əvvəl qoşulur və Microsoft cihaz tunelinin konfiqurasiyasını sənədləşdirir istifadəçi tunelindən ayrı. Android başqa yolu tutur və həmişə-açıq VPN-i tətbiq edərək onsuz bağlantıları tətbiq prosesindən deyil, sistemdən bloklayır.

Sınağı keçirin, sonra iki zaman xəttini müqayisə edin

Yenidən başladın sızarsa heç bir şeyə başa gəlməyən bir təyinatla, və vəziyyəti sonradan deyil, boşluq zamanı ələ keçirin. Ən təmiz üsul yükləmə vaxtı zondudur: platformanın icazə verdiyi qədər erkən başlayan, standart marşrutu və firewall vəziyyətini qeyd edən, qısa fasilə ilə bir sorğu cəhd edən və yerli fayla bir sətir əlavə edən oneshot bölməsi və ya planlaşdırılmış tapşırıq. Bu qeydi journalctl -b -u və ya Sistem jurnalından VPN xidmətinin başlama vaxtı ilə müqayisə edin.

Sonra adi sınağı keçirin: tunel yuxarı, bağlantını kəsin, birbaşa trafikin bloklanıb-bloklanmadığını izləyin, bərpa edin. İkincidən keçmək və birincidə uğursuz olmaq normal nəticədir və bu, icranın müştəri tərəfində olduğunu, yükləmədə deyil, müştəri qoşulanda tətbiq edildiyini bildirir. Audit etdiyim son maşında blok NetworkManager dispetçer skriptindən gəlirdi: mövcud, düzgün və interfeys qalxmazdan əvvəlki saniyələr üçün faydasız. Hər iki nəticəni yazın, çünki yenidən başlatmadan sağ çıxmaq yalnız hansı qatın sağ qaldığını və hansı andan etibarən olduğunu dedikdə bir şey ifadə edir.

Geri dönüş yolunuzu kəsmədən boşluğu bağlayın

Blok yükləmədə yoxdursa, ikinci müştəri qaydası əlavə etmək əvəzinə icranı bir qat aşağı köçürün. Qaydalar dəstini yadda saxlayın və onu şəbəkə istifadəyə yararlı olmadan əvvəl sıralanan bölmədən yükləyin, və həmin bölmənin qorumalı olduğu bir DNS sorğusuna və ya şəbəkə montajına ehtiyacı olmadığından əmin olun. Əhatə dairəsi vaxt qədər vacibdir: istifadəçi ID-si və ya cgroup üzrə uyğunlaşan qaydalar hər sistem demonunu blokdan kənarda qoyur, yalnız IPv4 ilə işləyən qaydalar dəsti isə IPv6 və DNS-i əlçatan saxlayır.

Özünüzə geri qayıtma yolu buraxın. Yükləmədə hər şeyi bloklayan və sonra autentifikasiya edə bilməyən maşının heç şəbəkəsi yoxdur və düzəliş bloku silmək deyil, etimadı və ya sıralamanı təmir etməkdir. Sənədləşdirilmiş yerli konsol proseduru və tunelin həqiqətən ehtiyac duyduğu şeylər üçün dar, qəsdən edilmiş istisna saxlayın, məsələn server ünvanı və tunel yox ikən istifadə olunan həlledici.

Quruluşa güvənməzdən əvvəl dörd şeyi sıra ilə təsdiqləyin. Siyasət yükləmənin oxuduğu bir yerdə saxlanılır. O oxuyucu interfeys istifadəyə yararlı olmadan əvvəl işləyir. Blok hər iki ünvan ailəsini və DNS-i əhatə edir. VPN blok aktiv ikən hələ də autentifikasiya edə bilir. Dördü də ödənildikdə yenidən başlatma heç nəyi dəyişmir.