A yw switsh diogelwch VPN yn goroesi ailgychwyn? Sut i wirio

Ailgychwyn yw’r ffordd fwyaf cyffredin y mae pobl yn profi switsh diogelwch, a dyma’r prawf sy’n dweud celwydd amlaf. Mae’r blwch ticio yn y cleient yn welliant; yr hyn sy’n bwysig yw a oes rhywbeth yn gorfodi bloc rhwng y foment y mae’r pentwr rhwydwaith yn codi a’r foment y mae’r twmnel yn cael ei sefydlu mewn gwirionedd. Ar Windows y peth hwnnw fel arfer yw hidlydd yn Windows Filtering Platform, ar Linux set o reolau a lwythir gan uned, ar macOS angor pf, ar Android y baneri bob amser-ar a chloi eiddo’r system ei hun. Mae’r trefniadau hyn yn ymddwyn yn wahanol iawn dros ailgychwyn, a dim ond y rhai ar lefel llwyfan sydd yn eu lle cyn i unrhyw un fewngofnodi.

Mae ailgychwyn yn gofyn tri chwestiwn ar wahân

Rhannwch y cwestiwn. Yn gyntaf, a yw’r polisi yn bodoli ar y disg ar ffurf y mae rhywbeth yn ei ddarllen wrth gychwyn? Yn ail, a yw’r darllenydd hwnnw’n rhedeg cyn i unrhyw draffig allu gadael? Yn drydydd, a yw’r polisi’n cwmpasu’r traffig sy’n bwysig i chi, hynny yw pob proses, y ddau deulu cyfeiriad a DNS. Mae ie i’r cyntaf a na i’r ail yn cynhyrchu’n union y methiant y mae pobl yn ei adrodd fel switsh diogelwch nad yw’n goroesi ailgychwyn: mae traffig yn dianc am ychydig eiliadau wrth gychwyn, ac nid oes neb yn sylwi nes bod rhywun yn mynd i chwilio.

Cadwch yr haenau ar wahân. Mae set reolau mur gwal wedi’i chadw, gwasanaeth sy’n cychwyn wrth ymgychwyn a dewis yn y cleient yn dri gwrthrych gwahanol â thri oes wahanol. Mae’r dewis yn goroesi ailgychwyn oherwydd ei fod yn werth mewn ffeil ffurfweddiad. Y reolau yw’r unig beth sy’n blocio pecynnau, ac maent yn diflannu gyda’r cnewyllyn oedd yn eu dal.

Dewch o hyd i’r gwrthrych sy’n adfer y bloc

Ar Linux mae rheolau netfilter yn byw yn y cnewyllyn. Nid oes dim yn eu hysgrifennu’n ôl wrth gychwyn oni bai eich bod wedi trefnu hynny: iptables-save ynghyd â netfilter-persistent, nftables.service yn llwytho /etc/nftables.conf, neu uned systemd sy’n rhedeg eich sgript eich hun. Gwiriwch beth sy’n cael ei alluogi yn lle’r hyn yr ydych yn cofio ei ffurfweddu.

systemctl is-enabled nftables netfilter-persistent 2>/dev/null
sudo nft list ruleset
sudo iptables -S OUTPUT

Mae set reolau wag ychydig eiliadau ar ôl cychwyn yn ateb i’r cwestiwn yn y teitl. Ar Windows, gofynnwch i wasanaeth y cleient sut y mae’n cychwyn, yna dympwch gyflwr hidlydd y llwyfan tra bo’r twmnel i lawr.

Get-Service | Where-Object { $_.Name -match 'vpn' } | Select-Object Name, Status, StartType
netsh wfp show state

Mae’r ail orchymyn yn ysgrifennu wfpstate.xml i’r cyfeiriadur presennol. Chwiliwch am hidlyddion ag gweithred flocio sy’n bodoli eisoes cyn i’r cleient gysylltu. Mae’r Base Filtering Engine yn cychwyn yn gynnar ac yn adfer hidlyddion a ychwanegwyd gyda’r faner barhaus, a dyna pam mae rhai switshis diogelwch yn blocio traffig cyn bod unrhyw ffenestr cleient ac eraill ddim. Ar macOS, sudo pfctl -s info yn adrodd a yw pf wedi’i alluogi, sudo pfctl -s rules yn dangos beth sydd wedi’i lwytho, ac mae cleientiaid VPN fel arfer yn cysylltu eu rheolau ag angor yn lle’r prif set reolau. Gall rheol sy’n enwi utun3 bwyntio at ryngwyneb gwahanol ar ôl y cychwyn nesaf, oherwydd mae’r rhif hwnnw’n cael ei neilltuo wrth redeg.

Gwyliwch y bwlch rhwng codi’r rhwydwaith a chodi’r twmnel

Nid yr ailgychwyn cyfan yw’r cyfwng peryglus, ond y bwlch. Mae’r rhyngwyneb yn cael les a llwybr diofyn ar un pwynt, mae’r gwasanaeth VPN yn cychwyn ar bwynt arall, ac mae’r twmnel yn dilysu’n hwyrach fyth, weithiau dim ond ar ôl i ddefnyddiwr fewngofnodi ac i asiant tystlythyrau redeg. Os yw’r bloc yn cael ei gymhwyso’n olaf, mae popeth yn y bwlch yn gadael yn agored.

Ar westeiwyr systemd, darllenwch y trefnydd yn lle dyfalu. Rhedegwch systemctl cat ar unedau VPN a mur gwal a chwiliwch am After= neu Before= yn erbyn network-pre.target a network-online.target. Mae uned mur gwal a drefnwyd ar ôl network-online.target yn colli i’r rhyngwyneb; yr un y mae network-pre.target yn ei ofyn ac sydd wedi’i threfnu o’i flaen yn ennill. Ar Windows y cwestiynau cyfatebol yw math cychwyn y gwasanaeth a’i ddibyniaethau, oherwydd ni all gwasanaeth wedi’i osod i Manual rwystro proses wrth ymgychwyn. Os yw eich gofyniad yn cynnwys traffig cyn mewngofnodi, dim ond trefniant ar lefel dyfais sy’n ei fodloni: mae twmnel dyfais Always On VPN yn dilysu â thystysgrif peiriant ac yn cysylltu cyn i’r defnyddiwr fewngofnodi, ac Mae Microsoft yn dogfennu ffurfweddiad y twmnel dyfais ar wahân i dwmnel y defnyddiwr. Mae Android yn cymryd y llwybr arall, gan orfodi VPN bob amser-ar a blocio cysylltiadau hebddi o’r system yn hytrach nag o broses ap.

Rhedegwch y prawf, yna cymharwch ddwy linell amser

Ailgychwynnwch gyda cyrchfan nad yw’n costio dim os yw’n gollwng, a chofnodi’r cyflwr yn ystod y bwlch yn lle ar ei ôl. Y dull glanaf yw stiliwr amser cychwyn: uned oneshot neu dasg a drefnwyd sy’n cychwyn mor gynnar ag y mae’r llwyfan yn caniatáu, yn cofnodi’r llwybr diofyn a chyflwr y mur gwal, yn ceisio un cais ag amserlen fer ac yn ychwanegu llinell at ffeil leol. Cymharwch y cofnod hwnnw ag amser cychwyn y gwasanaeth VPN o journalctl -b -u neu log y System.

Yna rhedegwch y prawf arferol: twmnel i fyny, torrwch y cysylltiad, gwyliwch a yw traffig uniongyrchol yn cael ei flocio, adferwch. Pasio’r ail a methu’r cyntaf yw’r canlyniad arferol, ac mae’n golygu bod y gorfodi ar ochr y cleient, yn cael ei gymhwyso pan fydd y cleient yn cysylltu yn hytrach nag wrth ymgychwyn. Ar y peiriant olaf y gwnes i ei archwilio, daeth y bloc o sgript anfonydd NetworkManager: yn bresennol ac yn gywir ac yn ddi-fudd am yr eiliadau cyn i’r rhyngwyneb godi. Ysgrifennwch y ddau ganlyniad, oherwydd dim ond pan ddywedwch pa haen a oroesodd ac o ba foment y mae goroesi ailgychwyn yn golygu rhywbeth.

Caewch y bwlch heb dorri eich ffordd yn ôl

Os yw’r bloc ar goll wrth ymgychwyn, symudwch y gorfodi i lawr un haen yn lle ychwanegu ail reol cleient. Cadwch y set reolau a’i lwytho o uned a drefnwyd cyn bod y rhwydwaith yn ddefnyddiadwy, a gwnewch yn siŵr nad oes ar yr uned honno angen ymholiad DNS na mownt rhwydwaith y mae i fod i’w amddiffyn. Mae cwmpas yr un mor bwysig â’r amseru: mae rheolau sy’n cyfateb i ID defnyddiwr neu cgroup yn gadael pob daemon system y tu allan i’r bloc, ac mae set reolau sy’n trin IPv4 yn unig yn gadael IPv6 a DNS yn gyrraeddadwy.

Gadewch ffordd yn ôl i chi’ch hun. Nid oes gan beiriant sy’n blocio popeth wrth ymgychwyn ac wedyn yn methu dilysu unrhyw rwydwaith o gwbl, ac nid dileu’r bloc yw’r atgyweiriad ond trwsio’r tystlythyrau neu’r trefnydd. Cadwch weithdrefn consol lleol wedi’i dogfennu ac eithriad cul, bwriadol ar gyfer yr hyn y mae’r twmnel ei wir angen, fel cyfeiriad y gweinydd a’r datryswr a ddefnyddir cyn bod y twmnel yn bod.

Cyn ymddiried yn y trefniant, cadarnhewch bedwar peth yn eu trefn. Mae’r polisi’n cael ei storio yn rhywle y mae’r ymgychwyn yn ei ddarllen. Mae’r darllenydd hwnnw’n rhedeg cyn bod y rhyngwyneb yn ddefnyddiadwy. Mae’r bloc yn cwmpasu’r ddau deulu cyfeiriad a DNS. Gall y VPN o hyd ddilysu tra bo’r bloc yn weithredol. Pan fydd y pedwar yn dal, nid yw ailgychwyn yn newid dim.