Always-on VPN neu kill switch: pa un wnaethoch chi ei alluogi?

Mae Always-on a’r kill switch ddwy linell ar wahân ar yr un sgrin gosodiadau, felly mae pobl yn eu darllen fel dau enw ar gyfer un nodwedd. Nid ydynt. Polisi ailgysylltu yw Always-on: cychwyn y twnnel wrth gychwyn, dod ag ef yn ôl ar ôl damwain neu newid rhwydwaith, a dal i geisio tra bydd yn methu. Polisi traffig yw kill switch: mae’n enwi’r pecynnau sy’n dal yn cael gadael y peiriant tra mae’r twnnel i lawr. Gallwch alluogi’r cyntaf heb yr ail, ac ar y rhan fwyaf o blatfformau mae’r canlyniad diofyn yn dal i adael traffig allan yn ystod y bwlch.

Gwiriad 1: a yw’r bloc yn switsh ar ei ben ei hun?

Ar Android 10 a diweddarach, mae proffil VPN wedi’i gadw yn agor dau switsh annibynnol y tu ôl i’r eicon cog: Always-on VPN a Blocio cysylltiadau heb VPN. Dim ond yr ail yw’r kill switch. Gydag always-on yn unig mae’r twnnel yn dychwelyd ar ôl cwymp, ond mae unrhyw ap yng nghanol cais yn cyrraedd y rhwydwaith dros Wi-Fi neu ddata symudol nes hynny.

Mae dyfeisiau a reolir yn cadw’r un rhaniad yn API’r polisi. Mae setAlwaysOnVpnPackage() yn cymryd enw’r pecyn a baner lockdownEnabled; mae gweinyddwr sy’n gosod y pecyn ac yn gadael y faner yn ffug wedi adeiladu twnnel parhaus, nid dyfais gaeëdig. Anaml y mae geiriad y consol yn dangos y gwahaniaeth hwnnw.

Darllenwch y cyflwr o’r ddyfais yn hytrach na’r consol: adb shell settings get global always_on_vpn_app a adb shell settings get global always_on_vpn_lockdown. Os yw’r cyntaf yn dychwelyd null, nid oes pecyn wedi’i orfodi ar lefel platfform; os yw’r ail yn dychwelyd 0, nid yw’r platfform yn blocio dim. Mae canllaw VPN Android yn disgrifio’r rhain fel galluoedd ar wahân, nid un modd.

Gwiriad 2: pa haen sy’n berchen ar y bloc?

Mae labeli’n byw yn y cleient a blociau fel arfer yn y wal dân, felly mae’r un gair yn golygu pethau gwahanol ar bob platfform. Mae’r rhesi isod yn werth eu cadarnhau cyn ymddiried yn unrhyw un ohonynt.

Windows yw’r enghraifft gliriaf o label nad yw’n blocio. Mae Always On yno yn disgrifio parhad y twnnel: twnnel dyfais ar gyfer dilysu peiriant, twnnel defnyddiwr ar gyfer y cyfrif sydd wedi mewngofnodi, wedi’u ffurfweddu drwy XML proffil neu Add-VpnConnection. Nid oes dim yn y proffil hwnnw yn atal pecyn sy’n mynd allan pan fo’r twnnel ar goll, ac nid yw hidlo allan ymlaen yn ddiofyn, felly mae gliniadur ar Wi-Fi yn dal i weithio tra mae’r VPN i lawr.

Mae WireGuard yn rhannu’r un ffordd, ond fesul cleient. Mae WireGuard ar gyfer Windows yn cario opsiwn fesul twnnel, Blocio traffig heb ei dwnelu, sy’n gosod rheolau hidlo; nid oes gan offer Linux switsh cyfatebol. Mae wg-quick yn ychwanegu llwybr ar gyfer pob cofnod AllowedIPs ynghyd â rheol fwmark, ac mae wg-quick down yn tynnu’r ddau, felly mae’r llwybr diofyn corfforol yn cymryd drosodd eto heb golli pecyn rhyngddynt.

Ar blatfformau Apple mae always-on yn dod fel nodwedd proffil rheoli ar gyfer dyfeisiau dan oruchwyliaeth ac yn cael ei fynegi fel rheolau ar alw, nid fel blwch ticio. Y cwestiwn i’w ateb o’r llwyth yw a yw twnnel sy’n methu yn gwrthod traffig neu’n unig yn gofyn am gysylltiad arall. Ni fydd teitl y ddewislen yn dweud wrthych.

Gwiriad 3: mesurwch y bwlch, nid yr eicon

Mae pedwar trosglwyddiad yn cyfrif, ac maent yn methu’n wahanol: cwsg a deffro, newid o Wi-Fi i ddata symudol, damwain cleient sy’n gadael rhyngwyneb y twnnel yn hanner ffurfweddedig, a chychwyn cyn i unrhyw un fewngofnodi. Nid yw ailgysylltiad glân ar un ohonynt yn profi dim am y tri arall.

Mae’r prawf rhataf yn atal y twnnel yn fwriadol ac yna’n ceisio mynd allan. Gyda’r twnnel i lawr, mae curl -m 5 -sS -o /dev/null -w '%{http_code}' https://example.com yn dychwelyd 200 yn golygu bod y polisi yn fail-open; mae terfyn amser neu gysylltiad wedi’i wrthod yn golygu bod rhywbeth yn dal i flocio. Mae ip route get 1.1.1.1 yn enwi’r rhyngwyneb a fyddai’n cario’r pecyn, sy’n dweud mwy na’r eicon hambwrdd fel arfer, ac mae systemctl status wg-quick@wg0 yn dangos a gafodd y rhyngwyneb ei dynnu’n lân.

Rhedwch yr un prawf mewn ail ffenestr tra mae’r rhwydwaith yn newid, nid dim ond wedyn. Y cyfwng rhwng y cwymp a’r ail gynnig yw’r rhan sy’n cyfrif, a chwilio enw yw’r ffordd gyflymaf i sylwi bod traffig wedi dianc: os yw’r datryswr lleol yn ateb tra mae’r twnnel i lawr, nid yw’r bloc yn gyflawn.

Gwiriad 4: penderfynwch yr eithriadau cyn cloi

Mae dau eithriad yn strwythurol. Rhaid i’r cleient gyrraedd gweinydd y VPN ei hun, felly mae set o reolau sy’n gollwng popeth hefyd yn atal yr ailgysylltiad a fyddai’n adfer y diogelu. Nid oes modd cyrraedd porthdal captif drwy dwnnel nad yw i fyny chwaith, felly mae angen ffordd ddogfennedig ar ddyfais gloi ar Wi-Fi gwesty i agor y porthdal, nid un byrbwyll.

Siâp lleiaf, pen draw yn cael ei ganiatáu a phopeth arall yn cael ei ollwng:

table inet vpnlock {
  chain output {
    type filter hook output priority 0; policy drop;
    oifname "lo" accept
    ip daddr 203.0.113.10 udp dport 51820 accept
    oifname "wg0" accept
  }
}

Triniwch y llinell pen draw honno fel newidyn, nid fel cysonyn. Mae darparwyr yn cylchdroi cyfeiriadau, a’r eithriad hen ffasiwn yw’r rheswm arferol dros droi kill switch sy’n gweithio yn ddyfais na all ailgysylltu. Mae argraffwyr lleol, rhannu NAS a gwasanaethau datblygu yn perthyn i’r un rhestr ysgrifenedig, neu fe’u darganfyddir un tocyn cymorth ar y tro.

Gwiriad 5: cofnodwch beth wnaethoch chi ei brofi mewn gwirionedd

Cadwch dabl pedair colofn a’i lenwi drwy brofi: cyflwr, ymddygiad disgwyliedig, ymddygiad a sylwyd, tystiolaeth. Y rhesi yw’r trosglwyddiadau o wiriad 3 ynghyd ag un methiant bwriadol. Mae rhes na allwch ei llenwi ag allbwn gorchymyn yn rhes nad ydych wedi’i phrofi, ac mae dyfais sy’n pasio’r rhes ailgysylltu ac yn methu’r rhes gychwyn yn ddigon cyffredin i fod yn werth y deg munud ychwanegol.

Cyn i chi ei alw’n orffenedig:

• Cadarnhewch fod y gosodiad blocio ar wahân i’r gosodiad ailgysylltu, a darllenwch ei werth ar y ddyfais.
• Gwybyddwch pa haen sy’n gorfodi’r bloc - opsiwn cleient, polisi dyfais neu wal dân - a ble mae’r haen honno wedi’i ffurfweddu.
• Cadwch un gorchymyn prawf sy’n profi’r bloc, a’i redeg yn ystod trosglwyddiad yn hytrach nag ar ôl.
• Ysgrifennwch y rhestr eithriadau, y pen draw yn gynwysedig, a nodwch pwy sy’n ei adnewyddu.
• Ar galedwedd a reolir, gadewch y polisi a orfodwyd yn llonydd; mae tynnu’r bloc yn newid y gofyniad yn hytrach na thrwsio’r twnnel.