Ailosodwr pob ap yn erbyn cloi'r ddyfais gyfan: beth sy'n newid

Mae ailosodwr pob ap yn swnio fel y dewis gofalus: dim ond cleient y gwaith sy'n colli ei rwydwaith pan fydd y twnnel yn syrthio, ac mae popeth arall yn dal i weithio. Yna mae rhywun yn sylwi bod y porwr personol wedi llwytho tudalen o hyd, bod y cymorthydd cysoni a ddaeth gyda'r un pecyn wedi parhau i geisio, a bod enw yn y storfa yn dal i ddatrys i gyfeiriad na chyffyrddodd byth â'r twnnel. Mae'r label ar y nodwedd a'r set o gysylltiadau y mae'n ei diogelu mewn gwirionedd yn ddau beth gwahanol. Cyfrifwch y set a ddiogelir yn gyntaf, oherwydd y set honno sy'n penderfynu ai gorfodi pob ap neu gloi'r ddyfais gyfan yw'r disgrifiad gonest.

Dechreuwch gyda'r set, nid y label

Mae polisi pob ap yn diogelu apiau dethol. Mae cloi dyfais yn anelu at ffin rwydwaith ehangach, fel arfer gydag eithriadau wedi'u dogfennu ar gyfer argraffu lleol, traffig rheoli neu borthladdoedd caeth. Nid yw'r naill label na'r llall yn gyflawn nes y gallwch ateb tri chwestiwn: beth sy'n digwydd i apiau sydd wedi'u heithrio, beth sy'n digwydd i'r cymorthyddion y mae'r apiau hynny'n eu cychwyn, a beth sy'n digwydd i gysylltiadau a agorir tra nad yw'r amddiffyniad ar gael.

Ysgrifennwch yr atebion hynny cyn cyffwrdd â gosodiad cleient. Os mai'r gofyniad yw "ni chaiff y cleient cyflogres hwn siarad â'r rhyngrwyd y tu allan i'r twnnel byth, a chaiff fy mhorwr", mae'r set yn fach ac mae gorfodi pob ap yn addas. Os mai'r gofyniad yw "nid oes dim ar y ddyfais hon yn cyrraedd y rhyngrwyd heb amddiffyniad, ac eithrio'r gwasanaeth diweddaru", ni fydd unrhyw bolisi pob ap yn ei gynhyrchu, oherwydd yr apiau na wnaethoch eu henwi yw'r broblem.

Mae gorfodi pob ap yn cyfateb i adnabyddwyr, nid enwau rhaglenni

Mae Android yn datgelu VPN pob ap drwy becynnau, ac mae ei ddogfennaeth VpnService yn disgrifio sut y mae hynny'n rhyngweithio â gweithredu bob amser ymlaen a blocio. Mae iOS yn ffurfweddu VPN pob ap drwy broffil rheoli ac yn cyfateb yn ôl ap neu yn ôl parth. Nid oes gan Windows a Linux unrhyw lwybr fesul proses o gwbl, felly mae'r un syniad yn cael ei frasamcanu â rheol mur gwarchod wedi'i chyfyngu i raglen neu â rheol sy'n cyfateb i'r defnyddiwr sy'n berchen.

Yr adnabyddwr yw'r ffin, ac mae adnabyddwyr yn hawdd eu hosgoi. Mae ap sy'n trosglwyddo URL i borwr y system, neu'n agor dogfen mewn gwyliwr, yn croesi i broses na enwodd eich polisi erioed. Nid yw opsiwn terfynu wrth ddisgyn yn hidlydd pecynnau chwaith: mae'n lladd yr ap a ffurfweddwyd gennych, tra gall proses blentyn, gweithiwr ciw neu dab porwr gadw soced presennol yn fyw.

Mae cloi yn cynnwys yr hyn na all polisi pob ap ei weld

Mae cloi'r ddyfais gyfan yn dileu'r dewis. Mae pob pecyn allan nad yw'n perthyn i'r twnnel yn cael ei ollwng, gan gynnwys traffig o brosesau na wyddai eich polisi apiau amdanynt erioed. Ar Android hynny yw VPN bob amser ymlaen ynghyd â'r gosodiad blocio cysylltiadau, ac mae'r gorfodi yn digwydd yn y system, nid yng nghell y cleient. Ar gyfrifiadur bwrdd gwaith mae'n rheol mur gwarchod barhaus neu'n llwybr rhagosodedig wedi'i gyfeirio at borth anghyrraeddadwy.

Y gost yw bod popeth arall yn stopio, felly daw'r eithriadau yn rhan o'r cynllun yn hytrach nag yn ôl-feddwl. Mae angen twll wedi'i ddogfennu ar argraffwyr lleol, darganfod gwasanaethau, mewngofnodi i borthladdoedd caeth, asiantau rheoli a diweddariadau'r system weithredu, oherwydd pob un yw llwybr sy'n aros ar agor pan fydd y twnnel i lawr. Nid yw'r cloi yn gryfach na'r cofnod byrraf ar y rhestr honno.

Mae DNS, IPv6 a chymorthyddion cefndir yn cuddio'r gollyngiadau

Nid yw methiant ap a ddiogelir i ddatrys enw yn profi bod atebion yn y storfa neu draffig IP uniongyrchol wedi'u blocio. Os yw'r datryswr yn dal yn gyrraeddadwy y tu allan i'r twnnel, mae'r enw'n datrys ac mae'r cysylltiad yn methu, sy'n edrych fel ailosodwr sy'n gweithio ac nid yw. Yn waeth, gall cofnod yn y storfa bwyntio at gyfeiriad nad yw'r twnnel yn ei gario, felly mae'r cysylltiad yn mynd allan yn uniongyrchol tra bod yr ap yn adrodd gwall VPN.

Mae IPv6 angen ei reol ei hun ar bob platfform sy'n ei redeg, oherwydd nid yw rheol gollwng v4 yn cynnwys llwybr v6. Ar ffôn, gall gosodiad DNS preifat symud y datrysiad i sianel amgryptiedig nad yw polisi'r ddyfais yn ei harchwilio. A'r cymorthyddion cefndir yw'r tramgwyddwr arferol ar fwrdd gwaith: mae proses diweddaru neu gysoni yn y hambwrdd yn cychwyn cyn y cleient VPN ac yn cadw ei chysylltiad ei hun, felly nid yw byth yn gweld y llwybr a newidiwyd.

Profwch dri ap a dwy drawsnewidiad

Rhedwch bob rhes ddwywaith, unwaith ag enw gwesteiwr ac unwaith â chyfeiriad llythrennol, ac unwaith eto dros IPv6 os yw'r rhwydwaith yn cynnig hynny. Mae pas yn golygu bod yr ap a gynhwyswyd wedi stopio, bod yr ap a eithriwyd wedi ymddwyn fel y gwnaethoch ei ysgrifennu, ac na lithrodd y cymorthydd allan. Cofnodwch yr ymddygiad uniongyrchol a benderfynwyd gennych sy'n dderbyniol, fel y gall y gweinyddwr nesaf wahaniaethu rhwng eithriad bwriadol a methiant.

Yna disgrifiwch y canlyniad mewn un frawddeg sy'n enwi'r apiau a'r amodau, er enghraifft: nid oes gan y cleient cyflogres unrhyw lwybr y tu allan i'r twnnel, mae'r porwr yn uniongyrchol yn ôl cynllun, ac mae popeth arall yn stopio pan fydd y twnnel i lawr. Os yw'r frawddeg honno'n anodd ei hysgrifennu, mae'r polisi yn dal yn ddau bolisi sy'n ymladd yn erbyn ei gilydd.