VPN-i turvaklõps: millist liiklust see blokeerib ja millal
Taasühendus taastab tunnel; turvaklõps otsustab, mis juhtub seni, kui seda pole. Testi eraldi katkestust, käsitsi lahtiühendamist, rakendusest väljumist ja võrguvahetust.
Kahte funktsiooni kirjeldatakse sama sõnaga ja need teevad eri tööd. Automaatne taasühendus püüab tunneli tagasi tuua ja võib sellega õnnestuda sekundi jooksul, samal ajal kui päringud selles vahemikus ebaõnnestuvad. Turvaklõps otsustab, mis juhtub liiklusega selle vahemiku jooksul. Kliendi lugemine nii, nagu oleks need kaks üks säte, viib selleni, et inimesed usaldavad ikooni poliitika asemel.
Blokeerimine ja taasühendamine on eraldi otsused
Üks klient blokeerib ainult siis, kui katkestus on ootamatu, seejärel ühendub uuesti ja tühistab blokeeringu. Teine hoiab süsteemitasandi blokeeringut, kuni keegi muudab sätet käsitsi, ja kolmas käsitleb tahtlikku lahtiühendamist loana tavapärase juurdepääsu taastamiseks. Need on kolm erinevat käitumist ja tarnija dokumentatsioon ütleb, millist sinu versioon rakendab.
Profiili importimine ei otsusta seda küsimust. Sama serveriprofiil laaditakse kahte vastandliku blokeerimiskäitumisega klienti, sest profiil kannab sätteid, mitte lubadust. Seetõttu võivad töölaua märkeruut ja sarnase sildiga mobiililüliti rakendada erinevaid reegleid. Loe platvormil oleva juhtelemendi juures olevat kirjeldust ja seejärel testi, mida see teeb.
Sama profiil käitub kahes kliendis erinevalt
OpenVPN Connecti rakenduse sätted kirjeldavad tunnelirežiimi, mis hoiab tavalist liiklust kinni ainult seni, kui klient teatab peatatud või taasühenduvast olekust, mis on kitsam kui üldine lubadus iga sündmuse kohta igal platvormil. Loe loetletud olekuid, mitte tootenime. Ühe kliendiversiooni jaoks kirjutatud kirjeldus ei kandu teise tarnija kliendile üle.
Android näitab sama sõna kahe juhtelemendi puhul, sest alati sisse lülitatud VPN ja ilma VPN-ita ühenduste blokeerimine on dokumenteeritud eraldi. Sarnaselt nimetatud märkeruuduga töölauaklient võib rakendada midagi kitsamat või laiemat kui kumbki neist. Käsitle kahes menüüs korduvat silti juhusena, kuni mõlemad kirjeldused on loetud. Hallatavad seadmed lisavad kolmanda kihi, sest seadmeprofiil võib kehtestada sätte, mida kasutaja ei näe ega saa tühistada.
Sarnased platvormisätted ei ole samaväärsed
Võrdle juhtelementi, mida näed, poliitikaga, mis tegelikult kehtib. Hallataval seadmel võib nähtav lüliti olla hall või sisse lülitatud, samal ajal kui kõrgema tasandi profiil sunnib vastupidist. Küsi kehtivat, mitte kohalikku poliitikat, ja saa vastus kirjalikult.
Kirjuta üles, mida iga kiht väidab, enne kui midagi testid, sest need kaks lähevad sageli vastuollu ja see vastuolu on lihtne kaotada, kui testid algavad. Seade, mis testi ajal õigesti blokeerib, võib blokeerida põhjusel, mida keegi ei dokumenteerinud.
Käivita üks sündmus korraga ja kirjuta kood üles
Testi ühte sündmust korraga, kahjutu päringuga, ja tee igast katsest uus päring, mitte leht, mis võib juba vahemällu olla salvestatud. Allolevad käsud võtavad tunneli maha, küsivad lehte ja näitavad, kas liides tuli tagasi.
ip link set tun0 down
curl -s -o /dev/null -w "%{http_code}\n" --max-time 5 https://example.com
ip -brief address show tun0Tabel seob iga tegevuse olulise tähelepanekuga ja säilitamist väärt tõendiga. Päring, mis ebaõnnestub ajapiiri jooksul, ütleb, et blokeering rakendus; päring, mis läheb läbi, ütleb, et liiklus leidis teise tee, mis võib olla välja jäetud marsruut, mitte välja lülitatud blokeering. Korda kogu komplekti pärast olulist tarkvarauuendust või marsruudipoliitika muutust, sest kumbki võib haru muuta ilma, et ükski nähtav säte liiguks. Lõpuks tahad ettearvatavat rikkekäitumist, mitte rahustavat ikooni.
| What I do | What I watch | Evidence to keep |
|---|---|---|
| Bring the tunnel down by hand | Whether a fresh request fails at once | The HTTP code and the client state at that second |
| Choose Disconnect in the client | Whether ordinary access returns on purpose | The same request succeeding with no tunnel up |
| Quit the app, then reboot | Whether the block outlives the client | A request made from a clean boot |
| Move from Wi-Fi to cellular | Whether DNS and IPv6 follow the policy | The resolver answer, the route table and the code again |
Erandid, külalisportaalid ja mida blokeering teha ei suuda
Juurdepääs kohalikule võrgule on tavaline erand ja see muudab lubaduse ulatust. Klient võib jõuda samas alamvõrgus oleva printerini, blokeerides kõik muu, mis on kodus mõistlik ja külalisvõrgus küsitav. Otsusta, kas soovid seda erandit, enne kui juhtum selle sinu eest avastab.
Range blokeering teeb ka külalisvõrgu portaali sisselogimise tülikaks, sest portaal on täpselt see otsene liiklus, mille peatamiseks blokeering olemas on. Õpi toetatud viisi võrgu autoriseerimiseks ja taasta seejärel poliitika teadlikult, selle asemel et juhtelemente välja lülitada, kuni leht laadib. Hoia nimeserveri vastus ja marsruuditabel samas märkmes, nagu allpool. Mida turvaklõps teha ei saa, on muuta teenust anonüümseks, sest liikluse blokeerimine väljaspool tunnelit ei ütle midagi selle kohta, mis toimub selle sees.
resolvectl query example.com
ss -tunp | grep -v tun0