Interruptor de seguretat VPN: quin tràfic bloqueja i quan

Dues funcions es descriuen amb la mateixa paraula i fan feines diferents. La reconnexió automàtica intenta tornar el túnel, i pot aconseguir-ho en un segon mentre les peticions fallen en aquest interval. L'interruptor decideix què passa amb el tràfic durant aquest interval. Llegir el client com si les dues coses fossin un sol paràmetre és com la gent acaba confiant en una icona en lloc d'una política.

Bloquejar i reconnectar són decisions separades

Un client bloqueja només quan la pèrdua és inesperada, i tot seguit es reconnecta i aixeca el bloqueig. Un altre manté un bloqueig a nivell de sistema fins que algú canvia un paràmetre a mà, i un tercer tracta una desconnexió deliberada com a permís per restaurar l'accés ordinari. Són tres comportaments diferents, i la documentació del proveïdor diu quin implementa la vostra compilació.

Res de la importació d'un perfil no decideix aquesta qüestió. El mateix perfil de servidor es carrega en dos clients amb comportaments de bloqueig oposats, perquè el perfil porta paràmetres i no una promesa. És també per això que una casella d'escriptori i un commutador mòbil amb etiquetes semblants poden implementar regles diferents. Llegeix la descripció adjunta al control de la teva plataforma i després prova què fa.

El mateix perfil es comporta diferent en dos clients

La configuració de l'aplicació OpenVPN Connect descriu un mode de túnel que reté el tràfic ordinari només mentre el client informa d'un estat de pausa o de reconnexió, cosa més estreta que una promesa general sobre cada esdeveniment a cada plataforma. Llegeix els estats enumerats, no el nom del producte. Una descripció escrita per a una compilació de client no es trasllada al client d'un altre proveïdor.

Android mostra la mateixa paraula per a dos controls, perquè la VPN sempre activa i el bloqueig de connexions sense VPN es documenten per separat. Un client d'escriptori amb una casella de nom semblant pot implementar una cosa més estreta o més àmplia que qualsevol de les dues. Considera una etiqueta compartida en dos menús una coincidència fins que s'hagin llegit les dues descripcions. Els dispositius gestionats afegeixen una tercera capa, perquè un perfil de dispositiu pot imposar un paràmetre que l'usuari no veu ni pot anul·lar.

Paràmetres de plataforma semblants no són equivalents

Compara el control que veus amb la política que s'aplica de debò. En un dispositiu gestionat, el commutador visible pot estar en gris, o pot estar activat mentre un perfil de nivell superior imposa el contrari. Demana la política efectiva, no la local, i obtén la resposta per escrit.

Anota què afirma cada capa abans de provar res, perquè les dues solen discrepar i la discrepància es perd fàcilment un cop comencen les proves. Un dispositiu que bloqueja correctament durant una prova pot estar bloquejant per un motiu que ningú no ha documentat.

Executa un esdeveniment alhora i anota el codi

Prova un esdeveniment per execució, amb una petició innòcua, i fes que cada intent sigui una petició nova en lloc d'una pàgina que potser ja és a la memòria cau. Les ordres següents baixen el túnel, demanen una pàgina i mostren si la interfície ha tornat.

ip link set tun0 down
curl -s -o /dev/null -w "%{http_code}\n" --max-time 5 https://example.com
ip -brief address show tun0

La taula relaciona cada acció amb l'observació que importa i amb l'evidència que val la pena conservar. Una petició que falla dins del temps d'espera et diu que el bloqueig s'ha activat; una petició que passa et diu que el tràfic ha trobat un altre camí, que pot ser una ruta exclosa i no un bloqueig desactivat. Repeteix tot el conjunt després d'una actualització de programari significativa o d'un canvi de política d'encaminament, perquè qualsevol de les dues coses pot alterar la branca sense que es mogui cap paràmetre visible. Al final vols un comportament de fallada previsible, no una icona que tranquil·litzi.

Excepcions, portals de convidats i què no pot fer un bloqueig

L'accés a la xarxa local és l'excepció habitual, i canvia l'abast de la promesa. Un client pot arribar a una impressora de la mateixa subxarxa mentre bloqueja tota la resta, cosa raonable a casa i qüestionable en una xarxa de convidats. Decideix si vols aquesta excepció abans que un incident la descobreixi per tu.

Un bloqueig estricte també fa incòmoda l'entrada al portal d'una xarxa de convidats, perquè el portal és exactament el tràfic directe que el bloqueig existeix per aturar. Aprèn la manera admesa d'autoritzar la xarxa i després restaura la política deliberadament en lloc d'apagar controls fins que es carregui una pàgina. Guarda la resposta del resolutor i la taula d'encaminament en la mateixa nota, com a continuació. El que un interruptor no pot fer és fer anònim el servei, perquè bloquejar el tràfic fora del túnel no diu res sobre què passa a dins.

resolvectl query example.com
ss -tunp | grep -v tun0