Выйсці ці адключыцца: два розныя вынікі VPN

Меню прапануе Адключыцца, у акна ёсць кнопка закрыцця, а дыспетчар задач прапануе Завяршыць задачу. Кожны з іх выглядае як спосаб спыніць VPN, і кожны можа пакінуць машыну ў розным стане. Адзін можа спыніць тунель, пакінуўшы блакаванне на месцы, другі можа прыбраць усё ў рамках карэктнага выхаду, а трэці можа проста схаваць інтэрфейс, пакуль фонавы кампанент працягвае працаваць. Стаўленне да іх як да сінонімаў — гэта шлях, якім тэст прыватнасці прыходзіць да няправільнай высновы пра тое, што адбылося.

Дакументацыя кліента — адзінае надзейнае месца, дзе можна даведацца, што ёсць што.

Чатыры элементы кіравання, магчыма чатыры паводзіны

Адключэнне звычайна разбірае тунель, а кліент застаецца ў памяці, што значыць, служба, кампанент у трэі або правіла kill switch могуць перажыць націск. Пасля гэтага многія кліенты працягваюць блакаваць трафік, бо іх палітыка патрабуе, каб прылада не вярталася да прамога доступу, пакуль кліент прысутнічае. Такія паводзіны выглядаюць як зламаная сетка і з'яўляюцца наўмыснай абаронай.

Выхад прызначаны для завяршэння праграмы, і добрасумленны кліент выдаляе свае правілы падчас выхаду. Некаторыя рашэнні замест гэтага пакідаюць асобны памочнік, які забяспечвае выкананне палітыкі, і гэта выбар, а не дэфект. Закрыццё акна — гэта дзеянне інтэрфейсу без пэўнага ўплыву на тунель, а Паўза, дзе яна прапануецца, — чацвёртыя паводзіны са сваімі правіламі.

Збой на баку сервера — цалкам пяты шлях, і менавіта з ім карыстальнікі сутыкаюцца найчасцей.

Чытайце стан да і пасля кожнага дзеяння

Зафіксуйце спіс працэсаў, стан службы і правілы міжсеткавага экрана да дзеяння, а потым паўтарыце здымак адразу пасля. Параўнанне двух спісаў паказвае, што элемент кіравання насамрэч зрабіў, не абапіраючыся на ўласнае апісанне інтэрфейсу.

systemctl status wg-quick@wg0 --no-pager
pgrep -a -f 'openvpn|wireguard|vpnagent'
ip link show | grep -E 'tun|wg'
nft list ruleset | grep -E 'drop|reject' | head -20
scutil --nc list

Калі правілы знікаюць разам з працэсам, імі валодаў кліент. Калі правілы застаюцца, а працэс знік, палітыку забяспечвае нешта іншае, і пошук гэтага кампанента стаіць перад любой зменай. Запішыце стан службы ў той самы момант, бо спынены інтэрфейс нічога не кажа пра сістэмную службу.

Ручное адключэнне — гэта не збой

Адключэнне запускае прадугледжаны шлях завяршэння, а збой яго прапускае. Таму вынікі аднаго не пераносяцца на другое, і тэст, які выкарыстоўваў пункт меню, не можа пацвердзіць сцвярджэнне пра паводзіны, калі кліент падае.

Гэтак жа збой нічога не кажа пра ўзгодненую часовую паўзу. Трымайце гэтыя тры пытанні асобна ў плане тэсціравання і ва ўсім, што будзе запісана пасля. Шлях завяршэння таксама тлумачыць, чаму карэктны выхад можа выдаліць правілы, якія збой пакідае. Тая ж кнопка, іншы код, іншыя доказы.

Выберыце недаступны стан, які вам сапраўды патрэбны

Калі трафік павінен заставацца заблакаваным заўсёды, калі тунель не працуе, праверце гэтую патрабаванне падчас канкрэтнага дзеяння, якое вас цікавіць, выкарыстоўваючы бяспечны трафік да вядомага адраса. Уключыце выключэнні для праграм і выключэнні для лакальнай сеткі, бо агульнасістэмнае выкананне часта вузейшае, чым падказвае яго назва. Затым пацвердзіце, што адбываецца пасля перазагрузкі, бо менавіта тады звычайна ўзнікае састарэлы стан.

Калі мэта — звычайны прамы доступ, выкарыстоўвайце дакумантаваны элемент кіравання, а не забіванне працэсаў або адключэнне ўсяго міжсеткавага экрана. Састарэлыя правілы, пакінутыя перарваным выхадам, — гэта іншая праблема, чым наўмыснае блакаванне, і яны патрабуюць іншага аднаўлення.

Запішыце, які кампанент спыніўся: тунель, бачная праграма ці ўзровень, што забяспечвае палітыку. Гэта адно сказ прадухіляе большасць блытаніны, якую ствараюць гэтыя элементы кіравання.