A fydd eich switsh diogelwch yn rhwystro’r ap rydych wedi’i eithrio o’r tiwnel?

Switsh diogelwch ymlaen, ap wedi’i eithrio’n fwriadol o’r tiwnel, a’r ddwy ofyniad bellach yn gwrthddweud ei gilydd. Mae un yn dweud na all dim adael ond drwy’r tiwnel, mae’r llall yn dweud bod rhaid i’r rhaglen hon fynd yn uniongyrchol. Mae pob cleient yn datrys y gwrthdaro hwnnw’n wahanol, ac anaml y mae’r dudalen osodiadau’n esbonio pa reol sy’n ennill. Ysgrifennwch y polisi fesul cymhwysiad cyn ymddiried mewn unrhyw label.

Dau bolisi, un peiriant

Mae switsh diogelwch yn addewid am fethiant: pan nad yw’r tiwnel yn gwarchod traffig, mae’r traffig yn stopio. Mae tiwnelu hollt yn addewid am ddewis: mae’r rhaglenni neu’r cyrchfannau hyn yn defnyddio’r tiwnel, ac nid yw’r rheini. Mae’r ail addewid yn creu traffig y mae’n rhaid i’r cyntaf benderfynu arno. Nid yw’r naill addewid yn anghywir; ysgrifennwyd hwy gan wahanol bobl ar gyfer gwahanol fygythiadau.

Mae tri chanlyniad yn bosibl a dim ond un ohonynt yw’r hyn a fwriadwyd gan y defnydd. Gall yr ap a eithriwyd aros yn uniongyrchol yn ystod methiant, sy’n parchu’r hollt ac yn torri’r switsh diogelwch. Gall gael ei rwystro gyda phopeth arall, sy’n parchu’r switsh ac yn torri’r hollt. Neu gall gael ei rwystro weithiau’n unig, yn dibynnu ar sut mae’r platfform yn gwerthuso’r rheol ar ôl i ryngwyneb ddiflannu. Yr achos olaf hwnnw sy’n cynhyrchu tocynnau.

Ysgrifennwch y rhestr apiau cyn y rheol

Rhestrwch y rhaglenni sy’n rhaid iddynt ddefnyddio’r tiwnel, y rheini sy’n rhaid iddynt fynd yn uniongyrchol, a’r enwau neu’r cyrchfannau na ddylent byth ymddangos ar y naill restr na’r llall. Cynhwyswch ymddygiad y datryswr a’r ochr IPv6 ar wahân, oherwydd gall y ddau ddilyn polisi gwahanol i draffig tudalennau.

Mae rheolau fesul ap fel arfer yn cyfateb i ffeil weithredadwy neu i becyn, nid i broffil y tu mewn iddo. Nid yw proffil porwr, ffenestr breifat ac estyniad yn cario hunaniaeth rwydwaith eu hunain, felly maent yn etifeddu’r hyn a gafodd y broses. Efallai na fydd proses gynorthwyol a lansiwyd gan y porwr hwnnw’n etifeddu’r un rheol o gwbl.

Mae angen dwy restr, nid un: beth sy’n rhaid i’r tiwnel ei gario, a beth na ddylai deithio y tu allan iddo am unrhyw reswm. Mae cymhwysiad sy’n ymddangos ar y ddwy yn wrthdaro gofynion yn hytrach na manylyn gweithredu, ac mae’n rhaid ei setlo cyn ffurfweddu’r cleient.

Beth mae’r cleient yn ei wneud yn ystod methiant

Mae rhai gweithrediadau’n rhwystro apiau a eithriwyd yn ystod methiant ac yn adfer eu mynediad pan fyddant yn ailgysylltu. Mae eraill yn cadw’r llwybr uniongyrchol drwy’r amser, sy’n gyson â’r hollt ac yn wannach fel nodwedd ddiogelwch. Gall clo ar lefel platfform ddiystyru dewis fesul ap y cleient yn gyfan gwbl. Nid yw’r gwahaniaeth hwnnw’n un cosmig, oherwydd mae’n penderfynu a yw’r ap a eithriwyd yn eithriad polisi neu’n dwll.

Y VPN bob amser ymlaen yn Android gyda’r opsiwn i rwystro cysylltiadau heb VPN yw’r achos cliriaf, oherwydd y platfform sy’n gorfodi’r clo yn hytrach na’r cleient, ac mae pecyn a eithriwyd yn cael ei rwystro gyda phopeth arall tra mae’r tiwnel i lawr. Mae cleient bwrdd gwaith sy’n cymhwyso eithriadau fesul ap y tu mewn i’w yrru ei hun fel arfer yn gadael y broses a eithriwyd ar y rhyngwyneb corfforol, oherwydd ni fu’n berchen ar draffig y broses honno o’r dechrau. Mae’r ddau ymddygiad yn amddiffynadwy, a dim ond un ohonynt sy’n cyfateb i ofyniad sy’n dweud bod rhaid i’r ap a eithriwyd aros yn ddefnyddiadwy. Gofynnwch pa gydran sy’n gorfodi’r rheol cyn dehongli’r canlyniad.

Darllenwch yr ymddygiad ar gyfer y system weithredu sydd o’ch blaen yn hytrach na’r osodiad o’r un enw yn rhywle arall. Mae’r API gorfodi yn wahanol, a gall un blwch ticio olygu pethau hollol wahanol ar fwrdd gwaith ac ar ffôn. Mae’r fersiwn yn bwysig hefyd, oherwydd mae rheolaeth y clo wedi symud rhwng sgriniau ar draws datganiadau Android, ac nid yw rhestr eithrio ar ochr y cleient yr un rheolaeth â chlo platfform.

Tair adeg: tiwnel i fyny, tiwnel i lawr, ailgysylltu

Defnyddiwch geisiadau diniwed ar dair adeg: tra mae’r tiwnel yn gweithio, yn ystod y methiant sy’n bwysig i chi, ac ar ôl ailgysylltu. Ni all un canlyniad porwr sefydlu ymddygiad yr ap a eithriwyd.

curl -sS --max-time 8 https://api.ipify.org
curl -sS --max-time 8 --interface tun0 https://api.ipify.org
dig +short example.com

Mae’r cyfeiriad allan yn dangos pa lwybr a gymerwyd, ac mae’r prawf rhyngwyneb penodol yn dangos beth sy’n digwydd pan mai’r tiwnel yw’r unig allanfa sydd ar gael. Nodwch y canlyniad disgwyliedig wrth bob llinell cyn rhedeg unrhyw un ohonynt, neu bydd yr allbwn yn cael ei ddehongli ar ôl y ffaith.

Os â ap a eithriwyd all-lein, archwiliwch flaenoriaeth y polisi cyn ychwanegu caniatâd tânfur eang, oherwydd mae’r atgyweiriad hwnnw’n dinistrio’r gwahaniaeth yr oeddech yn ei brofi. Os yw’n aros yn uniongyrchol, cadarnhewch mai dyma’r eithriad a ddogfennwyd ac nid cilio damweiniol. Ar gyfer gofyniad llym ar gyfer y ddyfais gyfan, byrhewch y rhestr eithriadau nes y gellir ei phrofi â llaw.