Kas VPN rikub pere seadme lapsevanema kontrolli?
Osa reegleid elab marsruudil ja osa kontol. Tehke algmõõtmine, lisage tunnel ja võrrelge, kus iga filter tegelikult toimib.
Lapsevanema kontroll ei ole üks toode. Reegel võib elada ruuteril, DNS-teenuses, operatsioonisüsteemi kontol, kindlas brauseris või igas rakenduses. VPN muudab seda, mida võrgu marsruut näeb, ja ei muuda midagi konto tasandi ajalimiidis. Tehke samad kontrollid enne tunneli lisamist ja pärast seda, ning jaotus muutub nähtavaks, mitte vaidlusaluseks.
Kirjutage üles, milline reegel kus elab
Alustage inventuurist: seade, konto, brauser ja rakendus, seejärel mehhanism, mis iga nõuet jõustab. Ajalimiidid asuvad tavaliselt platvormi kontol. Paigaldus- ja ostupiirangud asuvad samuti seal. Sisu filtreerimine on see mitmetähenduslik, sest see võib olla ruuteri reegel, DNS-vastus, brauseri poliitika või rakenduse tasandi funktsioon. Igaüks neist käitub liikluse kapseldamisel erinevalt.
| Mechanism | Where it operates | What a tunnel changes |
|---|---|---|
| Router or DNS filter | The network path or the resolver | Hides destinations and queries inside the tunnel |
| OS account limits | The device and the signed-in account | Nothing about the internet exit |
| Browser policy | A specific browser under a managed account | Depends on whether that browser uses the tunnel |
| App-level restriction | The application itself | Usually independent of routing |
Enne muudatust tehtud inventuur on ainus viis eristada regressiooni millestki, mis ei töötanud kunagi.
Tehke algmõõtmine enne, kui midagi paigaldate
Kirjutage üles, milline resolver vastab, millise tee võtab tavaline sihtkoht ja kas teadaolev blokeeritud leht on blokeeritud. Seejärel korrake samu kolme tähelepanekut samas järjekorras samas seadmes.
resolvectl status | head -20
ip route get 203.0.113.10
dig +short example.comResolveri väljund näitab, kas seade kasutab ruuteri DNS-i või seadmele seadistatud privaatset resolverit. See üks detail selgitab enamikku üllatusi, sest oma krüpteeritud resolverit kasutav seade ei konsulteeri koduse filtriga üldse. Hoidke leibkonna tegelik nõue lihtsas keeles iga tulemuse kõrval. «Ühtegi sotsiaalmeediat pärast üheksat» ja «see ruuter blokeerib domeenide loendi» on erinevad nõuded erinevate omanikega ning tunnel mõjutab neist ainult ühte.
Korrake samu kontrolle tunneliga üles
Pärast tunneli ühendamist korrake resolveri ja tee kontrolle. Kui resolver vahetus privaatse vastu, ei ole ruuteri filtreerimine enam marsruudil, kuigi seade on endiselt koduvõrgus.
resolvectl status | head -20
ip route get 203.0.113.10
curl -sS -o /dev/null -w '%{http_code}\n' https://example.comTee, mis nüüd läbib tunnelit, selgitab kaotatud ruuteri filtreerimist, vihjamata, et konto piirangud lakkasid töötamast. Kontrollige konto piirangut eraldi, lugedes seda platvormi enda seadetest, selle asemel et tuletada seda blokeeritud lehelt. Brauseri tulemused nõuavad sama hoolt. Filter, mis kehtib ainult ühes brauseris sisse logitud lapse kontole, ei ütle midagi teise brauseri ega selle väliselt avatud töölauarakenduse kohta.
Lahendage konfliktid, mitte ärge lülitage asju välja
Kaks toodet, mis mõlemad tahavad omada seadme võrgulaiendit, võivad sattuda konflikti, ja tavaline sümptom on, et üks neist keeldub ühendumast. Kaitse eemaldamine, et tunnel töötaks, on vale suund. Lugege mõlema tarnija ühilduvusmärkusi ja valige lahendus, mis säilitab nõude. Mõnikord tähendab see filtrite teisele kihile liigutamist, näiteks hallatavale seadmeprofiilile, selle asemel et käivitada kaks rakendust, mis võitlevad sama konksu pärast.
Kui seaduslik kooli- või tööressurss on blokeeritud, andke leibkonna administraatorile dokumenteeritud kinnitusrada. Põhjuse ja ülevaatamiskuupäevaga erand on hooldatav; hunnik improvisatsioonilisi võrgumuudatusi ei ole.
Hoidke register väike ja ajakohane
Ühest leheküljest piisab: seadmed, kontod, milline mehhanism iga reegli jõustab ja viimase kontrolli kuupäev. Korrake kontrolle pärast suurt rakenduse uuendust, sest võrgulaiendid ja brauseri poliitikad liiguvad versioonide vahel.
Kirjutage register inimesele, kes seda poole aasta pärast silub, ja see võite olla teie, kui olete iga detaili unustanud. Nimetage mehhanisme, mitte tooteid, ja märkmed jäävad mõistetavaks ka pärast nimevahetust.