Ці ламае VPN бацькоўскі кантроль на сямейнай прыладзе?
Некаторыя правілы жывуць на маршруце, а некаторыя — ва ўліковым запісе. Здыміце базавы зрэз, дадайце тунель і параўнайце, дзе насамрэч працуе кожны фільтр.
Бацькоўскі кантроль — не адзін прадукт. Правіла можа жыць на роўтэры, у службе DNS, ва ўліковым запісе аперацыйнай сістэмы, у пэўным браўзеры або ў кожнай праграме. VPN змяняе тое, што бачыць сеткавы шлях, і нічога не змяняе ў абмежаванні часу на ўзроўні ўліковага запісу. Пракаціце адны і тыя ж праверкі да і пасля дадання тунеля, і падзел стане бачным, а не спрэчным.
Запішыце, якое правіла дзе жыве
Пачніце з інвентарызацыі: прылада, уліковы запіс, браўзер і праграма, затым механізм, які забяспечвае кожнае патрабаванне. Абмежаванні часу звычайна знаходзяцца ва ўліковым запісе платформы. Абмежаванні ўсталёўкі і куплі таксама там. Фільтраванне змесціва — самае неадназначнае, бо яно можа быць правілам роўтэра, адказам DNS, палітыкай браўзера або функцыяй узроўню праграмы. Кожнае з гэтага паводзіць сябе па-рознаму, калі трафік інкапсулюецца.
| Mechanism | Where it operates | What a tunnel changes |
|---|---|---|
| Router or DNS filter | The network path or the resolver | Hides destinations and queries inside the tunnel |
| OS account limits | The device and the signed-in account | Nothing about the internet exit |
| Browser policy | A specific browser under a managed account | Depends on whether that browser uses the tunnel |
| App-level restriction | The application itself | Usually independent of routing |
Інвентарызацыя, зробленая да змены, — адзіны спосаб адрозніць рэгрэс ад таго, што ніколі не працавала.
Здыміце базавы зрэз, перш чым нешта ўсталёўваць
Запішыце, які рэзалвер адказвае, які шлях бярэ звычайны адрас і ці заблакаваная вядомая заблакаваная старонка. Пасля гэтага паўтарыце тыя ж тры назіранні, у тым жа парадку, на той жа прыладзе.
resolvectl status | head -20
ip route get 203.0.113.10
dig +short example.comВынік рэзалвера паказвае, ці выкарыстоўвае прылада DNS роўтэра або прыватны рэзалвер, наладжаны на прыладзе. Гэтая адзіная дэталь тлумачыць большасць нечаканасцей, бо прылада са сваім уласным зашыфраваным рэзалверам наогул не звяртаецца да хатняга фільтра. Трымайце фактычнае патрабаванне сям’і простымі словамі побач з кожным вынікам. «Ніякіх сацыяльных сетак пасля дзевяці» і «гэты роўтэр блакуе спіс даменаў» — розныя патрабаванні з рознымі ўладальнікамі, і тунель уплывае толькі на адно з іх.
Паўтарыце тыя ж праверкі з уключаным тунелем
Пасля падключэння тунеля паўтарыце праверкі рэзалвера і шляху. Калі рэзалвер змяніўся на прыватны, фільтраванне роўтэра ўжо не ў шляху, нават калі прылада ўсё яшчэ ў хатняй сетцы.
resolvectl status | head -20
ip route get 203.0.113.10
curl -sS -o /dev/null -w '%{http_code}\n' https://example.comШлях, які цяпер ідзе праз тунель, тлумачыць страту фільтравання роўтэра, не мяркуючы, што абмежаванні ўліковага запісу перасталі працаваць. Праверце абмежаванне ўліковага запісу асобна — прачытайце яго ў наладах самой платформы, а не выводзьце з заблакаванай старонкі. Вынікі браўзера патрабуюць такой жа ўвагі. Фільтр, які дзейнічае толькі для ўвайшоўшага дзіцячага ўліковага запісу ў адным браўзеры, нічога не кажа пра іншы браўзер або пра настольную праграму, адкрытую па-за ім.
Вырашайце канфлікты, а не адключайце
Два прадукты, якія абодва хочуць валодаць сеткавым пашырэннем прылады, могуць канфліктаваць, і звычайны сімптом — адзін з іх адмаўляецца падключацца. Здымаць абарону, каб тунель запрацаваў, — няправільны кірунак. Прачытайце заўвагі аб сумяшчальнасці абодвух пастаўшчыкоў і абярыце рашэнне, якое захоўвае патрабаванне. Часам гэта азначае перанос фільтра на іншы ўзровень, напрыклад на кіраваны профіль прылады, замест запуску дзвюх праграм, якія змагаюцца за адзін і той жа хук.
Калі законны школьны або працоўны рэсурс заблакаваны, дайце хатняму адміністратару дакументаваны шлях ухвалення. Выключэнне з прычынай і датай перагляду можна падтрымліваць; куча бессістэмных змен у сетцы — не.
Трымайце запіс невялікім і актуальным
Аднаго аркуша дастаткова: прылады, уліковыя запісы, які механізм забяспечвае кожнае правіла і дата апошняй праверкі. Паўтарыце праверкі пасля буйнога абнаўлення праграмы, бо сеткавыя пашырэнні і палітыкі браўзера перамяшчаюцца паміж выпускамі.
Пішыце запіс для чалавека, які будзе адладжваць гэта праз шэсць месяцаў, — магчыма, гэта будзеце вы, забыўшы ўсе дэталі. Называйце механізмы, а не прадукты, і нататкі застануцца зразумелымі пасля змены назвы.