Always-on VPN edo kill switch: zein gaitu zenuten benetan?

Always-on eta kill switch ezarpenen pantaila berean bi lerro eskasera daude, beraz jendeak funtzio beraren bi izen gisa irakurtzen ditu. Ez dira. Always-on birkonexio-politika da: tunela abioan hasten du, kraskadura edo sare-aldaketaren ondoren itzultzen du eta huts egiten duen bitartean saiatzen jarraitzen du. Kill switch trafiko-politika da: tunela behera dagoen bitartean makinatik irten daitezkeen paketeak izendatzen ditu. Lehena bigarrena gabe gaitu dezakezue, eta plataforma gehienetan fabrikako emaitzak hutsunean trafikoa irteten uzten du oraindik.

1. egiaztapena: blokeoa berezko etengailua al da?

Android 10 eta geroago, gordetako VPN profilek gurpil horzdunaren atzean bi etengailu independente irekitzen ditu: Always-on VPN eta Blokeatu VPN gabeako konexioak. Bigarrena soilik da kill switch. Always-on hutsarekin tunela erorketaren ondoren itzultzen da, baina eskaera erdian dagoen edozein aplikaziok Wi-Fi edo datu mugikorren bidez sarea lortzen du hori gertatu arte.

Kudeatutako gailuek banaketa bera gordetzen dute politiken APIan. setAlwaysOnVpnPackage()ek paketearen izena eta lockdownEnabled bandera hartzen ditu; paketea ezarri eta bandera faltsuan uzten duen administratzaileak tunel iraunkorra eraiki du, ez gailu itxia. Kontsolako idazkerak gutxitan erakusten du aldea.

Irakurri egoera gailutik, ez kontsolatik: adb shell settings get global always_on_vpn_app eta adb shell settings get global always_on_vpn_lockdown. Lehenak null itzultzen badu, ez dago paketerik inposatuta plataforma mailan; bigarrenak 0 itzultzen badu, plataformak ez du ezer blokeatzen. Androiden VPN gidak gaitasun bereizi gisa deskribatzen ditu, eta ez modu bakar gisa.

2. egiaztapena: zein geruzak du blokeoa?

Etiketak bezeroan bizi dira eta blokeoak normalean suebakian, horregatik hitz berak gauza desberdinak esan nahi ditu plataforma bakoitzean. Azpiko errenkadek berrespena merezi dute edozeinetan fidatu aurretik.

Windows da blokeatzen ez duen etiketaren adibiderik argiena. Always On han tunelaren iraunkortasuna deskribatzen du: gailu-tunela makina autentifikatzeko, erabiltzaile-tunela saioa hasitako konturako, profileko XML edo Add-VpnConnection bidez konfiguratuta. Profil horretan ezerk ez du irteten den paketea gelditzen tunela falta denean, eta irteerako iragazketa ez dago gaituta lehenespenez, beraz Wi-Fi darabilen eramangarriak lanean jarraitzen du VPNa behera dagoela.

WireGuard berdin banatzen da, baina bezeroaren arabera. Windowsentzako WireGuard-ek tunel bakoitzeko aukera du, Blokeatu tunelatu gabeko trafikoa, iragazki-arauak instalatzen dituena; Linux tresnek ez dute halako etengailurik. wg-quickek AllowedIPs sarrera bakoitzerako ibilbidea eta fwmark araua gehitzen ditu, eta wg-quick downek biak kentzen ditu, beraz fisikako lehenespen-ibilbideak berriro hartzen du agintea tartean paketerik galdu gabe.

Apple plataformetan always-on gainbegiratutako gailuentzako kudeaketa-profilaren ezaugarri gisa iristen da eta eskaeran arau gisa adierazten da, eta ez kontrol-lauki gisa. Kargatik erantzun beharreko galdera da huts egindako tunelak trafikoa ukatzen duen edo beste konexio bat eskatzen duen soilik. Menuaren izenburuak ez du esango.

3. egiaztapena: neurtu hutsunea, ez ikonoa

Lau trantsiziok dute garrantzia, eta modu desberdinean huts egiten dute: abioa inor saioa hasi baino lehen, loa eta esnatzea, Wi-Fitik datu mugikorretara aldaketa eta tunelaren interfazea erdi konfiguratuta uzten duen bezero-kraskadura. Horietako batean birkonexio garbiak ez du ezer frogatzen beste hirurei buruz.

Probarik merkeenak tunela nahita gelditzen du eta gero irteten saiatzen da. Tunela behera dagoela, curl -m 5 -sS -o /dev/null -w '%{http_code}' https://example.comek 200 itzultzeak politikak fail-open dela esan nahi du; denbora-muga edo ukatuako konexioak zerbait oraindik blokeatzen ari dela esan nahi du. ip route get 1.1.1.1ek paketea eramango lukeen interfazea izendatzen du, eta horrek normalean erretiluko ikonoak baino gehiago esaten du, eta systemctl status wg-quick@wg0ek interfazea garbi kendu zen ala ez erakusten du.

Exekutatu proba bera bigarren leiho batean sarea aldatzen ari den bitartean, eta ez soilik geroago. Erorketaren eta saiakera berriaren arteko tartea da gakoa, eta izen-kontsulta da trafikoa ihes egin duela ohartzeko modurik azkarrena: tokiko ebazleak tunela behera dagoela erantzuten badu, blokeoa ez da osoa.

4. egiaztapena: erabaki salbuespenak blokeatu aurretik

Bi salbuespen egiturazkoak dira. Bezeroak VPN zerbitzarira berera iritsi behar du, beraz dena botatzen duen arau-multzoak babesa berreskuratuko lukeen birkonexioa ere eragozten du. Captive portal ere ez da iristen zutik ez dagoen tunel batetik, beraz hoteleko Wi-Fin blokeatutako gailuak ataria irekitzeko modu dokumentatua behar du, eta ez bat-batekoa.

Forma minimoa, amaiera-puntua baimenduta eta gainerako guztia botata:

table inet vpnlock {
  chain output {
    type filter hook output priority 0; policy drop;
    oifname "lo" accept
    ip daddr 203.0.113.10 udp dport 51820 accept
    oifname "wg0" accept
  }
}

Emaiozu amaiera-puntu lerro horri aldagai gisa, ez konstante gisa. Hornitzaileek helbideak txandakatzen dituzte, eta zaharkitutako salbuespena da funtzionatzen zuen kill switch bat birkonektatu ezin duen gailu bihurtzeko ohiko arrazoia. Tokiko inprimagailuak, NAS partekatzeak eta garapen zerbitzuak zerrenda idatzian bertan sartu behar dira, bestela laguntza-txartel bana deskubritzen dira.

5. egiaztapena: idatzi benetan zer frogatu duzun

Eutsi lau zutabeko taula bat eta bete probatuz: egoera, espero den jokabidea, behatutako jokabidea, froga. Errenkadak 3. egiaztapeneko trantsizioak eta nahita egindako hutsegite bat dira. Komando-irteerarekin bete ezin duzun errenkada probatu ez duzun errenkada da, eta birkonexio-errenkada gainditu eta abio-errenkadan huts egiten duen gailua nahikoa ohikoa da hamar minutu gehigarriak merezi izateko.

Amaitutzat eman aurretik:

• Egiaztatu blokeo-ezarpena birkonexio-ezarpenetik bereizia dela, eta irakurri haren balioa gailuan.
• Jakizu zein geruzak ezartzen duen blokeoa - bezeroaren aukera, gailuaren politika edo suebakia - eta geruza hori non konfiguratzen den.
• Eutsi blokeoa frogatzen duen proba-komando bat, eta exekutatu trantsizio batean, eta ez ondoren.
• Idatzi salbuespenen zerrenda, amaiera-puntua barne, eta ohartu nork berritzen duen.
• Kudeatutako hardwarean utzi inposatutako politika bakean; blokeoa kentzeak baldintza aldatzen du tunela konpondu ordez.