Aplikazio bakoitzeko kill switcha edo gailu osoko blokeoa: zer aldatzen da
Erabaki multzo babestuaren arabera, ez etiketaren arabera: zer gelditzen den kanpoan utzitako aplikazioetarako, atzeko laguntzaileetarako eta konexio berrietarako, eta nola probatu kasu bakoitza.
Aplikazio bakoitzeko kill switchak aukera zuhurra dirudi: tunela erortzean lan-klienteak bakarrik galtzen du sareko konexioa, eta gainerako guztiak funtzionatzen jarraitzen du. Gero norbaitek ohartzen da arakatzaile pertsonalak orria kargatu zuela hala ere, pakete berarekin zetorren sinkronizazio-laguntzaileak saiatzen jarraitu zuela, eta cachean gordetako izen batek tunelari inoiz ukitu ez zion helbide batera ebatzi zela. Funtzioaren etiketa eta benetan babesten duen konexio-multzoa bi gauza desberdinak dira. Lehenengo multzo babestua zehaztu, multzo horrek erabakitzen baitu aplikazio bakoitzeko betearaztea edo gailu osoko blokeoa den deskribapen zintzoa.
Hasi multzoarekin, ez etiketarekin
Aplikazio bakoitzeko politikak hautatutako aplikazioak babesten ditu. Gailu-blokeoak sare-muga zabalagoa du helburu, normalean tokiko inprimatzeko, kudeaketa-trafikorako edo captive portaletarako salbuespen dokumentatuekin. Bi etiketak ez dira osoak izango hiru galderari erantzun arte: zer gertatzen zaien kanpoan utzitako aplikazioei, zer gertatzen zaien aplikazio horiek abiarazten dituzten laguntzaileei, eta zer gertatzen zaien babesa erabilgarri ez dagoen bitartean irekitako konexioei.
Idatzi erantzun horiek klientearen ezarpenik ukitu aurretik. Baldintza "ordainsari-kliente honek ez dezala inoiz tuneletik kanpo internetekin hitz egin, eta nire arakatzaileak bai" bada, multzoa txikia da eta aplikazio bakoitzeko betearaztea egokia da. Baldintza "gailu honetan ezer ez da internetera babesik gabe iristen, eguneratze-zerbitzua izan ezik" bada, aplikazio bakoitzeko politikak ez du hori sortuko, izendatu ez zenituen aplikazioak baitira arazoa.
Aplikazio bakoitzeko betearazteak identifikatzaileak parekatzen ditu, ez programen izenak
Androidek aplikazio bakoitzeko VPNa paketeen bidez eskaintzen du, eta haren VpnService dokumentazioak azaltzen du nola elkarreragiten duen beti piztuta moduarekin eta blokeoarekin. iOSek aplikazio bakoitzeko VPNa kudeaketa-profil baten bidez konfiguratzen du eta aplikazioaren edo domeinuaren arabera parekatzen du. Windowsek eta Linuxek ez dute prozesu bakoitzeko ibilbiderik, beraz ideia bera hurbiltzen da programara mugatutako suebaki-arau batekin edo jabea den erabiltzailearekin bat datorren arau batekin.
Muga identifikatzailea da, eta identifikatzaileak erraz saihesten dira. URL bat sistemako arakatzailera pasatzen duen edo dokumentu bat ikustailean irekitzen duen aplikazioak zure politikak inoiz izendatu ez zuen prozesu batera pasatzen da. Erortzean amaitzeko aukerak ere ez du pakete-iragazki gisa balio: konfiguratutako aplikazioa hiltzen du, baina prozesu ume batek, ilarako langile batek edo arakatzailearen fitxa batek existitzen den socket bat bizirik eduki dezake.
Blokeoak estaltzen du aplikazio bakoitzeko politikak ikusi ezin duena
Gailu osoko blokeoak aukera kentzen du. Tunelekoa ez den irteerako pakete bakoitza baztertzen da, zure aplikazio-politikak inoiz ezagutu ez zituen prozesuen trafikoa barne. Androidek beti piztuta dagoen VPNa konbinatzen du konexioak blokeatzeko ezarpenarekin, eta betearazpena sisteman gertatzen da, ez klientearen leihoan. Mahaigainekoan suebaki-arau iraunkorra da edo iristezin den ataka bati zuzendutako ibilbide lehenetsia.
Kostua da gainerako guztia gelditzen dela, beraz salbuespenak diseinuaren parte bihurtzen dira, ez geroagoko pentsamendu bat. Tokiko inprimagailuek, zerbitzuen aurkikuntzak, captive portaletan saioa hasteak, kudeaketa-agenteek eta OSaren eguneratzeek bakoitzak dokumentatutako zulo bat behar du, bakoitza tunela behera dagoenean irekita irauten duen bidea baita. Blokeoa zerrenda horretako sarrerarik laburrena bezain indartsua da soilik.
DNSak, IPv6ak eta atzeko laguntzaileek isuriak ezkutatzen dituzte
Babestutako aplikazio batek izen bat ebatzi ezin izateak ez du frogatzen cachean gordetako erantzunak edo zuzenean IP bidezko trafikoa blokeatuta daudenik. Ebazlea tuneletik kanpo oraindik irisgarria bada, izena ebatzi egiten da eta konexioak huts egiten du, funtzionatzen duen kill switch baten itxura emanez, baina ez da. Okerrago, cachean gordetako erregistro batek tunelak eramaten ez duen helbide bat adieraz dezake, beraz konexioa zuzenean irteten da aplikazioak VPN errore bat salatzen duen bitartean.
IPv6ak bere araua behar du hura exekutatzen duen plataforma bakoitzean, v4rako baztertze-arauak ez baitu v6 ibilbiderik estaltzen. Mugikorrean, DNS pribatuaren ezarpen batek ebazpena gailuaren politikak ikuskatzen ez duen kanal zifratu batera eraman dezake. Eta atzeko laguntzaileak dira mahaigaineko errudun ohikoa: eguneratze- edo sinkronizazio-prozesu bat VPN klientea baino lehenago hasten da eta bere konexioa mantentzen du, beraz ez du inoiz ibilbide aldatua ikusten.
Probatu hiru aplikazio eta bi trantsizio
| Test | What it proves |
|---|---|
| Included app, by name and by direct IP | the policy is applied, not just the resolver |
| Excluded app, same checks | the exclusion is intentional and documented |
| Helper or updater process | nothing inherited an older route |
| Tunnel drop, then Wi-Fi to cellular | the block survives the transition |
Exekutatu errenkada bakoitza bi aldiz, behin ostalari-izenarekin eta behin helbide literalarekin, eta beste behin IPv6 bidez sareak eskaintzen badu. Gainditzeak esan nahi du sartutako aplikazioa gelditu zela, kanpoan utzitakoa idatzi zenuen bezala jokatu zuela eta laguntzailea ez zela irten. Idatzi onargarritzat jo zenuen jokabide zuzena, hurrengo administratzaileak nahita egindako salbuespena hutsegite batetik bereizi ahal izan dezan.
Gero deskribatu emaitza aplikazioak eta baldintzak aipatzen dituen esaldi bakarrean, adibidez: ordainsari-klienteak ez du tuneletik kanpoko ibilbiderik, arakatzailea zuzenean doa diseinuagatik, eta gainerako guztia gelditu egiten da tunela behera dagoenean. Esaldi hori idazten zaila bada, politika oraindik elkarren aurka borrokatzen duten bi politika dira.