Zablokuje váš bezpečnostní vypínač aplikaci, kterou jste vyňali z tunelu?

Bezpečnostní vypínač zapnutý, aplikace záměrně vyňatá z tunelu a oba požadavky si teď odporují. Jeden říká, že nic nesmí odejít jinudy než tunelem, druhý říká, že tento program musí jít přímo. Každý klient tento konflikt řeší jinak a stránka nastavení málokdy vysvětlí, které pravidlo vyhrává. Napište zásady pro jednotlivé aplikace, než uvěříte jakémukoli štítku.

Dvě zásady, jeden stroj

Bezpečnostní vypínač je slib o selhání: když tunel nechrání provoz, provoz se zastaví. Rozdělené tunelování je slib o volbě: tyto programy nebo cíle používají tunel a tamty ne. Druhý slib vytváří provoz, o kterém musí první rozhodnout. Ani jeden slib není špatný; jen je psali různí lidé pro různé hrozby.

Možné jsou tři výsledky a jen jeden je ten, který nasazení zamýšlelo. Vyloučená aplikace může během výpadku zůstat přímo, což respektuje rozdělení a porušuje vypínač. Může být zablokována se vším ostatním, což respektuje vypínač a porušuje rozdělení. Nebo může být blokována jen někdy, podle toho, jak platforma pravidlo vyhodnotí poté, co rozhraní zmizí. Právě poslední případ generuje tikety.

Napište seznam aplikací dřív než pravidlo

Vyjmenujte programy, které musí používat tunel, ty, které musí jít přímo, a názvy nebo cíle, které se nesmí nikdy objevit na žádném seznamu. Uveďte zvlášť chování překladače a stranu IPv6, protože obojí může sledovat jinou zásadu než provoz stránek.

Pravidla pro aplikace obvykle odpovídají spustitelnému souboru nebo balíčku, ne profilu uvnitř něj. Profil prohlížeče, anonymní okno a rozšíření nenesou vlastní síťovou identitu, takže dědí to, co dostal proces. Pomocný proces spuštěný tímto prohlížečem nemusí stejné pravidlo zdědit vůbec.

Jsou potřeba dva seznamy, ne jeden: co musí tunel nést a co nikdy a z žádného důvodu nesmí cestovat mimo něj. Aplikace, která je na obou, je konflikt požadavků, ne detail implementace, a musí se vyřešit před konfigurací klienta.

Co klient dělá během výpadku

Některé implementace blokují vyloučené aplikace během výpadku a po opětovném připojení jim přístup vrátí. Jiné zachovávají přímou cestu po celou dobu, což je v souladu s rozdělením a slabší jako bezpečnostní vlastnost. Zámek na úrovni platformy může volbu klienta pro jednotlivé aplikace zcela přebít. Ten rozdíl není kosmetický, protože rozhoduje, zda je vyloučená aplikace výjimkou ze zásad, nebo děrou.

Vždy zapnutá VPN v Androidu s volbou blokovat připojení bez VPN je nejjasnější případ, protože zámek vynucuje platforma, ne klient, a vyloučený balíček je blokován se vším ostatním, dokud je tunel vypnutý. Klientský program pro počítač, který uplatňuje výjimky pro aplikace ve vlastním ovladači, obvykle nechává vyloučený proces na fyzickém rozhraní, protože provoz tohoto procesu nikdy nevlastnil. Obě chování jsou obhajitelná a jen jedno odpovídá požadavku, že vyloučená aplikace musí zůstat použitelná. Ptejte se, která komponenta pravidlo vynucuje, než výsledek vyložíte.

Čtěte chování operačního systému, který máte před sebou, ne nastavení stejného jména jinde. Rozhraní pro vynucení se liší a jedno zaškrtávací pole může na počítači a v telefonu znamenat striktně různé věci. Na verzi také záleží, protože ovládání zámku se mezi verzemi Androidu přesouvalo mezi obrazovkami a seznam výjimek na straně klienta není totéž ovládání jako zámek platformy.

Tři okamžiky: tunel běží, tunel stojí, obnovené připojení

Použijte neškodné požadavky ve třech okamžicích: když tunel funguje, během selhání, které vás zajímá, a po opětovném připojení. Jediný výsledek z prohlížeče chování vyloučené aplikace neprokáže.

curl -sS --max-time 8 https://api.ipify.org
curl -sS --max-time 8 --interface tun0 https://api.ipify.org
dig +short example.com

Výstupní adresa ukazuje, která cesta byla použita, a explicitní test rozhraní ukazuje, co se stane, když je tunel jediným dostupným východem. Poznamenejte očekávaný výsledek vedle každého řádku, než kterýkoli spustíte, jinak bude výstup vyložen až dodatečně.

Pokud vyloučená aplikace přestane být dosažitelná, projděte prioritu zásad, než přidáte široké povolení na firewallu, protože taková oprava zničí rozdíl, který jste testovali. Pokud zůstane přímo, potvrďte, že to byla dokumentovaná výjimka, a ne náhodný pád zpět. U striktního požadavku na celé zařízení zkraťte seznam výjimek, dokud jej nepůjde otestovat ručně.