Hoće li vaš prekidač za blokiranje blokirati aplikaciju koju ste izdvojili iz tunela?

Prekidač za blokiranje je uključen, aplikacija je namjerno izdvojena iz tunela, a dva zahtjeva sada protivrječe jedan drugom. Jedan kaže da ništa ne smije izaći osim kroz tunel, drugi kaže da ovaj program mora ići direktno. Svaki klijent rješava taj sukob drugačije, a stranica s postavkama rijetko objašnjava koje pravilo pobjeđuje. Napišite politiku po aplikaciji prije nego što povjerujete bilo kojoj oznaci.

Dvije politike, jedno računalo

Prekidač za blokiranje je obećanje o kvaru: kada tunel ne štiti saobraćaj, saobraćaj se zaustavlja. Podijeljeni tunel je obećanje o odabiru: ovi programi ili odredišta koriste tunel, a ona ne. Drugo obećanje stvara saobraćaj o kojem prvo mora odlučiti. Nijedno obećanje nije pogrešno; samo su ih pisali različiti ljudi za različite prijetnje.

Moguća su tri ishoda i samo je jedan od njih ono što je postavljanje namjeravalo. Izdvojena aplikacija može ostati direktna tokom prekida, što poštuje podjelu i krši prekidač za blokiranje. Može biti blokirana zajedno sa svim ostalim, što poštuje prekidač za blokiranje i krši podjelu. Ili može biti blokirana samo ponekad, zavisno od toga kako platforma procjenjuje pravilo nakon što interfejs nestane. Taj posljednji slučaj je onaj koji stvara tikete.

Prvo spisak aplikacija, pa pravilo

Navedite programe koji moraju koristiti tunel, one koji moraju ići direktno, te nazive ili odredišta koji se ne smiju nikada pojaviti ni na jednom spisku. Uključite odvojeno ponašanje razrješivača i stranu IPv6, jer oboje mogu slijediti politiku različitu od saobraćaja stranica.

Pravila po aplikaciji obično se poklapaju s izvršnom datotekom ili paketom, a ne s profilom unutar njega. Profil preglednika, privatni prozor i proširenje ne nose vlastiti mrežni identitet, pa nasljeđuju ono što je proces primio. Pomoćni proces koji je taj preglednik pokrenuo možda uopće ne naslijedi isto pravilo.

Potrebna su dva spiska, ne jedan: šta tunel mora nositi i šta nikada ni zbog čega ne smije putovati izvan njega. Aplikacija koja se pojavljuje na oba jest sukob zahtjeva, a ne detalj implementacije, i mora se riješiti prije konfigurisanja klijenta.

Šta klijent radi tokom prekida

Neke implementacije blokiraju izdvojene aplikacije tokom prekida i vraćaju im pristup pri ponovnom povezivanju. Druge čuvaju direktnu putanju cijelo vrijeme, što je u skladu s podjelom i slabije kao sigurnosno svojstvo. Zaključavanje na nivou platforme može potpuno nadjačati klijentov vlastiti odabir po aplikaciji. Ta razlika nije kozmetička, jer odlučuje je li izdvojena aplikacija izuzetak politike ili rupa.

Androidov stalno uključeni VPN s opcijom blokiranja veza bez VPN-a najjasniji je slučaj, jer platforma provodi zaključavanje, a ne klijent, a izdvojeni paket biva blokiran zajedno sa svim ostalim dok je tunel isključen. Desktop klijent koji primjenjuje izuzetke po aplikaciji unutar vlastitog drajvera obično ostavlja izdvojeni proces na fizičkom interfejsu, jer nikada nije posjedovao saobraćaj tog procesa. Oba ponašanja su odbranjiva i samo jedno od njih odgovara zahtjevu da izdvojena aplikacija mora ostati upotrebljiva. Pitajte koja komponenta provodi pravilo prije nego što protumačite rezultat.

Čitajte ponašanje za operativni sistem pred sobom, a ne postavku istog imena negdje drugdje. API-ji za provođenje se razlikuju, a jedno polje može značiti strogo različite stvari na računalu i na telefonu. I verzija je važna, jer se kontrola zaključavanja selila među ekranima kroz Android izdanja, a klijentski spisak izuzetaka nije ista kontrola kao zaključavanje platforme.

Tri trenutka: tunel uključen, tunel isključen, ponovno povezivanje

Koristite bezopasne zahtjeve u tri trenutka: dok tunel radi, tokom kvara koji vas zanima i nakon ponovnog povezivanja. Jedan rezultat preglednika ne može utvrditi ponašanje izdvojene aplikacije.

curl -sS --max-time 8 https://api.ipify.org
curl -sS --max-time 8 --interface tun0 https://api.ipify.org
dig +short example.com

Izlazna adresa pokazuje koja je putanja uzeta, a eksplicitni test interfejsa pokazuje šta se događa kada je tunel jedini dostupni izlaz. Zapišite očekivani rezultat uz svaki red prije nego što pokrenete bilo koji od njih, inače će izlaz biti protumačen nakon činjenice.

Ako izdvojena aplikacija ode izvan mreže, provjerite prioritet politike prije nego što dodate široku dozvolu u firewallu, jer takav popravak uništava razliku koju ste testirali. Ako ostane direktna, potvrdite da je to dokumentovani izuzetak, a ne slučajni povratak. Za strog zahtjev za cijeli uređaj skratite spisak izuzetaka dok se ne bude mogao testirati ručno.