VPN-kill switch: hvilken trafik den blokerer, og hvornår

To funktioner beskrives med det samme ord og løser forskellige opgaver. Automatisk genopkobling forsøger at hente tunnelen tilbage, og det kan lykkes inden for et sekund, mens forespørgsler fejler i mellemtiden. En kill switch afgør, hvad der sker med trafikken i det tidsrum. At læse en klient, som om de to var én indstilling, er hvordan folk ender med at stole på et ikon i stedet for en politik.

Blokering og genopkobling er to separate beslutninger

Én klient blokerer kun, når tabet er uventet, og genopkobler derefter og ophæver blokeringen. En anden holder en blokering på systemniveau, indtil nogen ændrer en indstilling manuelt, og en tredje betragter en bevidst afbrydelse som tilladelse til at genskabe normal adgang. Det er tre forskellige adfærdsmønstre, og leverandørens dokumentation siger, hvilket din version implementerer.

Import af en profil afgør intet i det spørgsmål. Den samme serverprofil indlæses i to klienter med modsat blokeringsadfærd, fordi profilen bærer indstillinger og ikke et løfte. Derfor kan en afkrydsningsboks på skrivebordet og en kontakt på mobilen med lignende etiketter også implementere forskellige regler. Læs beskrivelsen ved kontrolelementet på din platform, og test derefter, hvad det gør.

Den samme profil opfører sig forskelligt i to klienter

Indstillingerne i OpenVPN Connect-appen beskriver en tunneltilstand, der kun holder normal trafik tilbage, mens klienten rapporterer en pauset eller genopkoblende tilstand, hvilket er snævrere end et generelt løfte om hver hændelse på hver platform. Læs de anførte tilstande i stedet for produktnavnet. En beskrivelse skrevet til én klientversion overføres ikke til en anden leverandørs klient.

Android viser det samme ord for to kontrolelementer, fordi altid-on VPN og blokering af forbindelser uden VPN dokumenteres hver for sig. En skrivebordsklient med en lignende afkrydsningsboks kan implementere noget snævrere eller bredere end nogen af dem. Betragt en fælles etiket i to menuer som et tilfælde, indtil begge beskrivelser er læst. Administrerede enheder tilføjer et tredje lag, fordi en enhedsprofil kan gennemtvinge en indstilling, som brugeren ikke kan se eller tilsidesætte.

Platformsindstillinger, der ligner hinanden, er ikke ensbetydende

Sammenlign det kontrolelement, du kan se, med den politik, der faktisk gælder. På en administreret enhed kan den synlige kontakt være grå, eller den kan være slået til, mens en profil på højere niveau gennemtvinger det modsatte. Spørg efter den effektive politik i stedet for den lokale, og få svaret skriftligt.

Skriv ned, hvad hvert lag påstår, før du tester noget, fordi de to ofte er uenige, og uenigheden er let at tabe, når testene begynder. En enhed, der blokerer korrekt under en test, blokerer måske af en grund, som ingen har dokumenteret.

Kør én hændelse ad gangen, og notér koden

Test én hændelse ad gangen med en uskadelig forespørgsel, og gør hvert forsøg til en ny forespørgsel i stedet for en side, der måske allerede ligger i cachen. Kommandoerne nedenfor tager tunnelen ned, beder om en side og viser, om grænsefladen kom tilbage.

ip link set tun0 down
curl -s -o /dev/null -w "%{http_code}\n" --max-time 5 https://example.com
ip -brief address show tun0

Tabellen knytter hver handling til den observation, der betyder noget, og til det bevis, der er værd at gemme. En forespørgsel, der fejler inden for tidsgrænsen, fortæller, at blokeringen trådte i kraft; en forespørgsel, der lykkes, fortæller, at trafikken fandt en anden vej, som kan være en udelukket rute og ikke en deaktiveret blokering. Gentag hele sættet efter en væsentlig softwareopdatering eller ændring af rutepolitikken, fordi begge kan ændre grenen, uden at nogen synlig indstilling flytter sig. Det, du vil have til sidst, er forudsigelig fejladfærd, ikke et beroligende ikon.

Undtagelser, gæsteportaler og hvad en blokering ikke kan

Adgang til det lokale netværk er den almindelige undtagelse, og den ændrer løftets rækkevidde. En klient kan nå en printer på samme undernet, mens alt andet blokeres, hvilket er rimeligt derhjemme og tvivlsomt på et gæstenetværk. Beslut, om du vil have den undtagelse, før en hændelse opdager den for dig.

En streng blokering gør også login på en gæsteportal besværligt, fordi portalen netop er den direkte trafik, som blokeringen findes for at stoppe. Lær den understøttede måde at autorisere netværket på, og genskab derefter politikken bevidst i stedet for at slå kontrolelementer fra, indtil en side indlæses. Hold resolverens svar og rutetabellen i samme note, som nedenfor. Det, en kill switch ikke kan, er at gøre tjenesten anonym, fordi blokering af trafik uden for tunnelen ikke siger noget om, hvad der sker indeni.

resolvectl query example.com
ss -tunp | grep -v tun0