VPN адключаны, інтэрнэт усё яшчэ заблакаваны: перамыкач ці састарэлае правіла?

Тунэль зачыняецца, браўзер спыняецца, а ўсе іншыя прылады ў той жа сетцы Wi-Fi працягваюць працаваць, што выключае маршрутызатар. У гэтай карціны тры верагодныя ўласнікі: забойны перамыкач, якому загадалі блакаваць, стан, пакінуты выдаленым кліентам, і рэзалвер або маршрут, якія так і не аднавілі. З акна браўзера яны выглядаюць аднолькава і патрабуюць розных рамонтаў. Вызначце, які з іх у вас, перш чым рабіць скід сеткі.

Два вельмі розныя заблакаваныя інтэрнэты

Наўмысная блакіроўка — гэта функцыя: пакуль актыўнага тунэлю няма, кліент скідае трафік, каб нішто не выцекла за межы абароненага шляху. Выпадковая блакіроўка — гэта пакінутае правіла, налада прылады або рэзалвера, якая перажыла выхад кліента. Адну рамонтуюць падключэннем або наўмысным адключэннем палітыкі, другую — прыбіраннем таго, што засталося.

Розніца праяўляецца ў памылцы, а не ў браўзеры. Наўмысная блакіроўка звычайна дае неадкладную адмову або ціхае завісанне, а пакінуты рэзалвер дае збой развязання імёнаў, які застаецца нават тады, калі ping на літаральны адрас працуе. Ніводнае з гэтага не тое самае, што зламанае злучэнне Wi-Fi, якое закранула б і іншыя прылады. Упарадкуйце праверкі па гэтай розніцы: спачатку літаральны адрас, потым імя.

Што кліент абяцаў пры адключэнні

Чытайце ўласныя налады кліента, каб зразумець сэнс адключэння, бо шматлікія прадукты аддзяляюць паўзу ад поўнага спынення. Паўза па задуме пакідае блакіроўку на месцы, а спыненне можа яе зняць. Некаторыя мабільныя платформы выражаюць тую ж думку як правіла пастаяннага ўключэння, якое блакуе трафік, калі VPN не падключаны.

Там, дзе арганізацыя патрабуе абароны, рамонт — гэта паўторнае падключэнне правільнага профілю, а не абыход блакіроўкі. Праверце, што імя сервера ўсё яшчэ развязавецца і што да канчатковай кропкі можна дабрацца праз выключэнні, якія дакументуе разгортванне, бо няўдалае перападключэнне выглядае сапраўды як устойлівая блакіроўка.

Састарэлы стан ад перарванага выдалення

Перарванае выдаленне або пакет, выдалены пры ўзнятым тунэлі, могуць пакінуць пасля сябе ланцуг фаервала, правіла маршрутызацыі, запіс рэзалвера або віртуальны адаптар. Працэс знік, а наступствы засталіся.

Пачніце з падтрыманага шляху ачысткі і рамонту праграмы, затым вызначце які кампанент усталяваў кожны пакінуты аб’ект, перш чым яго выдаляць. Выключэнне фаервала хоста вяртае прагляд і адначасова здымае непатрэбную абарону. Глабальны скід сеткі горш, бо ён адкідвае працоўныя налады офіса або Wi-Fi, не называючы прычыну.

Калі ўсталяваны два кліенты, вызначце, які з іх валодае палітыкай. Два ўласнікі — гэта тое, як блакіроўка перажывае выдаленне абодвух.

Праверце адключаны стан, а не толькі прагляд

Прагляд, які зноў працуе, — слабы тэст прыёмкі. Праверце, што патрэбная палітыка цэлая і што нішто іншае моўчкі не аслаблена.

ip rule show
ip route show table all | grep -v '^default'
resolvectl status | head -n 20
sudo nft list ruleset | grep -A 6 'chain output'

Параўнайце правілы маршрутызацыі, рэзалвер і палітыку фаервала з тым, як выглядае чыстая адключаная машына. Затым перападключыцеся і адключыцеся праз звычайны працоўны працэс і паўтарыце чытанні, каб чаканы стан быў запісаны, а не ўспомнены.

Трымайце гэтую пару да і пасля ў заяўцы. Наступнаму чалавеку, які ўбачыць заблакаваны браўзер, яна спатрэбіцца больш, чым яшчэ адно меркаванне пра тое, які кліент лепшы.