Διακόπτης ασφαλείας VPN: ποια κίνηση μπλοκάρει και πότε

Δύο λειτουργίες περιγράφονται με την ίδια λέξη και κάνουν διαφορετική δουλειά. Η αυτόματη επανασύνδεση προσπαθεί να φέρει πίσω το τούνελ, και μπορεί να τα καταφέρει μέσα σε ένα δευτερόλεπτο, ενώ τα αιτήματα αποτυγχάνουν στο μεταξύ. Ο διακόπτης αποφασίζει τι γίνεται με την κίνηση σε αυτό το διάστημα. Το να διαβάζει κανείς τον πελάτη σαν να ήταν τα δύο μία ρύθμιση είναι ο τρόπος με τον οποίο οι άνθρωποι καταλήγουν να εμπιστεύονται ένα εικονίδιο αντί για μια πολιτική.

Το μπλοκάρισμα και η επανασύνδεση είναι ξεχωριστές αποφάσεις

Ένας πελάτης μπλοκάρει μόνο όταν η απώλεια είναι απρόσμενη, έπειτα επανασυνδέεται και αίρει το μπλοκάρισμα. Ένας άλλος κρατά μπλοκάρισμα σε επίπεδο συστήματος ώσπου κάποιος να αλλάξει μια ρύθμιση με το χέρι, και ένας τρίτος θεωρεί την σκόπιμη αποσύνδεση άδεια για την επαναφορά της συνήθους πρόσβασης. Αυτές είναι τρεις διαφορετικές συμπεριφορές, και η τεκμηρίωση του κατασκευαστή λέει ποια εφαρμόζει η δική σας έκδοση.

Η εισαγωγή ενός προφίλ δεν αποφασίζει τίποτα σε αυτό το ζήτημα. Το ίδιο προφίλ διακομιστή φορτώνεται σε δύο πελάτες με αντίθετη συμπεριφορά μπλοκαρίσματος, επειδή το προφίλ μεταφέρει ρυθμίσεις και όχι υπόσχεση. Γι' αυτό και ένα πλαίσιο ελέγχου στην επιφάνεια εργασίας και ένας διακόπτης στο κινητό με παρόμοιες ετικέτες μπορούν να εφαρμόζουν διαφορετικούς κανόνες. Διαβάστε την περιγραφή δίπλα στο στοιχείο ελέγχου της πλατφόρμας σας και μετά δοκιμάστε τι κάνει.

Το ίδιο προφίλ συμπεριφέρεται διαφορετικά σε δύο πελάτες

Οι ρυθμίσεις της εφαρμογής OpenVPN Connect περιγράφουν μια λειτουργία τούνελ που συγκρατεί τη συνήθη κίνηση μόνο όσο ο πελάτης αναφέρει κατάσταση παύσης ή επανασύνδεσης, κάτι στενότερο από μια γενική υπόσχεση για κάθε συμβάν σε κάθε πλατφόρμα. Διαβάστε τις καταγεγραμμένες καταστάσεις και όχι το όνομα του προϊόντος. Μια περιγραφή γραμμένη για μία έκδοση πελάτη δεν μεταφέρεται στον πελάτη άλλου κατασκευαστή.

Το Android δείχνει την ίδια λέξη σε δύο στοιχεία ελέγχου, επειδή το πάντα ενεργό VPN και το μπλοκάρισμα συνδέσεων χωρίς VPN τεκμηριώνονται χωριστά. Ένας πελάτης υπολογιστή με παρόμοιο πλαίσιο ελέγχου μπορεί να εφαρμόζει κάτι στενότερο ή ευρύτερο από οποιοδήποτε από τα δύο. Θεωρήστε μια κοινή ετικέτα σε δύο μενού σύμπτωση μέχρι να διαβαστούν και οι δύο περιγραφές. Οι διαχειριζόμενες συσκευές προσθέτουν τρίτο επίπεδο, επειδή ένα προφίλ συσκευής μπορεί να επιβάλει ρύθμιση που ο χρήστης δεν βλέπει ούτε μπορεί να παρακάμψει.

Ρυθμίσεις πλατφόρμας που μοιάζουν δεν είναι ισοδύναμες

Συγκρίνετε το στοιχείο ελέγχου που βλέπετε με την πολιτική που ισχύει πραγματικά. Σε μια διαχειριζόμενη συσκευή ο ορατός διακόπτης μπορεί να είναι γκριζαρισμένος ή ενεργοποιημένος, ενώ ένα προφίλ ανώτερου επιπέδου επιβάλλει το αντίθετο. Ζητήστε την ισχύουσα πολιτική και όχι την τοπική, και πάρτε την απάντηση γραπτώς.

Καταγράψτε τι ισχυρίζεται κάθε επίπεδο πριν δοκιμάσετε οτιδήποτε, επειδή τα δύο συχνά διαφωνούν και η διαφωνία χάνεται εύκολα μόλις αρχίσουν οι δοκιμές. Μια συσκευή που μπλοκάρει σωστά στη δοκιμή μπορεί να μπλοκάρει για λόγο που κανείς δεν τεκμηρίωσε.

Εκτελέστε ένα συμβάν τη φορά και καταγράψτε τον κωδικό

Δοκιμάστε ένα συμβάν ανά εκτέλεση, με ένα ακίνδυνο αίτημα, και κάντε κάθε προσπάθεια νέο αίτημα αντί για σελίδα που μπορεί να είναι ήδη στην προσωρινή μνήμη. Οι εντολές παρακάτω κατεβάζουν το τούνελ, ζητούν μια σελίδα και δείχνουν αν επέστρεψε η διεπαφή.

ip link set tun0 down
curl -s -o /dev/null -w "%{http_code}\n" --max-time 5 https://example.com
ip -brief address show tun0

Ο πίνακας αντιστοιχίζει κάθε ενέργεια με την παρατήρηση που μετράει και με το στοιχείο που αξίζει να κρατηθεί. Ένα αίτημα που αποτυγχάνει εντός του χρονικού ορίου σας λέει ότι το μπλοκάρισμα ενεργοποιήθηκε· ένα αίτημα που περνά σας λέει ότι η κίνηση βρήκε άλλη διαδρομή, η οποία μπορεί να είναι εξαιρούμενη διαδρομή και όχι απενεργοποιημένο μπλοκάρισμα. Επαναλάβετε όλο το σύνολο μετά από σημαντική ενημέρωση λογισμικού ή αλλαγή πολιτικής δρομολόγησης, επειδή οποιοδήποτε από τα δύο μπορεί να αλλάξει τον κλάδο χωρίς να κουνηθεί καμία ορατή ρύθμιση. Αυτό που θέλετε στο τέλος είναι προβλέψιμη συμπεριφορά αποτυχίας, όχι ένα καθησυχαστικό εικονίδιο.

Εξαιρέσεις, πύλες επισκεπτών και τι δεν μπορεί να κάνει ένα μπλοκάρισμα

Η πρόσβαση στο τοπικό δίκτυο είναι η συνήθης εξαίρεση, και αλλάζει το εύρος της υπόσχεσης. Ένας πελάτης μπορεί να φτάσει εκτυπωτή στο ίδιο υποδίκτυο ενώ μπλοκάρει όλα τα άλλα, κάτι λογικό στο σπίτι και αμφίβολο σε δίκτυο επισκεπτών. Αποφασίστε αν θέλετε αυτή την εξαίρεση πριν ένα περιστατικό την ανακαλύψει για εσάς.

Ένα αυστηρό μπλοκάρισμα κάνει επίσης δύσκολη τη σύνδεση στην πύλη επισκεπτών, επειδή η πύλη είναι ακριβώς η άμεση κίνηση που το μπλοκάρισμα υπάρχει για να σταματά. Μάθετε τον υποστηριζόμενο τρόπο εξουσιοδότησης του δικτύου και μετά επαναφέρετε την πολιτική σκόπιμα αντί να σβήνετε στοιχεία ελέγχου ώσπου να φορτώσει μια σελίδα. Κρατήστε την απάντηση του επιλυτή και τον πίνακα δρομολόγησης στην ίδια σημείωση, όπως παρακάτω. Αυτό που δεν μπορεί να κάνει ένας διακόπτης είναι να κάνει την υπηρεσία ανώνυμη, επειδή το μπλοκάρισμα κίνησης έξω από το τούνελ δεν λέει τίποτα για το τι συμβαίνει μέσα σε αυτό.

resolvectl query example.com
ss -tunp | grep -v tun0