Blockiert ein Kill Switch den Datenverkehr, bevor die VPN-App startet?

Ein Kill Switch deckt das Zeitfenster vor dem Start seiner App möglicherweise ab oder auch nicht, und den Unterschied entscheidet die Richtlinie des Betriebssystems, nicht die Marketingseite des Clients. Ein Kontrollkästchen für den Autostart beweist, dass etwas zum Starten eingeplant ist. Es beweist nicht, dass Sperrregeln in dem Moment existieren, in dem das Netzwerk hochkommt. Das sind zwei Ereignisse, und nur eines davon schützt den Datenverkehr.

Arbeiten Sie die Checkliste der Reihe nach ab, denn jeder Schritt verengt, was Sie tatsächlich testen.

Woher die Sperre wirklich kommt

Es gibt zwei Familien von Umsetzungen. Entweder richtet die Plattform die Sperre ein, weil sie den Tunnel kennt, bevor irgendeine App läuft, oder der Client richtet die Sperre selbst ein, nachdem er gestartet ist. Die erste kann vor der Anmeldung existieren. Die zweite kann nicht vor ihrem Prozess existieren, so früh dieser Prozess auch eingeplant ist. Stellen Sie fest, auf welche Familie Sie sich verlassen, bevor Sie irgendetwas testen.

Unter Android ist ein dauerhaft aktives VPN in Kombination mit der Einstellung, Verbindungen ohne VPN zu blockieren, Plattformrichtlinie, die in den Systemeinstellungen und nicht nur im Client konfiguriert wird. Auf verwalteten Geräten kann sie für Sie gesetzt sein. Ein Client, der lediglich beim Start des Systems hochfährt, ist nicht derselbe Mechanismus.

Trennen Sie das Zeitfenster vom Dienst

Ein geschlossenes Zeitfenster ist kein Beweis dafür, dass die Durchsetzung aufgehört hat, und ein offenes Zeitfenster ist kein Beweis dafür, dass ein Tunnel bereit ist. Viele Clients trennen die Oberfläche, den Daemon und die Tray-Anwendung. Das Tray ist das, was Sie sehen; der Daemon ist das, was die Regeln hält.

Testen Sie die Komponente, nicht das Symbol.

Testen Sie das Startintervall sicher

Das zu testende Intervall beginnt beim Neustart oder bei der Anmeldung und endet, wenn der Tunnel sich authentifiziert. Hintergrundanwendungen verbinden sich in diesem Zeitraum, und Update-Prüfungen sind die üblichen Störer. Verwenden Sie harmlose Aktivität und das dokumentierte Verfahren des Anbieters, statt Ihren eigenen Zugang zu blockieren. Wiederholen Sie es dann nach einer normalen Neuverbindung, denn ein Neuverbindungspfad und ein Kaltstartpfad führen unterschiedlichen Code aus.

Ein Test, der durchgeführt wird, nachdem der Tunnel bereits steht, beweist nichts über den Start.

Lesen Sie das Neustartverhalten, wenn Persistenz die Anforderung ist. Eine Einstellung kann in der Konfiguration überleben, während ihre Durchsetzung später beginnt, und beide Fakten zählen: die gespeicherte Richtlinie und der Moment, in dem sie aktiv wird.

Lesen Sie die Richtlinie je Plattform

Android zeigt dauerhaft aktiv und Blockieren als getrennte Schalter, und beide müssen eingeschaltet sein, damit vor dem Start geschützt wird. Windows kennt ein über Richtlinie konfiguriertes Konzept eines dauerhaft aktiven Gerätetunnels, das nicht dasselbe ist wie ein früh startender Client im Benutzermodus. OpenVPN Connect dokumentiert sein eigenes Kill-Switch-Verhalten je Plattform, und der dokumentierte Umfang ist das, was Sie testen. Übernehmen Sie keinen Einstellungsnamen von einem System ins andere und nehmen Sie nicht an, dass die Bedeutung mitgereist ist.

Ein Profil, das ein interaktives Passwort verlangt, hat andere Startabhängigkeiten als ein Maschinentunnel.

Was zu protokollieren ist

Notieren Sie, welcher Mechanismus gilt, in welcher Phase er aktiv wird und welcher Datenverkehr vor dieser Phase versucht wurde. Halten Sie die Plattformversion fest, denn dieses Verhalten ändert sich zwischen Releases und zwischen verwalteten und persönlichen Konfigurationen. Vermerken Sie, ob der Client oder das System die Richtlinie besitzt, denn das entscheidet, wer eine Lücke beheben kann. Testen Sie danach erneut nach jedem Client- oder OS-Update.

Wenn die Lücke wichtig ist, ist die dauerhafte Lösung eine Plattformrichtlinie und keine kürzere Startverzögerung.

Das ist die Antwort auf die ursprüngliche Frage, als Bedingung formuliert: Ein Kill Switch schützt den Datenverkehr vor dem Start der App nur dann, wenn die Sperre von etwas eingerichtet wird, das vor der App existiert.