Пераключальнік VPN: які трафік ён блакуе і калі
Перападключэнне аднаўляе тунель; пераключальнік вырашае, што адбываецца, пакуль яго няма. Правярайце страту, ручное адключэнне, выхад з праграмы і змену сеткі паасобку.
Дзве функцыі апісваюць адным словам, а яны робяць рознае. Аўтаматычнае перападключэнне спрабуе вярнуць тунель і можа атрымацца за секунду, пакуль запыты падаюць у гэтым прамежку. Пераключальнік вырашае, што будзе з трафікам у гэты прамежак. Чытаць кліент так, нібы гэта адна налада, — гэта як давяраць значку замест палітыкі.
Блакаванне і перападключэнне — розныя рашэнні
Адзін кліент блакуе толькі тады, калі страта нечаканая, а потым перападключаецца і здымае блок. Другі трымае блок на ўзроўні сістэмы, пакуль хтосьці не зменіць наладу ўручную, а трэці лічыць наўмыснае адключэнне дазволам вярнуць звычайны доступ. Гэта тры розныя паводзіны, і дакументацыя пастаўшчыка кажа, якое з іх рэалізуе ваша зборка.
Імпарт профілю ніяк не вырашае гэтае пытанне. Адзін і той жа профіль сервера загружаецца ў два кліенты з процілеглымі паводзінамі блакавання, бо профіль нясе налады, а не абяцанне. Таму ж флажок на камп'ютары і перамыкач на тэлефоне з падобнымі назвамі могуць рэалізоўваць розныя правілы. Прачытайце апісанне каля элемента кіравання на вашай платформе, а потым праверце, што ён робіць.
Адзін профіль паводзіць сябе па-рознаму ў двух кліентах
Налады праграмы OpenVPN Connect апісваюць рэжым тунеля, які ўтрымлівае звычайны трафік толькі тады, калі кліент паведамляе стан прыпынку або перападключэння, што вузей за агульнае абяцанне пра кожную падзею на кожнай платформе. Чытайце пералічаныя станы, а не назву прадукту. Апісанне, напісанае для адной зборкі кліента, не пераносіцца на кліент іншага пастаўшчыка.
Android паказвае тое ж слова для двух элементаў кіравання, бо пастаянны VPN і блакаванне злучэнняў без VPN дакументуюцца асобна. Кліент для камп'ютара з падобным па назве флажком можа рэалізоўваць нешта вузейшае або шырэйшае за любы з іх. Лічыце агульную назву ў двух меню выпадковасцю, пакуль не прачытаныя абодва апісанні. Кіраваныя прылады дадаюць трэці пласт, бо профіль прылады можа ўводзіць наладу, якую карыстальнік не бачыць і не можа адмяніць.
Падобныя налады платформ не раўназначныя
Параўнайце элемент кіравання, які вы бачыце, з палітыкай, якая фактычна дзейнічае. На кіраванай прыладзе бачны перамыкач можа быць шэрым або ўключаным, пакуль профіль вышэйшага ўзроўню патрабуе адваротнага. Пытайцеся пра эфектыўную палітыку, а не лакальную, і атрымайце адказ пісьмова.
Запішыце, што сцвярджае кожны пласт, перш чым нешта правяраць, бо яны часта разыходзяцца, і гэтае разыходжанне лёгка страціць, калі пачнуцца тэсты. Прылада, якая падчас тэсту блакуе правільна, можа блакаваць па прычыне, якую ніхто не задакументаваў.
Праводзьце адну падзею за раз і запісвайце код
Правярайце адну падзею за праход, з бяспечным запытам, і рабіце кожную спробу новым запытам, а не старонкай, якая можа быць ужо ў кэшы. Каманды ніжэй апускаюць тунель, запытваюць старонку і паказваюць, ці вярнуўся інтэрфейс.
ip link set tun0 down
curl -s -o /dev/null -w "%{http_code}\n" --max-time 5 https://example.com
ip -brief address show tun0Табліца суадносіць кожнае дзеянне з назіраннем, якое мае значэнне, і з доказам, якое варта захаваць. Запыт, які падае ў межах тайм-аўту, кажа, што блок спрацаваў; запыт, які праходзіць, кажа, што трафік знайшоў іншы шлях, і гэта можа быць выключаны маршрут, а не адключаны блок. Паўтарыце ўвесь набор пасля значнага абнаўлення праграмнага забеспячэння або змены маршрутнай палітыкі, бо любое з іх можа змяніць галіну без бачнага руху налад. У рэшце вам патрэбныя прадказальныя паводзіны пры збоі, а не супакойлівы значок.
| What I do | What I watch | Evidence to keep |
|---|---|---|
| Bring the tunnel down by hand | Whether a fresh request fails at once | The HTTP code and the client state at that second |
| Choose Disconnect in the client | Whether ordinary access returns on purpose | The same request succeeding with no tunnel up |
| Quit the app, then reboot | Whether the block outlives the client | A request made from a clean boot |
| Move from Wi-Fi to cellular | Whether DNS and IPv6 follow the policy | The resolver answer, the route table and the code again |
Выключэнні, парталы гасцявых сетак і тое, чаго блок не можа
Доступ да лакальнай сеткі — звычайнае выключэнне, і яно змяняе абсяг абяцання. Кліент можа дабрацца да прынтара ў той жа падсетцы, блакуючы ўсё астатняе, што разумна дома і сумніўна ў гасцявой сетцы. Вырашыце, ці патрэбна гэтае выключэнне, перш чым інцыдэнт выявіць яго за вас.
Строгі блок робіць уваход праз партал гасцявой сеткі нязручным, бо партал — гэта менавіта той прамы трафік, які блок існуе, каб спыняць. Вывучыце падтрыманы спосаб аўтарызацыі сеткі, а потым свядома аднавіце палітыку замест таго, каб адключаць элементы кіравання, пакуль не загрузіцца старонка. Трымайце адказ рэзалвера і табліцу маршрутаў у адной нататцы, як ніжэй. Чаго пераключальнік не можа — зрабіць сэрвіс ананімным, бо блакаванне трафіку па-за тунелем нічога не кажа пра тое, што адбываецца ўнутры яго.
resolvectl query example.com
ss -tunp | grep -v tun0