Kas teie turvaklüliti blokeerib rakenduse, mille te tunnelist välja jätsite?

Turvaklüliti sees, rakendus on meelega tunnelist välja jäetud ja kaks nõuet on nüüd vastuolus. Üks ütleb, et midagi ei tohi väljuda mujalt kui tunnelist, teine ütleb, et see programm peab minema otse. Iga klient lahendab selle vastuolu erinevalt ja seadete leht selgitab harva, milline reegel võidab. Kirjutage poliitika rakenduste kaupa üles enne, kui usaldate ükskõik millist silti.

Kaks poliitikat, üks masin

Turvaklüliti on lubadus rikke kohta: kui tunnel liiklust ei kaitse, liiklus peatub. Jagatud tunnel on lubadus valiku kohta: need programmid või sihtkohad kasutavad tunnelit, need aga mitte. Teine lubadus loob liiklust, mille üle esimene peab otsustama. Kumbki lubadus ei ole vale; need kirjutasid lihtsalt erinevad inimesed erinevate ohtude jaoks.

Võimalik on kolm tulemust ja ainult üks neist on see, mida juurutamine kavatses. Väljajäetud rakendus võib katkestuse ajal otse jääda, mis austab jagamist ja rikub turvaklüliti. Seda võidakse blokeerida koos kõige muuga, mis austab turvaklülitit ja rikub jagamist. Või blokeeritakse ainult mõnikord, sõltuvalt sellest, kuidas platvorm reeglit pärast liidese kadumist hindab. Viimane juhtum on see, mis pileteid tekitab.

Kirjutage rakenduste loend enne reeglit

Loetlege programmid, mis peavad tunnelit kasutama, need, mis peavad otse minema, ning nimed või sihtkohad, mis ei tohi kunagi kummaski loendis esineda. Lisage eraldi resolveri käitumine ja IPv6 pool, sest mõlemad võivad järgida leheliiklusest erinevat poliitikat.

Rakendusepõhised reeglid vastavad tavaliselt käivitatavale failile või paketile, mitte selle sees olevale profiilile. Brauseri profiil, privaatne aken ja laiendus ei kanna oma võrguidentiteeti, seega pärivad nad selle, mille protsess sai. Selle brauseri käivitatud abiprotsess ei pruugi sama reeglit üldse pärida.

Vaja on kahte loendit, mitte ühte: mida tunnel peab kandma ja mis ei tohi mingil põhjusel sellest väljapoole liikuda. Rakendus, mis esineb mõlemas, on nõuete konflikt, mitte teostuse detail, ja see tuleb lahendada enne kliendi seadistamist.

Mida klient katkestuse ajal teeb

Mõned teostused blokeerivad väljajäetud rakendused katkestuse ajal ja taastavad nende juurdepääsu taasühendamisel. Teised säilitavad otsese tee kogu aeg, mis on jagamisega kooskõlas ja turvaomadusena nõrgem. Platvormitasandi lukustus võib kliendi rakendusepõhise valiku täielikult üle kirjutada. See erinevus ei ole kosmeetiline, sest see otsustab, kas väljajäetud rakendus on poliitika erand või auk.

Androidi alati sisse lülitatud VPN koos valikuga blokeerida ühendused ilma VPN-ita on kõige selgem juhtum, sest lukustuse kehtestab platvorm, mitte klient, ja väljajäetud pakett blokeeritakse koos kõige muuga, kui tunnel on maas. Töölauaklient, mis rakendab rakendusepõhiseid erandeid oma draiveris, jätab väljajäetud protsessi tavaliselt füüsilisele liidesele, sest ta ei omanud selle protsessi liiklust algusest peale. Mõlemad käitumised on kaitstavad ja ainult üks neist vastab nõudele, et väljajäetud rakendus peab jääma kasutatavaks. Küsige, milline komponent reeglit kehtestab, enne kui tulemust tõlgendate.

Lugege käitumist selle operatsioonisüsteemi kohta, mis on teie ees, mitte mujal sama nime kandvat seadet. Jõustamisliidesed erinevad, ja üks märkeruut võib töölauas ja telefonis tähendada rangelt erinevaid asju. Ka versioon loeb, sest lukustuse juhtimine on Androidi väljaannete vahel ekraanide vahel liikunud, ja kliendipoolne erandite loend ei ole sama juhtimine kui platvormi lukustus.

Kolm hetke: tunnel üleval, tunnel maas, taasühendatud

Kasutage kahjutuid päringuid kolmel hetkel: kui tunnel töötab, teid huvitava rikke ajal ja pärast taasühendamist. Üks brauseri tulemus ei saa väljajäetud rakenduse käitumist tuvastada.

curl -sS --max-time 8 https://api.ipify.org
curl -sS --max-time 8 --interface tun0 https://api.ipify.org
dig +short example.com

Väljundiaadress näitab, millist teed mindi, ja otsene liidese test näitab, mis juhtub, kui tunnel on ainus saadaolev väljapääs. Kirjutage oodatav tulemus iga rea kõrvale enne, kui mõne neist käivitate, muidu tõlgendatakse väljundit tagantjärele.

Kui väljajäetud rakendus läheb võrgust välja, kontrollige poliitika prioriteeti enne laia tulemüüri loa lisamist, sest see parandus hävitab erinevuse, mida te testisite. Kui see jääb otse, kinnitage, et see oli dokumenteeritud erand, mitte juhuslik tagasilangus. Kogu seadme range nõude korral lühendage erandite loendit, kuni seda saab käsitsi testida.