Bloquejarà l’interruptor de seguretat l’aplicació que has deixat fora del túnel?

Interruptor de seguretat activat, una aplicació exclosa deliberadament del túnel i els dos requisits ara es contradiuen. Un diu que res no pot sortir excepte pel túnel, l’altre diu que aquest programa ha d’anar directe. Cada client resol aquest conflicte de manera diferent, i la pàgina de configuració poques vegades explica quina regla guanya. Escriu la política per aplicació abans de confiar en qualsevol etiqueta.

Dues polítiques, una màquina

Un interruptor de seguretat és una promesa sobre el fracàs: quan el túnel no protegeix el trànsit, el trànsit s’atura. El túnel dividit és una promesa sobre la selecció: aquests programes o destinacions fan servir el túnel, i aquells no. La segona promesa crea trànsit sobre el qual la primera ha de decidir. Cap de les dues promeses no és incorrecta; simplement les van escriure persones diferents per a amenaces diferents.

Hi ha tres resultats possibles i només un és el que pretenia el desplegament. L’aplicació exclosa pot quedar directa durant una interrupció, cosa que respecta la divisió i trenca l’interruptor de seguretat. Pot quedar bloquejada amb tota la resta, cosa que respecta l’interruptor i trenca la divisió. O pot quedar bloquejada només de vegades, segons com la plataforma avalua la regla després que desaparegui una interfície. Aquest darrer cas és el que genera tiquets.

Escriu la llista d’aplicacions abans de la regla

Llista els programes que han de fer servir el túnel, els que han d’anar directes i els noms o destinacions que no han d’aparèixer mai en cap de les dues llistes. Inclou per separat el comportament del resolutor i la part IPv6, perquè tots dos poden seguir una política diferent de la del trànsit de pàgines.

Les regles per aplicació solen coincidir amb un executable o un paquet, no amb un perfil dins seu. Un perfil de navegador, una finestra privada i una extensió no porten cap identitat de xarxa pròpia, així que hereten el que va rebre el procés. Un procés auxiliar llançat per aquest navegador pot no heretar la mateixa regla.

Calen dues llistes, no una: què ha de portar el túnel i què no ha de viatjar mai fora d’ell per cap motiu. Una aplicació que apareix a totes dues és un conflicte de requisits i no un detall d’implementació, i s’ha de resoldre abans de configurar el client.

Què fa el client durant una interrupció

Algunes implementacions bloquegen les aplicacions excloses durant una interrupció i els retornen l’accés en tornar a connectar. D’altres mantenen la ruta directa en tot moment, cosa que és coherent amb la divisió i més feble com a propietat de seguretat. El bloqueig a nivell de plataforma pot anul·lar del tot la selecció per aplicació del client. Aquesta diferència no és cosmètica, perquè decideix si l’aplicació exclosa és una excepció de política o un forat.

La VPN sempre activa d’Android amb l’opció de bloquejar les connexions sense VPN és el cas més clar, perquè la plataforma imposa el bloqueig i no el client, i el paquet exclòs queda bloquejat amb tota la resta mentre el túnel està aturat. Un client d’escriptori que aplica exclusions per aplicació dins del seu propi controlador sol deixar el procés exclòs a la interfície física, perquè mai no va posseir el trànsit d’aquest procés. Tots dos comportaments són defensables i només un encaixa amb un requisit que digui que l’aplicació exclosa ha de continuar sent utilitzable. Pregunta quin component imposa la regla abans d’interpretar el resultat.

Llegeix el comportament del sistema operatiu que tens davant i no la configuració amb el mateix nom en un altre lloc. Les API de compliment difereixen, i una casella pot significar coses estrictament diferents en un escriptori i en un telèfon. La versió també importa, perquè el control de bloqueig ha canviat de pantalla entre versions d’Android, i una llista d’exclusions del costat del client no és el mateix control que un bloqueig de plataforma.

Tres moments: túnel actiu, túnel aturat, reconnexió

Fes servir peticions innòcues en tres moments: mentre el túnel funciona, durant la fallada que t’importa i després de reconnectar. Un sol resultat del navegador no pot establir el comportament de l’aplicació exclosa.

curl -sS --max-time 8 https://api.ipify.org
curl -sS --max-time 8 --interface tun0 https://api.ipify.org
dig +short example.com

L’adreça de sortida mostra quin camí s’ha pres, i la prova explícita d’interfície mostra què passa quan el túnel és l’única sortida disponible. Anota el resultat esperat al costat de cada línia abans d’executar-ne cap, o la sortida s’interpretarà a posteriori.

Si una aplicació exclosa queda fora de línia, revisa la precedència de polítiques abans d’afegir una permissió àmplia al tallafoc, perquè aquesta correcció destrueix la distinció que estaves provant. Si continua directa, confirma que era l’excepció documentada i no un retrocés accidental. Per a un requisit estricte de tot el dispositiu, escurça la llista d’excepcions fins que es pugui provar a mà.