Dwy ap VPN ar unwaith: pa kill switch sy’n gymwys mewn gwirionedd?
Nid yw ail gleient VPN byth yn etifeddu kill switch y cyntaf. Mae tri amod yn penderfynu pa bolisi sy’n gymwys, a sut i wirio eich un chi.
Gall dau gleient VPN redeg ochr yn ochr, ond nid yw eu kill switches yn toddi’n un bolisi. Mae pob cleient yn gosod rheolau ar gyfer ei dwnnel ei hun, ac nid oes yr un ohonynt yn gwybod bod y llall yn bodoli. Deuthum ar draws hyn gyda chleient gwaith wedi’i gysylltu gyntaf: ni allai’r ail ap orffen ei ysgwyd llaw, arhosodd ar „Connecting“ am ddeng munud, a chludodd y twnnel cyntaf bopeth yn dawel. P’un a yw’r ail ap yn cael ei diogelu yn dibynnu ar dri amod, nid ar a yw’r ddau eicon yn dweud Cysylltiedig.
Beth yw cwmpas kill switch mewn gwirionedd
Nid oes gan unrhyw beth yn y system weithredu un faner kill switch. Mae cleient sy’n hysbysebu un yn gosod set o reolau: gollwng popeth nad yw’n gadael drwy fy nhwnnel, ac yn aml fail closed pan fo’r twnnel yn diflannu. Ar Linux fel arfer mae’n gadwyn nftables neu iptables, ar Windows yn set o hidlwyr Windows Filtering Platform, ar Android ac iOS llwybro’r gwasanaeth twnnel ei hun ynghyd â’r gosodiad system sy’n rhwystro cysylltiadau heb VPN. Mae canllaw VPN Android yn disgrifio’r model gwasanaeth hwnnw os ydych am safbwynt y platfform.
Y cwmpas yw’r rhan sy’n cyfrif. Nid yw rheol fel „caniatáu dim ond pecynnau ar ryngwyneb allbwn wg0“ yn poeni a oes ail dwnnel yn bodoli. Os bydd cleient arall yn codi wg1, mae rheolau’r cleient cyntaf yn trin y pecynnau hynny fel traffig cyffredin: fel arfer yn cael eu gollwng, weithiau’n cael eu caniatáu. Naill ffordd neu’r llall, y cleient cyntaf sy’n penderfynu, ac nid oes ganddo syniad bod ail ap yn aros.
Tri amod sy’n penderfynu pwy sy’n cael ei gynnwys
Nid oes angen rhestru pob cyfuniad. Mae tri chwestiwn yn ei setlo mewn ychydig funudau.
- A yw’r platfform yn caniatáu ail dwnnel o gwbl? Mae’r rhan fwyaf o ffonau Android ac iPhone yn derbyn dim ond un gwasanaeth VPN gweithredol fesul proffil defnyddiwr, felly nid oes gan yr ail ap dwnnel byth ac nid yw byth yn gorfodi unrhyw beth. Rydych yn cael un bolisi, gan yr ap a enillodd y lle.
- Pa broses sy’n berchen ar y llwybr diofyn? Mae Windows, macOS a Linux yn cario dau dwnnel yn hawdd. Mae’r llwybr diofyn yn perthyn i’r cleient a’i ffurfweddodd olaf neu gyda’r metrig gorau, ac mae’r cleient arall yn gysylltiedig ond yn segur. Ar Linux mae modd llwybr diofyn wg-quick yn defnyddio llwybro polisi gyda thabl preifat a rheol fwmark, felly mae ail dwnnel wg-quick yn ychwanegu rheol gystadleuol yn lle disodli’r gyntaf.
- A all yr ail gleient gyrraedd ei weinydd ei hun? Os yw’r kill switch cyntaf yn gwrthod yn ddiofyn, nid yw pwynt diwedd allanol yr ail ap yn ddim ond cyrchfan arall sy’n cael ei gollwng. Mae’n ceisio eto’n dawel ac ni fydd byth yn adrodd gwall.
Y fersiwn fer, ar gyfer edafedd cymorth:
| Setup | What you actually get |
|---|---|
| Second client cannot hold a tunnel | One active policy; the other app only reports that it is waiting |
| Both tunnels up, second took the default route | The first kill switch blocks traffic it never meant to touch; the connection dies, or leaks if its rules are broad |
| First kill switch allows only its own endpoint and interface | Second client never connects; first tunnel unaffected |
| Both up, DNS written by whichever client ran last | Name resolution breaks for one side when either tunnel drops |
Mae dwy o’r rhesi hynny’n edrych yn unfath o’r eicon yn y hambarth, a dyna pam mai’r eicon yw’r prawf gwaethaf sydd ar gael yma.
Beth sy’n methu gyntaf, a sut mae’n edrych
Mae cleient sy’n sownd ar „Connecting“ tra bo’r llall yn iach bron bob amser yn newyn pwynt diwedd: mae’r kill switch sy’n rhedeg yn gollwng ysgwyd llaw’r ail gleient i’w weinydd ei hun. Cadarnhewch hyn yn rhad drwy oedi rheolau blocio’r cleient cyntaf am un cynnig. Os yw’r ail yn cysylltu ar unwaith, mae’r cwestiwn wedi’i ateb.
DNS yw’r ail fethiant. Mae cleientiaid yn gosod ffurfwedd y datryswr ar gyfer eu rhyngwyneb eu hunain, ac mae rhai’n trosysgrifo’r rhestr fyd-eang yn syml. Gyda’r ddau dwnnel i fyny, gall ymholiadau adael drwy un ochr tra bo’r datryswr yn perthyn i’r llall. Datgysylltwch naill ap a bydd yr un sy’n goroesi’n cadw gweinydd enwau na ellir ei gyrraedd: mae tudalennau’n oedi am funud ac yna’n datrys eto, tra bo’r VPN yn dal i ddangos cysylltiad.
Y trydydd yw fflapio llwybrau. Mae ailgysylltu’n aildrefnu’r llwybr diofyn, ac nid yw kill switch sy’n rhwym i ryngwyneb yn ei ddilyn. Mae traffig a oedd yn y twnnel eiliad yn ôl nawr yn cyfateb i reol gollwng, sydd o safbwynt y defnyddiwr yn darllen fel VPN sy’n stopio gweithio ar hap.
Gwiriwch pa bolisi sydd mewn gwirionedd mewn grym
Gwnewch hyn gyda thraffig diniwed, nid â rhywbeth y byddech yn ei golli.
Ar Linux, gofynnwch i’r cnewyllyn pwy sy’n ennill ac wrth beth mae’r wal dân yn rhwymo. ip -4 route show default yn enwi’r twnnel sy’n berchen ar yr allbwn. ip rule show yn dangos a yw llwybro polisi yn y chwarae. sudo nft list ruleset | grep -n oifname yn dangos a yw gollyngiadau’n rhwym i enw rhyngwyneb, marc, neu’r gadwyn allbwn gyfan.
Ar Windows mae’r un stori’n byw ym metrig y llwybr a’r rhestr hidlwyr: Get-NetRoute -DestinationPrefix "0.0.0.0/0" | Sort-Object RouteMetric a Get-NetFirewallRule -Enabled True | Where-Object DisplayName -match "VPN". Ar macOS netstat -rn -f inet | head -5 a scutil --dns | head -20.
Yna gwnewch y cam y mae pobl yn ei hepgor: stopiwch y twnnel yn fwriadol a chadarnhewch fod y traffig rydych yn disgwyl iddo fethu yn methu mewn gwirionedd. Mae eicon cysylltiedig yn gyflwr rhyngwyneb, nid gorfodaeth.
Pryd mae dau gleient yn y cynllun anghywir
Os mai’r unig ofyniad y tu ôl i’r ail ap yw mwy o amddiffyniad, tynnwch ef. Mae dau bolisi blocio sy’n rhyngweithio’n llai rhagweladwy nag un, ac mae pob ailgysylltiad yn gyfle i lanio mewn cyflwr nad yw unrhyw gyflenwr yn ei brofi.
Os oes gwir angen cadwyno arnoch, fel porth corfforaethol a gyrhaeddir dros naid fasnachol, dewiswch gynllun ag un pwynt gorfodaeth. Mae hynny fel arfer yn golygu llwybrydd neu un cleient sy’n cefnogi’r gadwyn, nid dau ap bwrdd gwaith yn rasio am yr un llwybr diofyn. Ar ddyfais a reolir, cadwch y cleient awdurdodedig a thriniwch bopeth arall fel tu allan i gwmpas, beth bynnag mae’n ei ddangos yn y hambarth.
Rhestr wirio cyn cadw’r ddau
Ewch drwy’r rhestr yn eu trefn; yr eitem gyntaf sy’n methu yw’r un i’w drwsio.
- Cadarnhewch mai union un cleient sy’n berchen ar y llwybr diofyn a’r datryswr.
- Os ydych am i’r ail gleient fod i fyny, caniathewch bwynt diwedd ei weinydd yn benodol a gwirio eto ar ôl pob diweddariad cleient.
- Nodwch y canlyniad disgwyliedig pan fydd naill dwnnel yn cwympo, a phrofwch yr achos penodol hwnnw.
- Gwiriwch y llwybr methu ar ôl ailgychwyn, pan fo’r drefn gychwyn yn wahanol.
- Ar broffil a reolir, stopiwch a gofynnwch i’r perchennog cyn ychwanegu unrhyw beth.
Os yw’r trydydd cam yn methu, yr ateb gonest yw mai dim ond un cleient sy’n rhoi polisi i chi. Penderfynwch pa un rydych yn ymddiried ynddo a gadewch i’r llall fynd.