Ĉu via haltigilo blokos la aplikaĵon, kiun vi ekskludis el la tunelo?

Haltigilo ŝaltita, aplikaĵo intence ekskludita el la tunelo, kaj la du postuloj nun kontraŭdiras unu la alian. Unu diras, ke nenio rajtas eliri krom per la tunelo, la alia diras, ke ĉi tiu programo devas iri rekte. Ĉiu kliento solvas tiun konflikton alie, kaj la agorda paĝo malofte klarigas, kiu regulo venkas. Skribu la politikon por ĉiu aplikaĵo antaŭ ol fidi ajnan etikedon.

Du politikoj, unu maŝino

Haltigilo estas promeso pri malsukceso: kiam la tunelo ne protektas trafikon, la trafiko haltas. Dividita tunelado estas promeso pri elekto: ĉi tiuj programoj aŭ celoj uzas la tunelon, kaj tiuj ne. La dua promeso kreas trafikon, pri kiu la unua devas decidi. Neniu promeso malpravas; ili simple estis verkitaj de malsamaj homoj por malsamaj minacoj.

Tri rezultoj eblas kaj nur unu el ili estas tio, kion la starigo intencis. La ekskludita aplikaĵo povas resti rekta dum paneo, kio respektas la dividon kaj rompas la haltigilon. Ĝi povas esti blokita kun ĉio alia, kio respektas la haltigilon kaj rompas la dividon. Aŭ ĝi povas esti blokita nur foje, laŭ tio, kiel la platformo taksas la regulon post kiam interfaco malaperas. Tiu lasta kazo estas la kaŭzo de subtenpetoj.

Skribu la liston de aplikaĵoj antaŭ la regulo

Listigu la programojn, kiuj devas uzi la tunelon, tiujn, kiuj devas iri rekte, kaj la nomojn aŭ celojn, kiuj neniam rajtas aperi en iu ajn listo. Aldonu aparte la konduton de la solvilo kaj la flankon IPv6, ĉar ambaŭ povas sekvi alian politikon ol paĝa trafiko.

Reguloj por unuopa aplikaĵo kutime kongruas kun plenumebla dosiero aŭ pakaĵo, ne kun profilo en ĝi. Retumila profilo, privata fenestro kaj etendaĵo ne portas propran retan identecon, do ili heredas tion, kion ricevis la procezo. Helpa procezo lanĉita de tiu retumilo eble tute ne heredas la saman regulon.

Necesas du listoj, ne unu: kion la tunelo devas porti, kaj kio nenial rajtas vojaĝi ekster ĝi. Aplikaĵo, kiu aperas en ambaŭ, estas konflikto de postuloj kaj ne detalo de efektivigo, kaj ĝi devas esti solvita antaŭ ol agordi la klienton.

Kion la kliento faras dum paneo

Kelkaj efektivigoj blokas ekskluditajn aplikaĵojn dum paneo kaj restarigas ilian aliron ĉe rekonekto. Aliaj konservas la rektan vojon la tutan tempon, kio kongruas kun la divido kaj estas pli malforta kiel sekureca eco. Ŝloso je platforma nivelo povas tute superregi la elekton de la kliento por unuopa aplikaĵo. Tiu diferenco ne estas kosmetika, ĉar ĝi decidas, ĉu la ekskludita aplikaĵo estas politika escepto aŭ truo.

La ĉiama VPN de Android kun la opcio bloki konektojn sen VPN estas la plej klara kazo, ĉar la platformo plenumas la ŝlosadon kaj ne la kliento, kaj ekskludita pakaĵo estas blokita kun ĉio alia dum la tunelo estas malŝaltita. Labortabla kliento, kiu aplikas esceptojn por unuopaj aplikaĵoj en sia propra pelilo, kutime lasas la ekskluditan procezon sur la fizika interfaco, ĉar ĝi neniam posedis la trafikon de tiu procezo. Ambaŭ kondutoj estas defendeblaj kaj nur unu el ili kongruas kun postulo, ke la ekskludita aplikaĵo restu uzebla. Demandu, kiu komponanto plenumas la regulon, antaŭ ol interpreti la rezulton.

Legu la konduton por la operaciumo antaŭ vi, ne la agordon kun la sama nomo aliloke. La API-oj de plenumado malsamas, kaj unu markobutono povas signifi strikte malsamajn aferojn sur labortablo kaj sur telefono. Ankaŭ la versio gravas, ĉar la ŝlosregilo moviĝis inter ekranoj tra Android-eldonoj, kaj escepta listo ĉe la klienta flanko ne estas la sama regilo kiel platforma ŝlosado.

Tri momentoj: tunelo supre, tunelo malsupre, rekonekto

Uzu sendanĝerajn petojn en tri momentoj: dum la tunelo funkcias, dum la paneo, kiu gravas al vi, kaj post rekonekto. Unu sola retumila rezulto ne povas establi la konduton de la ekskludita aplikaĵo.

curl -sS --max-time 8 https://api.ipify.org
curl -sS --max-time 8 --interface tun0 https://api.ipify.org
dig +short example.com

La elira adreso montras, kiun vojon oni prenis, kaj la eksplicita interfaca testo montras, kio okazas, kiam la tunelo estas la sola disponebla eliro. Notu la atendatan rezulton apud ĉiu linio antaŭ ol ruli iun ajn el ili, alie la eligon oni interpretos poste.

Se ekskludita aplikaĵo fariĝas senrete, kontrolu la prioritaton de politikoj antaŭ ol aldoni larĝan permeson en fajroŝirmilo, ĉar tiu riparego detruas la distingon, kiun vi testis. Se ĝi restas rekta, konfirmu, ke tio estis la dokumentita escepto kaj ne hazarda retroiro. Por severa postulo pri la tuta aparato, mallongigu la esceptan liston ĝis ĝi estos testeble per mano.