Prekidač VPN-a: koji promet blokira i kada

Dvije funkcije opisuju se istom riječju, a rade različit posao. Automatsko ponovno povezivanje pokušava vratiti tunel i može uspjeti u roku od sekunde, dok zahtjevi u tom procjepu propadaju. Prekidač odlučuje šta se s prometom dešava tokom tog procjepa. Čitati klijenta kao da je to jedna postavka znači na kraju vjerovati ikoni umjesto politici.

Blokiranje i ponovno povezivanje su odvojene odluke

Jedan klijent blokira samo kad je gubitak neočekivan, pa se ponovno poveže i ukine blokadu. Drugi drži blokadu na nivou sistema dok neko ne promijeni postavku ručno, a treći namjerno isključivanje tretira kao dozvolu da vrati uobičajen pristup. To su tri različita ponašanja, a dokumentacija dobavljača kaže koje vaša verzija primjenjuje.

Uvoz profila ništa ne odlučuje o tom pitanju. Isti serverski profil učitava se u dva klijenta sa suprotnim ponašanjem blokiranja, jer profil nosi postavke, a ne obećanje. Zato i polje za potvrdu na računaru i prekidač na telefonu sa sličnim oznakama mogu primjenjivati različita pravila. Pročitajte opis uz kontrolu na svojoj platformi, pa isprobajte šta ona radi.

Isti profil ponaša se različito u dva klijenta

Postavke aplikacije OpenVPN Connect opisuju način tunela koji zadržava uobičajen promet samo dok klijent prijavljuje pauzirano stanje ili ponovno povezivanje, što je uže od općeg obećanja za svaki događaj na svakoj platformi. Čitajte navedena stanja, a ne ime proizvoda. Opis napisan za jednu verziju klijenta ne prenosi se na klijenta drugog dobavljača.

Android prikazuje istu riječ na dvije kontrole, jer su stalni VPN i blokiranje veza bez VPN-a dokumentovani odvojeno. Klijent za računar sa slično nazvanim poljem može primjenjivati nešto uže ili šire od bilo kojeg od njih. Smatrajte zajedničku oznaku u dva menija slučajnošću dok se ne pročitaju oba opisa. Upravljani uređaji dodaju treći sloj, jer profil uređaja može nametnuti postavku koju korisnik ne vidi i ne može poništiti.

Slične platformske postavke nisu istovjetne

Uporedite kontrolu koju vidite s politikom koja zaista važi. Na upravljanom uređaju vidljivi prekidač može biti siv ili uključen dok profil višeg nivoa nameće suprotno. Tražite stvarnu politiku, ne lokalnu, i zatražite odgovor u pisanom obliku.

Zapišite šta svaki sloj tvrdi prije nego što bilo šta testirate, jer se ta dva često razilaze i to razilaženje se lako izgubi kad testovi počnu. Uređaj koji tokom testa ispravno blokira možda blokira iz razloga koji niko nije dokumentovao.

Pokrećite jedan događaj po jedan i zapisujte kod

Testirajte jedan događaj po pokretanju, s bezopasnim zahtjevom, i neka svaki pokušaj bude novi zahtjev, a ne stranica koja je možda već u kešu. Naredbe ispod spuštaju tunel, traže stranicu i pokazuju je li se interfejs vratio.

ip link set tun0 down
curl -s -o /dev/null -w "%{http_code}\n" --max-time 5 https://example.com
ip -brief address show tun0

Tabela povezuje svaku radnju s zapažanjem koje je važno i s dokazom koji vrijedi sačuvati. Zahtjev koji padne unutar roka kaže vam da se blokada aktivirala; zahtjev koji prođe kaže da je promet našao drugi put, a to može biti izuzeta ruta, a ne isključena blokada. Ponovite cijeli skup nakon značajnog ažuriranja softvera ili promjene politike ruta, jer oboje može promijeniti granu bez pomjeranja ijedne vidljive postavke. Na kraju želite predvidivo ponašanje pri otkazu, a ne ikonu koja umiruje.

Izuzetci, portali gostujućih mreža i šta blokada ne može

Pristup lokalnoj mreži uobičajen je izuzetak i on mijenja obim obećanja. Klijent može dosegnuti štampač na istoj podmreži dok blokira sve ostalo, što je kod kuće razumno, a na gostujućoj mreži upitno. Odlučite želite li taj izuzetak prije nego što ga incident otkrije umjesto vas.

Stroga blokada čini i prijavu na portal gostujuće mreže nezgodnom, jer je portal upravo onaj izravni promet koji blokada postoji da zaustavi. Naučite podržani način odobravanja mreže, pa zatim namjerno vratite politiku umjesto da gasite kontrole dok se stranica ne učita. Držite odgovor rezolvera i tabelu ruta u istoj bilješci, kao ispod. Ono što prekidač ne može jest učiniti uslugu anonimnom, jer blokiranje prometa izvan tunela ne govori ništa o tome šta se dešava unutar njega.

resolvectl query example.com
ss -tunp | grep -v tun0