Blokerer din sikkerhedsafbryder den app, du har udelukket fra tunnelen?

Sikkerhedsafbryderen er slået til, en app er bevidst udelukket fra tunnelen, og de to krav modsiger nu hinanden. Det ene siger, at intet må forlade enheden undtagen gennem tunnelen, det andet siger, at dette program skal gå direkte. Hver klient løser den konflikt forskelligt, og indstillingssiden forklarer sjældent, hvilken regel der vinder. Skriv politikken pr. applikation, før du stoler på en etiket.

To politikker, én maskine

En sikkerhedsafbryder er et løfte om fejl: når tunnelen ikke beskytter trafikken, stopper trafikken. Delt tunnelering er et løfte om valg: disse programmer eller destinationer bruger tunnelen, og de andre gør ikke. Det andet løfte skaber trafik, som det første skal tage stilling til. Ingen af løfterne er forkerte; de blev bare skrevet af forskellige mennesker til forskellige trusler.

Tre udfald er mulige, og kun ét af dem er det, udrulningen tilsigtede. Den udelukkede app kan forblive direkte under et udfald, hvilket respekterer opdelingen og bryder sikkerhedsafbryderen. Den kan blive blokeret sammen med alt andet, hvilket respekterer sikkerhedsafbryderen og bryder opdelingen. Eller den kan blive blokeret kun nogle gange, afhængigt af hvordan platformen vurderer reglen, efter at en grænseflade forsvinder. Det sidste tilfælde er det, der genererer sager.

Skriv applisten før reglen

List de programmer, der skal bruge tunnelen, dem der skal gå direkte, og de navne eller destinationer, der aldrig må optræde på nogen af listerne. Medtag resolveradfærd og IPv6-siden separat, fordi begge kan følge en anden politik end sidetrafik.

Regler pr. app matcher normalt en eksekverbar fil eller en pakke, ikke en profil inde i den. En browserprofil, et privat vindue og en udvidelse bærer ingen egen netværksidentitet, så de arver det, processen fik. En hjælpeproces startet af den browser arver måske slet ikke den samme regel.

Der er brug for to lister, ikke én: hvad tunnelen skal bære, og hvad der under ingen omstændigheder må rejse uden for den. En applikation, der står på begge, er en kravkonflikt snarere end en implementeringsdetalje, og den skal afklares, før klienten konfigureres.

Hvad klienten gør under et udfald

Nogle implementeringer blokerer udelukkede apps under et udfald og genskaber deres adgang ved genopkobling. Andre bevarer den direkte vej hele tiden, hvilket er konsistent med opdelingen og svagere som sikkerhedsegenskab. Låsning på platformsniveau kan helt tilsidesætte klientens eget valg pr. app. Forskellen er ikke kosmetisk, fordi den afgør, om den udelukkede app er en politikundtagelse eller et hul.

Androids altid aktive VPN med indstillingen til at blokere forbindelser uden VPN er det klareste tilfælde, fordi platformen håndhæver låsningen og ikke klienten, og en udelukket pakke blokeres sammen med alt andet, mens tunnelen er nede. En desktopklient, der anvender undtagelser pr. app i sin egen driver, lader normalt den udelukkede proces blive på den fysiske grænseflade, fordi den aldrig har ejet den proces’ trafik. Begge adfærdsformer er forsvarlige, og kun én af dem passer til et krav om, at den udelukkede app skal forblive brugbar. Spørg, hvilken komponent der håndhæver reglen, før du fortolker resultatet.

Læs adfærden for det styresystem, du har foran dig, og ikke indstillingen med samme navn andre steder. Håndhævelses-API’erne er forskellige, og et enkelt afkrydsningsfelt kan betyde strengt forskellige ting på en computer og på en telefon. Versionen betyder også noget, fordi låsekontrollen har flyttet sig mellem skærme gennem Android-udgivelser, og en undtagelsesliste på klientsiden er ikke samme kontrol som en platforms låsning.

Tre øjeblikke: tunnel oppe, tunnel nede, genopkoblet

Brug harmløse anmodninger på tre tidspunkter: mens tunnelen virker, under det udfald, du bekymrer dig om, og efter genopkobling. Et enkelt browserresultat kan ikke fastslå den udelukkede apps adfærd.

curl -sS --max-time 8 https://api.ipify.org
curl -sS --max-time 8 --interface tun0 https://api.ipify.org
dig +short example.com

Udgangsadressen viser, hvilken vej der blev taget, og den eksplicitte grænsefladetest viser, hvad der sker, når tunnelen er den eneste tilgængelige udgang. Noter det forventede resultat ved hver linje, før du kører nogen af dem, ellers bliver outputtet fortolket bagefter.

Hvis en udelukket app går offline, undersøg politikprioriteten, før du tilføjer en bred firewall-tilladelse, fordi den rettelse ødelægger den forskel, du testede. Hvis den forbliver direkte, bekræft, at det var den dokumenterede undtagelse og ikke et tilfældigt tilbagefald. Ved et strengt krav for hele enheden forkortes undtagelseslisten, indtil den kan testes manuelt.