Прекъсвач на VPN: какъв трафик блокира и кога

Две функции се описват с една дума и вършат различна работа. Автоматичното повторно свързване се опитва да върне тунела и може да успее за секунда, докато заявките се провалят в тази пауза. Прекъсвачът решава какво се случва с трафика по време на паузата. Да четете клиента така, сякаш двете са една настройка, е начинът хората да започнат да вярват на икона вместо на политика.

Блокирането и повторното свързване са отделни решения

Един клиент блокира само когато загубата е неочаквана, после се свързва отново и сваля блока. Друг държи блок на системно ниво, докато някой не промени настройка на ръка, а трети приема умишленото прекъсване като разрешение да възстанови обичайния достъп. Това са три различни поведения и документацията на доставчика казва кое от тях прилага вашата версия.

Внасянето на профил не решава този въпрос. Един и същ сървърен профил се зарежда в два клиента с противоположно блокиращо поведение, защото профилът носи настройки, а не обещание. Затова и квадратче на настолен компютър и превключвател на телефон с подобни етикети може да прилагат различни правила. Прочетете описанието към контролата на вашата платформа и после тествайте какво прави.

Един и същ профил се държи различно в два клиента

Настройките на приложението OpenVPN Connect описват режим на тунела, който задържа обичайния трафик само докато клиентът отчита състояние на пауза или повторно свързване, което е по-тясно от общо обещание за всяко събитие на всяка платформа. Четете изброените състояния, а не името на продукта. Описание, написано за една версия на клиента, не се пренася към клиент на друг доставчик.

Android показва същата дума за две контроли, защото постоянният VPN и блокирането на връзки без VPN се документират поотделно. Настолен клиент с подобно наименувано квадратче може да прилага нещо по-тясно или по-широко от всяко от тях. Приемайте общия етикет в две менюта за съвпадение, докато не се прочетат и двете описания. Управляваните устройства добавят трети слой, защото профил на устройството може да наложи настройка, която потребителят не вижда и не може да отмени.

Подобни на вид настройки на платформата не са равностойни

Сравнете контролата, която виждате, с политиката, която действително се прилага. На управлявано устройство видимият превключвател може да е затъмнен или включен, докато профил от по-високо ниво налага обратното. Питайте за ефективната политика, не за локалната, и получете отговора писмено.

Запишете какво твърди всеки слой, преди да тествате нещо, защото двете често се разминават и разминаването лесно се губи, щом тестовете започнат. Устройство, което блокира правилно по време на тест, може да блокира по причина, която никой не е документирал.

Пускайте по едно събитие и записвайте кода

Тествайте едно събитие на пускане, с безобидна заявка, и правете всяко опита нова заявка, а не страница, която вече може да е в кеша. Командите по-долу свалят тунела, искат страница и показват дали интерфейсът се е върнал.

ip link set tun0 down
curl -s -o /dev/null -w "%{http_code}\n" --max-time 5 https://example.com
ip -brief address show tun0

Таблицата свързва всяко действие с наблюдението, което има значение, и с доказателството, което си струва да се запази. Заявка, която се проваля в рамките на изчакването, ви казва, че блокът се е задействал; заявка, която минава, ви казва, че трафикът е намерил друг път, който може да е изключен маршрут, а не изключен блок. Повторете целия набор след значителна актуализация на софтуера или промяна на маршрутната политика, защото всяко от двете може да смени клона, без видима настройка да помръдне. Накрая искате предвидимо поведение при отказ, а не успокояваща икона.

Изключения, портали за гости и какво не може блокът

Достъпът до локалната мрежа е обичайното изключение и той променя обхвата на обещанието. Клиент може да стигне до принтер в същата подмрежа, докато блокира всичко останало, което е разумно у дома и спорно в гостуваща мрежа. Решете дали искате това изключение, преди инцидент да го открие вместо вас.

Строгият блок прави и влизането през портал на гостуваща мрежа неудобно, защото порталът е точно прекият трафик, който блокът съществува да спре. Научете поддържания начин за оторизиране на мрежата, после възстановете политиката умишлено, вместо да изключвате контроли, докато се зареди страница. Пазете отговора на резолвера и маршрутната таблица в една бележка, както по-долу. Това, което прекъсвачът не може, е да направи услугата анонимна, защото блокирането на трафик извън тунела не казва нищо за случващото се вътре в него.

resolvectl query example.com
ss -tunp | grep -v tun0