Bi VPN aplikazio aldi berean: zein kill switch aplikatzen da benetan?
Bigarren VPN bezeroak ez du inoiz lehenaren kill switch-a heredatzen. Hiru baldintzak erabakitzen dute zein politika aplikatzen den, eta zurea nola egiaztatu.
Bi VPN bezerok elkarren ondoan lan egin dezakete, baina haien kill switch-ek ez dira politika bakarrean batu. Bezero bakoitzak bere tunelarentzako arauak jartzen ditu, eta batek ere ez daki bestea existitzen denik. Laneko bezeroa lehenengo konektatuta zegoela gertatu zitzaidan: bigarren aplikazioak ezin izan zuen eskua ematea amaitu, „Connecting“ egoeran egon zen hamar minutu, eta lehen tunelak dena isilpean eraman zuen. Bigarren aplikazioa babestuta egongo den hiru baldintzaren araberakoa da, bi ikonoek Konektatuta diotenaren araberakoa ez bezala.
Zertara dagoen mugatuta kill switch bat
Sistema eragilean ez dago kill switch bandera bakar bat. Hori iragartzen duen bezeroak arau multzo bat instalatzen du: nire tunelatik irteten ez den guztia bota, eta askotan fail closed jokatu tunela desagertzen denean. Linux-en normalean nftables edo iptables katea da, Windows-en Windows Filtering Platform iragazki multzo bat, Android eta iOS-en tunel zerbitzuaren beraren bideratzea gehi VPN gabe konexioak blokeatzen dituen sistema ezarpena. Android VPN gidak zerbitzu eredu hori deskribatzen du plataformaren ikuspegia nahi baduzu.
Esparrua da garrantzitsua den zatia. „Baimendu soilik wg0 irteera interfazeko paketeak“ bezalako arauak ez dio axola bigarren tunel bat dagoen ala ez. Beste bezero batek wg1 igotzen badu, lehen bezeroaren arauek pakete horiek trafiko arrunt gisa hartzen dituzte: normalean baztertu, batzuetan utzi. Edonola ere lehen bezeroa da erabakitzen duena, eta ez du ideiarik bigarren aplikazio bat zain dagoenik.
Nor estaliko den erabakitzen duten hiru baldintzak
Ez duzu konbinazio guztiak zerrendatu behar. Hiru galderak minutu batzuetan erabakitzen dute.
- Onartzen al du plataformak bigarren tunel bat? Android telefono eta iPhone gehienek VPN zerbitzu aktibo bakarra onartzen dute erabiltzaile profil bakoitzeko, beraz bigarren aplikazioak ez du inoiz tunelik izango eta ez du ezer betearaziko. Politika bakarra jasoko duzu, lekua irabazi zuen aplikazioarena.
- Zein prozesuk du bide lehenetsia? Windows, macOS eta Linux-ek bi tunel erraz eramaten dituzte. Bide lehenetsia azkenengo konfiguratu zuen edo metrika hobea duen bezeroarena da, eta beste bezeroa konektatuta dago baina geldirik. Linux-en wg-quick-en bide lehenetsiaren moduak politikan oinarritutako bideratzea erabiltzen du taula pribatu eta fwmark arau batekin, beraz bigarren wg-quick tunel batek lehia-arau bat gehitzen du lehena ordezkatu beharrean.
- Irits daiteke bigarren bezeroa bere zerbitzarira? Lehen kill switch-a ukapen lehenetsia bada, bigarren aplikazioaren kanpoko amaiera puntua baztertutako beste helburu bat baino ez da. Isilpean saiatzen da berriro eta ez du inoiz errorerik jakinarazten.
Bertsio laburra, laguntza harietarako:
| Setup | What you actually get |
|---|---|
| Second client cannot hold a tunnel | One active policy; the other app only reports that it is waiting |
| Both tunnels up, second took the default route | The first kill switch blocks traffic it never meant to touch; the connection dies, or leaks if its rules are broad |
| First kill switch allows only its own endpoint and interface | Second client never connects; first tunnel unaffected |
| Both up, DNS written by whichever client ran last | Name resolution breaks for one side when either tunnel drops |
Lerro horietako bik berdinak dirudite sistemako erretiluaren ikonotik, eta horregatik ikonoa da hemen eskuragarri dagoen frogarik okerrena.
Zer hausten den lehenengo, eta nola ikusten den
Bestea osasuntsu dagoela „Connecting“-en trabatuta dagoen bezeroa ia beti amaiera puntuaren gosea da: martxan dagoen kill switch-ak bigarren bezeroaren eskua ematea botatzen du bere zerbitzarira. Egiaztatu merke: lehen bezeroaren blokeo arauak proba baterako gelditu. Bigarrena berehala konektatzen bada, galderak erantzuna du.
DNS da bigarren hutsegitea. Bezeroek beren interfazerako ebazlea konfiguratzen dute, eta batzuek zerrenda globala zuzenean gainidazten dute. Bi tunelak gora daudela, kontsultak alde batetik irten daitezke ebazlea beste aldekoa den bitartean. Deskonektatu edozein aplikazio eta bizirik atera denak iristezin den izen zerbitzari bat gordeko du: orriek minutu bat irauten dute eta gero berriro ebazten dira, VPN-a konektatuta erakusten jarraitzen duen bitartean.
Hirugarrena bideen dardara da. Birkonexioek bide lehenetsia berrantolatzen dute, eta interfazari lotutako kill switch-ak ez dio jarraitzen. Duela une bat tunel barruan zegoen trafikoak baztertze arau batekin bat egiten du orain, eta erabiltzailearen ikuspegitik ausaz funtzionatzeari uzten dion VPN gisa irakurtzen da.
Egiaztatu zein politika dagoen indarrean
Egin hori trafiko kaltegaberik gabe, faltan botako zenukeen zerbait erabili ordez.
Linux-en galdetu kernelari nork irabazten duen eta suebakiak zeri lotzen zaion. ip -4 route show default irteera duen tunela izendatzen du. ip rule show politikaren araberako bideratzea jokoan dagoen erakusten du. sudo nft list ruleset | grep -n oifname baztertzeak interfaz izenari, marka bati edo irteera kate osoari lotuta dauden erakusten du.
Windows-en istorio bera bide metrikoan eta iragazki zerrendan dago: Get-NetRoute -DestinationPrefix "0.0.0.0/0" | Sort-Object RouteMetric eta Get-NetFirewallRule -Enabled True | Where-Object DisplayName -match "VPN". macOS-en, netstat -rn -f inet | head -5 eta scutil --dns | head -20.
Gero egin jendeak saltatzen duen urratsa: gelditu tunela nahita eta egiaztatu huts egitea espero duzun trafikoak benetan huts egiten duela. Konektatutako ikonoa interfazearen egoera da, ez betearazpena.
Noiz dira bi bezero diseinu okerra
Bigarren aplikazioaren atzean dagoen baldintza bakarra babes gehiago bada, ken ezazu. Elkar eragiten duten bi blokeo politikak bat baino gutxiago aurreikustekoak dira, eta birkonexio bakoitza bi hornitzailerik probatu ez duen egoera batera erortzeko aukera da.
Benetan kateamendua behar baduzu, adibidez jauzi komertzial baten bidez iristen den enpresa atea, hautatu betearazpen puntu bakarreko diseinua. Horrek normalean bideratzaile bat edo katea onartzen duen bezero bakarra esan nahi du, ez bide lehenetsi beragatik lehiatzen duten mahaigaineko bi aplikazio. Kudeatutako gailuan mantendu baimendutako bezeroa eta tratatu gainerako guztia esparrutik kanpo, erretiluan erakusten duena edozein dela ere.
Biak mantendu aurretik egiaztapen zerrenda
Joan zerrendan zehar ordenan; huts egiten duen lehen elementua konpondu beharrekoa da.
- Egiaztatu bezero bakar batek duela bide lehenetsia eta ebazlea.
- Bigarren bezeroa gora mantendu nahi baduzu, baimendu modu esplizituan bere zerbitzariaren amaiera puntua eta berrikusi bezero eguneraketa bakoitzaren ondoren.
- Idatzi bi tunelak erortzen direnean espero den emaitza, eta probatu kasu zehatz hori.
- Egiaztatu hutsegite bidea berrabiarazi ondoren, abio ordena desberdina denean.
- Kudeatutako profilean, gelditu eta galdetu jabeari ezer gehitu aurretik.
Hirugarren urratsak huts egiten badu, erantzun zintzoa da bezero bakar batek ematen dizula politika. Erabaki zeini fidatzen zaren eta utzi bestea.