VPN getrennt, Internet weiterhin blockiert: Schalter oder veraltete Regel?

Der Tunnel schließt, der Browser stoppt, und jedes andere Gerät im selben Wi-Fi funktioniert weiter, was den Router ausschließt. Dieses Muster hat drei plausible Verursacher: ein Kill Switch, dem befohlen wurde zu blockieren, ein Zustand, den ein entfernter Client hinterließ, und ein Resolver oder eine Route, die nie wiederhergestellt wurden. Aus dem Browserfenster sehen sie identisch aus und brauchen unterschiedliche Reparaturen. Entscheiden Sie, welchen Fall Sie haben, bevor Sie einen Netzwerk-Reset ausführen.

Zwei sehr verschiedene blockierte Verbindungen

Eine absichtliche Sperre ist eine Funktion: Solange kein Tunnel aktiv ist, verwirft der Client Datenverkehr, damit nichts außerhalb des geschützten Weges abfließt. Eine versehentliche Sperre ist eine übrig gebliebene Regel, Geräte- oder Resolver-Einstellung, die den Austritt des Clients überlebt hat. Die eine repariert man durch Verbinden oder absichtliches Abschalten der Richtlinie, die andere durch Aufräumen des Zurückgelassenen.

Der Unterschied zeigt sich im Fehler, nicht im Browser. Eine absichtliche Sperre erzeugt meist eine sofortige Ablehnung oder ein stilles Hängen, während ein zurückgebliebener Resolver einen Namensauflösungsfehler erzeugt, der selbst dann bleibt, wenn ein Ping an eine wörtliche Adresse funktioniert. Keines davon ist dasselbe wie eine defekte Wi-Fi-Verbindung, die auch die anderen Geräte treffen würde. Ordnen Sie die Prüfungen nach diesem Unterschied: zuerst eine wörtliche Adresse, dann ein Name.

Was der Client beim Trennen versprach

Lesen Sie die eigenen Einstellungen des Clients, um die Bedeutung von Trennen zu verstehen, denn viele Produkte unterscheiden eine Pause von einem vollen Stopp. Eine Pause hält die Sperre planmäßig an Ort und Stelle, während ein Stopp sie entfernen kann. Manche mobilen Plattformen drücken dieselbe Idee als Immer-an-Regel aus, die Datenverkehr blockiert, wann immer kein VPN verbunden ist.

Wo die Organisation Schutz verlangt, ist die Reparatur das erneute Verbinden des richtigen Profils und nicht das Umgehen der Sperre. Prüfen Sie, ob der Servername noch aufgelöst wird und ob der Endpunkt über die Ausnahmen erreichbar ist, die der Rollout dokumentiert, denn ein fehlgeschlagenes Wiederverbinden sieht genau wie eine dauerhafte Sperre aus.

Veralteter Zustand nach einer unterbrochenen Entfernung

Eine unterbrochene Deinstallation oder ein Paket, das bei aktivem Tunnel entfernt wurde, kann eine Firewall-Kette, eine Routing-Regel, einen Resolver-Eintrag oder einen virtuellen Adapter zurücklassen. Der Prozess ist fort, die Wirkungen nicht.

Beginnen Sie mit dem unterstützten Bereinigungs- und Reparaturweg der Anwendung und stellen Sie dann vor dem Löschen fest, welche Komponente jedes verbliebene Objekt installiert hat. Die Host-Firewall abzuschalten stellt das Surfen wieder her und entfernt zugleich fremden Schutz. Ein globaler Netzwerk-Reset ist schlimmer, weil er funktionierende Büro- oder Wi-Fi-Einstellungen verwirft, ohne die Ursache zu benennen.

Sind zwei Clients installiert, entscheiden Sie, welcher die Richtlinie besitzt. Zwei Besitzer sind der Grund, warum eine Sperre die Entfernung beider überlebt.

Prüfen Sie den getrennten Zustand, nicht nur das Surfen

Dass Surfen wieder funktioniert, ist ein schwacher Abnahmetest. Prüfen Sie, dass die geforderte Richtlinie intakt ist und dass nichts anderes still geschwächt wurde.

ip rule show
ip route show table all | grep -v '^default'
resolvectl status | head -n 20
sudo nft list ruleset | grep -A 6 'chain output'

Vergleichen Sie Routing-Regeln, Resolver und Firewall-Richtlinie damit, wie eine saubere getrennte Maschine aussieht. Verbinden und trennen Sie dann über den normalen Ablauf und wiederholen Sie die Messungen, damit der erwartete Zustand aufgeschrieben statt erinnert wird.

Bewahren Sie dieses Vorher-Nachher-Paar im Ticket auf. Die nächste Person, die einen blockierten Browser sieht, braucht es mehr als eine weitere Meinung dazu, welcher Client der beste ist.