Kill-switch ar ôl newid o Wi-Fi i'r rhwydwaith symudol: beth sy'n torri

Ar un eiliad mae'r gliniadur ar Wi-Fi y swyddfa, yr eiliad nesaf mae'n gysylltiedig â ffôn, ac mae dangosydd y twnnel yn wyrdd eto cyn i chi orffen newid ffenestri. Dim ond dweud bod y twnnel wedi ailgysylltu y mae golau gwyrdd; beth wnaeth y polisi llwybro a rhwystro yn ystod y bwlch yw cwestiwn arall. Mae'r polisi hwnnw'n set o amodau paru a gafodd eu cyfuno pan gafodd ei osod ddiwethaf, ac mae'n enwi rhyngwyneb, cyfeiriad a theulu cyfeiriadau y mae'r trosglwyddiad newydd eu dileu. Felly mae'r un newid yn cynhyrchu tri chanlyniad sy'n edrych yn unfath: mae'r rhwystro'n parhau, mae'r polisi'n rhwystro ei adferiad ei hun, neu mae llwybr yn agor nad oes dim yn ei gwmpasu.

Nid oes dim ar y sgrin yn gwahanu'r tri chyflwr hynny, felly gofynnwch pa ddynodwyr y cafodd y rheolau eu pinnio iddynt yn lle pa liw mae'r dangosydd yn ei ddangos. Ar Linux gall rheol enwi rhyngwyneb neu ipset a lenwir o un; ar Android gellir dweud wrth VpnService pa rwydweithiau sylfaenol i'w dilyn drwy setUnderlyingNetworks. Mae pob rhwymiad yn pwyntio at gyswllt sydd ar fin cael ei ddisodli, a rhaid ailosod pob un wedyn.

Beth mae'r trosglwyddiad yn ei ailysgrifennu mewn gwirionedd

Pan fydd yr hen gyswllt yn diflannu mae'r cnewyllyn yn tynnu ei gyfeiriadau, yn tynnu'n ôl y llwybrau a oedd yn mynd drwyddo, ac yn ailadeiladu dewis cyfeiriad ffynhonnell o'r hyn sy'n weddill. Mae'r llwybr diofyn yn symud i'r porth newydd, ac mae mynegai'r rhyngwyneb y cyfeiriai'r hen reolau ato wedi mynd neu wedi'i ailgylchu ar gyfer dyfais arall. Mae datryswyr pob cyswllt yn cael eu hadnewyddu hefyd, er nad ar yr un eiliad â'r llwybrau. Mae hyn i gyd yn digwydd o dan y cleient VPN, felly nid yw cleient sy'n gwylio cyflwr ei dwnnel ei hun yn gweld dim ohono.

Y drafferth yw bod rheol yn amgodio dynodydd penodol yn lle'r bwriad sydd y tu ôl iddo. Mae rheol sy'n gollwng popeth nad yw'n gadael drwy ryngwyneb y twnnel yn amgodio enw rhyngwyneb; mae rheol sy'n caniatáu'r diweddbwynt yn amgodio cyfeiriad y gall y rhwydwaith newydd ei lwybro rywle arall. Pan fydd y dynodydd yn diflannu nid yw'r rheol yn troi'n amlwg anghywir, mae naill ai'n stopio paru â dim neu'n dechrau paru â'r peth anghywir.

Ailadeiladu'r twnnel allanol heb dyllu twll

Roedd y cludiant allanol wedi ei rwymo i'r hen gyfeiriad ffynhonnell, felly rhaid iddo agor soced newydd o'r un newydd. Pan fo'r diweddbwynt yn enw gwesteiwr yn hytrach nag yn gyfeiriad llythrennol, rhaid i chwiliad lwyddo tra bod y rhwystr yn dal mewn grym. Dyma drap y drefn: bydd polisi sy'n ddigon llym i ollwng popeth heblaw'r diweddbwynt hefyd yn gollwng y chwiliad sydd ei angen i'w ganfod, oni bai bod y datrysiad yn digwydd cyn codi'r rhwystr neu'n cael ei gario drwy dwnnel sy'n dal yn fyw. Gall y naill drefn na'r llall weithio, ond dim ond os yw'r cleient yn gwybod pa drefn y mae ynddi.

Mae cleientiaid yn wahanol yma mewn ffordd sy'n bwysig wrth ddiagnosio. Mae rhai'n datrys yn gyntaf ac yn gosod rheolau wedyn, felly mae trosglwyddiad yn costio methiant gweladwy ac wedyn yn adfer ei hun; mae eraill yn cadw'r rhwystr i fyny ac yn dibynnu ar y twnnel sy'n goroesi i gario'r chwiliad, sy'n methu'n llwyr pan fydd y twnnel wedi marw gyda'r cyswllt. Mae ychwanegu llwybr diofyn uniongyrchol llydan i adfer cysylltedd bob amser yn gwneud i'r prawf lwyddo ac bob amser yn gadael y gollyngiad roeddech yn ei atal.

Mae llwybr sy'n dal i bwyntio at yr hen borth yn rhoi'r un adferiad tagfacedig o achos gwahanol, felly darllenwch y tabl cyn beio'r cleient. Mae'r gorchmynion isod yn enwi'r rhyngwyneb a'r cyfeiriad ffynhonnell y byddai'r cnewyllyn yn eu defnyddio mewn gwirionedd, sy'n setlo mewn un llinell a yw'r hen lwybr yn dal wedi'i osod.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Pan fydd y cyswllt newydd yn dod ag IPv6 ac nad yw'r rheolau'n gwneud

Mae rhwydweithiau symudol a rhwydweithiau gwestai yn aml yn dosbarthu rhagddodiad IPv6 byd-eang hyd yn oed pan na wnaeth LAN gwifren y swyddfa hynny erioed. Nid yw polisi a ysgrifennwyd fel rheolau IPv4 yn unig, sef ffurf ddiofyn y rhan fwyaf o ryseitiau iptables a nftables a wneir â llaw, yn cwmpasu dim o hynny. Mae'r twnnel yn aros yn gysylltiedig, mae apiau sydd â chyrhaeddiad IPv6 yn gadael y tu allan iddo, ac ni all y dangosydd ddangos y gwahaniaeth oherwydd bod y twnnel wir yn fyny. Mae'r achos drych yr un mor gyffredin: nid yw set o reolau ar gyfer IPv6 yn unig yn gwneud dim o gwbl ar rwydwaith nad yw'n cynnig v6.

Cymharwch yr hyn y mae'r cyswllt yn ei gynnig â'r hyn y mae'r polisi'n ei grybwyll, ar ddwy ochr y trosglwyddiad. Mae'r gorchmynion hyn yn argraffu'r un ffeithiau ag y mae'r cleient yn gweithio ohonynt:

ip -4 route show default
ip -6 route show default
sudo nft list ruleset | grep -c 'ip6 '

Os yw'r ail orchymyn yn argraffu llwybr diofyn tra bod y trydydd yn dychwelyd sero, gall y cyswllt newydd adael y peiriant dros IPv6 heb unrhyw reol yn gwylio. Rhedwch y tri eto ar ôl y newid, oherwydd y rhif diddorol yw'r gwahaniaeth rhwng y ddau rediad. Os nad yw'r ail yn argraffu dim, mae'r achos gwrthwyneb yn berthnasol ac mae unrhyw bolisi trwm ar v6 yno yn addurn yn unig.

Mae'r datryswr yn newid dwylo ganol sesiwn

Mae datryswyr ynghlwm wrth gysylltau ar systemau modern, felly mae cyswllt newydd yn dod â set newydd o ddatryswyr ac o bosibl â golwg split-DNS wahanol. Mae systemd-resolved yn cadw cwmpas ar gyfer pob cyswllt ac yn dewis yn eu plith yn ôl llwybr, tra bod macOS yn darllen datryswyr â chwmpas o'r storfa ddeinamig ac yn parchu trefn y rhyngwynebau. Mae cleient sy'n gosod ei ddatryswr ei hun yn cystadlu â datryswr y cyswllt, a'r rheolau blaenoriaeth nad oes neb yn eu gwylio sy'n penderfynu'r enillydd. Yna gall datrys enwau dorri tra bod hidlo pecynnau'n gwneud yn union yr hyn y cafodd ei ysgrifennu i'w wneud.

Darllenwch y datryswr sy'n weithredol yn hytrach na'r un sydd wedi'i ffurfweddu. Ar westeiwr systemd mae'r isorchymyn status yn dangos o ba gyswllt y daeth pob cwmpas ac a yw enw private-DNS mewn grym:

resolvectl status --no-pager
resolvectl query intranet.example.com

Os yw'r ymholiad yn gadael drwy'r cyswllt ffisegol yn hytrach na'r twnnel, mae'r cleient wedi colli'r gystadleuaeth flaenoriaeth ac ni fydd unrhyw diwnio wal dân yn trwsio enwi. Cymharwch lwybr yr ymholiad ar ddwy ochr y trosglwyddiad i weld pa un a symudodd. Mae enw sy'n datrys i gyfeiriad preifat na all y rhwydwaith newydd ei lwybro yn drydydd achos, ac mae'n ymddangos fel goramser yn hytrach nag fel gwall.

Ymarferwch y trosglwyddiad a chadwch y cofnod

Atgynhyrchwch y newid yn fwriadol yn lle aros amdano. Codwch y twnnel ar y cyswllt cyntaf, dechreuwch drosglwyddiad hirhoedlog a chwiliad ailadroddus, yna newidiwch y cyswllt a gwyliwch pa un sy'n goroesi. Nodwch y cyfwng rhwng diflaniad yr hen gyswllt ac adroddiad y twnnel ei fod yn gysylltiedig, oherwydd yn y ffenestr honno y gwnaeth y polisi naill ai dal neu beidio. Rhedwch y dilyniant i'r cyfeiriad arall hefyd, fel nad yw'r canlyniad yn unochrog.

Mae angen pas eu hunain ar eithriadau, oherwydd nid yw osgoi a gyfiawnhawyd ar yr hen rwydwaith yn gyfiawn ar y newydd yn awtomatig. Nid oes gan argraffydd, NAS na phorthol garcharor ar LAN y cartref gyfatebydd ar y rhwydwaith symudol, ac mae'r eithriad a'i cyrhaeddodd yn dod yn rheol heb gyfatebydd.

Ysgrifennwch enwau'r rhyngwynebau, y teuluoedd a gynigir, y datryswr mewn grym a hyd y methiant ar gyfer pob cyfeiriad. Mae ailgysylltiad yn profi bod y cludiant wedi adfer, nid bod y rhwystr wedi dal yn ystod y bwlch, ac mae'r rheini'n honiadau ar wahân i'w rhoi mewn tocyn. Gyda'r cofnod hwnnw mae'r trosglwyddiad nesaf yn cael ei gymharu â chyflwr hysbys yn lle â chof.