Blokerer en kill switch trafik, før VPN-appen starter?

En kill switch dækker måske eller måske ikke vinduet før dens app starter, og forskellen afgøres af styresystemets politik snarere end af klientens marketingsside. En afkrydsningsboks for automatisk start beviser, at noget er planlagt til at starte. Den beviser ikke, at blokeringsregler findes i det øjeblik, netværket kommer op. Det er to begivenheder, og kun én af dem beskytter trafik.

Gå tjeklisten igennem i rækkefølge, fordi hvert trin indsnævrer, hvad du faktisk tester.

Hvor blokeringen egentlig kommer fra

Der findes to familier af implementering. Enten installerer platformen blokeringen, fordi den kender tunnelen, før nogen app kører, eller klienten installerer selv blokeringen, efter den er startet. Den første kan findes før login. Den anden kan ikke findes før sin proces, hvor tidligt den proces end er planlagt. Afgør, hvilken familie du regner med, før du tester noget.

På Android er altid-tilsluttet VPN kombineret med indstillingen, der blokerer forbindelser uden VPN, platformspolitik, konfigureret i systemindstillingerne og ikke kun inde i en klient. Administrerede enheder kan få det sat for dig. En klient, der blot starter ved opstart, er ikke den samme mekanisme.

Adskil vinduet fra tjenesten

Et lukket vindue er ikke bevis for, at håndhævelsen er stoppet, og et åbent vindue er ikke bevis for, at en tunnel er klar. Mange klienter adskiller grænsefladen, daemonen og bakkeapplikationen. Bakken er det, du ser; daemonen er det, der holder reglerne.

Test komponenten, ikke ikonet.

Test startintervallet sikkert

Intervallet, der skal testes, begynder ved genstart eller login og slutter, når tunnelen godkender. Baggrundsapplikationer forbinder i den periode, og opdateringskontroller er de sædvanlige syndere. Brug harmløs aktivitet og leverandørens dokumenterede procedure i stedet for at blokere din egen adgang. Gentag derefter efter en normal genopkobling, fordi en genopkoblingsvej og en koldstartvej kører forskellig kode.

En test udført, efter tunnelen allerede er oppe, beviser intet om opstart.

Læs genstartsadfærden, hvis vedholdenhed er kravet. En indstilling kan overleve i konfigurationen, mens dens håndhævelse begynder senere, og begge fakta betyder noget: den gemte politik og det øjeblik, den bliver aktiv.

Læs politikken per platform

Android eksponerer altid-tilsluttet og blokering som separate kontakter, og begge skal være slået til for beskyttelse før start. Windows har et koncept med altid-tilsluttet enhedstunnel konfigureret via politik, hvilket ikke er det samme som en klient i brugertilstand, der starter tidligt. OpenVPN Connect dokumenterer sin egen kill switch-adfærd per platform, og det dokumenterede omfang er det, du tester. Flyt ikke et indstillingsnavn fra et system til et andet og antag, at betydningen fulgte med.

En profil, der kræver en interaktiv adgangskode, har andre startafhængigheder end en maskintunnel.

Hvad der skal registreres

Skriv ned, hvilken mekanisme der er i kraft, på hvilket trin den bliver aktiv, og hvilken trafik der blev forsøgt før det trin. Registrer platformversionen, fordi denne adfærd ændrer sig mellem udgivelser og mellem administrerede og personlige konfigurationer. Bemærk, om klienten eller systemet ejer politikken, da det afgør, hvem der kan rette et hul. Test derefter igen efter enhver klient- eller OS-opdatering.

Hvis hullet betyder noget, er den holdbare løsning platformspolitik, ikke en kortere startforsinkelse.

Det er svaret på det oprindelige spørgsmål, formuleret som en betingelse: en kill switch beskytter trafik, før appen starter, kun når blokeringen installeres af noget, der findes, før appen gør.