Přepínač VPN: jaký provoz blokuje a kdy

Dvě funkce se popisují stejným slovem a dělají různou práci. Automatické opětovné připojení se snaží vrátit tunel a může uspět během sekundy, zatímco požadavky v té mezeře selhávají. Přepínač rozhoduje, co se s provozem v té mezeře stane. Číst klienta, jako by šlo o jedno nastavení, je způsob, jak lidé skončí u důvěry v ikonu místo v zásadu.

Blokování a opětovné připojení jsou dvě samostatná rozhodnutí

Jeden klient blokuje jen tehdy, když je výpadek neočekávaný, pak se znovu připojí a blok zruší. Jiný drží blok na systémové úrovni, dokud někdo nezmění nastavení ručně, a třetí považuje úmyslné odpojení za svolení obnovit běžný přístup. To jsou tři různá chování a dokumentace dodavatele říká, které vaše sestavení uplatňuje.

Import profilu o této otázce nerozhoduje. Stejný profil serveru se načte do dvou klientů s opačným chováním blokování, protože profil nese nastavení, nikoli slib. Proto také zaškrtávací pole na počítači a přepínač v telefonu s podobnými popisky mohou uplatňovat různá pravidla. Přečtěte si popis u ovládacího prvku na své platformě a pak vyzkoušejte, co dělá.

Stejný profil se chová v každém klientovi jinak

Nastavení aplikace OpenVPN Connect popisují režim tunelu, který zadržuje běžný provoz jen tehdy, když klient hlásí pozastavený stav nebo opětovné připojování, což je užší než obecný slib o každé události na každé platformě. Čtěte uvedené stavy, ne název produktu. Popis napsaný pro jedno sestavení klienta se na klienta jiného dodavatele nepřenáší.

Android ukazuje stejné slovo u dvou ovládacích prvků, protože trvalá VPN a blokování připojení bez VPN se dokumentují odděleně. Klientská aplikace pro počítač s podobně nazvaným zaškrtávacím polem může uplatňovat něco užšího nebo širšího než kterékoli z nich. Považujte společný popisek ve dvou nabídkách za shodu okolností, dokud si nepřečtete oba popisy. Spravovaná zařízení přidávají třetí vrstvu, protože profil zařízení může vynutit nastavení, které uživatel nevidí a nemůže zrušit.

Podobná nastavení platformy nejsou rovnocenná

Porovnejte prvek, který vidíte, se zásadou, která skutečně platí. Na spravovaném zařízení může být viditelný přepínač zešedlý, nebo může být zapnutý, zatímco profil vyšší úrovně vynucuje opak. Ptejte se na účinnou zásadu, ne na místní, a odpověď si nechte písemně.

Zapište, co každá vrstva tvrdí, než něco otestujete, protože se obě často rozcházejí a ten rozpor se snadno ztratí, jakmile testy začnou. Zařízení, které během testu blokuje správně, může blokovat z důvodu, který nikdo nedokumentoval.

Spouštějte po jedné události a zapisujte kód

Testujte jednu událost na jeden běh, s neškodným požadavkem, a každý pokus udělejte novým požadavkem, ne stránkou, která už může být v mezipaměti. Příkazy níže sundají tunel, vyžádají stránku a ukážou, zda se rozhraní vrátilo.

ip link set tun0 down
curl -s -o /dev/null -w "%{http_code}\n" --max-time 5 https://example.com
ip -brief address show tun0

Tabulka přiřazuje každé akci pozorování, na kterém záleží, a důkaz, který stojí za uchování. Požadavek, který selže v rámci časového limitu, vám říká, že blok zabral; požadavek, který projde, vám říká, že provoz našel jinou cestu, což může být vyloučená trasa, ne vypnutý blok. Po významné aktualizaci softwaru nebo změně směrovací zásady celou sadu zopakujte, protože obojí může změnit větev, aniž by se pohnulo nějaké viditelné nastavení. Nakonec chcete předvídatelné chování při selhání, ne uklidňující ikonu.

Výjimky, hostovské portály a co blok neumí

Přístup k místní síti je obvyklou výjimkou a mění rozsah slibu. Klient se může dostat k tiskárně ve stejné podsíti, zatímco blokuje vše ostatní, což je doma rozumné a v hostovské síti sporné. Rozhodněte, zda tu výjimku chcete, dřív než ji za vás objeví incident.

Přísný blok také ztěžuje přihlášení na portál hostovské sítě, protože portál je právě ten přímý provoz, který má blok zastavit. Naučte se podporovaný způsob autorizace sítě a pak zásadu vědomě obnovte, místo abyste vypínali ovládací prvky, dokud se stránka nenačte. Odpověď resolveru a směrovací tabulku držte v jedné poznámce, jako níže. Co přepínač nedokáže, je udělat službu anonymní, protože blokování provozu mimo tunel nic neříká o tom, co se děje uvnitř.

resolvectl query example.com
ss -tunp | grep -v tun0