VPNeko segurtasun-etengailuak berrabiaraztea gainditzen du? Nola egiaztatu

Berrabiaraztea da jendeak segurtasun-etengailua probatzeko modurik ohikoena, eta gezurrik gehien esaten duen proba da. Bezeroaren laukitxoa hobespen bat da; garrantzitsua da ea zerbait blokeoa inposatzen duen sare-pila altxatzen den momentuaren eta tunela benetan ezartzen den momentuaren artean. Windowsen zerbait hori normalean Windows Filtering Platform-eko iragazki bat izaten da, Linuxen unitate batek kargatutako arau-multzo bat, macOSen pf aingura bat, Androiden sistemaren beraren beti-piztuta eta blokeo banderak. Konponketa horiek oso desberdin jokatzen dute berrabiaraztean zehar, eta plataforma-mailakoak bakarrik daude lekuan inor saioa hasi aurretik.

Berrabiarazteak hiru galdera bereizi egiten ditu

Zatitu galdera. Lehenik, politikak diskoan existitzen al du abioan zerbait irakurtzen duen forman? Bigarrenik, irakurle hori martxan jartzen al da trafiko edozein atera aurretik? Hirugarrenik, politikak estaltzen al du axola zaizun trafikoa, hau da, prozesu bakoitza, bi helbide-familia eta DNS. Lehenengoari bai eta bigarrenari ez erantzuteak jendeak berrabiaraztea gainditzen ez duen segurtasun-etengailu gisa salatzen duen hutsegite zehatza sortzen du: trafikoak segundo batzuetan ihes egiten du abioan, eta inork ez du nabaritzen norbaitek bila joaten arte.

Eutsi geruzei bereizita. Gordetako suebaki arau-multzo bat, abioan hasten den zerbitzu bat eta bezeroaren hobespen bat hiru objektu desberdin dira, hiru bizitza desberdinekin. Hobespenak berrabiarazteak gainditzen ditu, konfigurazio-fitxategi bateko balioa delako. Arauak dira paketeak blokeatzen dituen gauza bakarra, eta horiek eusten zituzten nukleoarekin desagertzen dira.

Aurkitu blokeoa leheneratzen duen objektua

Linuxen netfilter arauak nukleoan bizi dira. Ezerk ez ditu abioan berridazten zuk hori antolatu ez baduzu: iptables-save gehi netfilter-persistent, nftables.service kargatzen du /etc/nftables.conf, edo zure script propioa exekutatzen duen systemd unitate bat. Egiaztatu zer dagoen gaituta, konfiguratu zenuela gogoratzen duzunaren ordez.

systemctl is-enabled nftables netfilter-persistent 2>/dev/null
sudo nft list ruleset
sudo iptables -S OUTPUT

Abioaren ondorengo segundo batzuetan arau-multzo hutsa da izenburuko galderaren erantzuna. Windowsen galdetu bezeroaren zerbitzuari nola hasten den, eta gero bota plataforma-iragazkiaren egoera tunela behera dagoela.

Get-Service | Where-Object { $_.Name -match 'vpn' } | Select-Object Name, Status, StartType
netsh wfp show state

Bigarren komandoak wfpstate.xml idazten du uneko direktorioan. Bilatu blokeo-ekintza duten iragazkiak bezeroa konektatu aurretik existitzen direnak. Base Filtering Engine goiz hasten da abioan eta bandera iraunkorrarekin gehitutako iragazkiak leheneratzen ditu, horregatik segurtasun-etengailu batzuek trafikoa blokeatzen dute bezero-leiho bat existitu aurretik eta beste batzuek ez. macOSen sudo pfctl -s info pf gaituta dagoen jakinarazten du, sudo pfctl -s rules kargatuta dagoena erakusten du, eta VPN bezeroek normalean beren arauak aingura batera atxikitzen dituzte arau-multzo nagusira beharrean. utun3 izendatzen duen arauak beste interfaze batera seinalatu dezake hurrengo abioaren ondoren, zenbaki hori exekuzio-denboran esleitzen delako.

Sarea altxatzearen eta tunela altxatzearen arteko tartea begiratu

Tarte arriskutsua ez da berrabiarazte osoa, tartea baizik. Interfazeak alokairu bat eta bide lehenetsia jasotzen ditu une batean, VPN zerbitzua beste batean hasten da, eta tunelak geroago autentifikatzen du, batzuetan erabiltzaile batek saioa hasi eta kredentzial-eragile bat martxan jarri ondoren bakarrik. Blokeoa azkenengo aplikatzen bada, tartean dagoen guztia argi eta garbi ateratzen da.

systemd ostalarietan, irakurri ordena asmatu beharrean. Exekutatu systemctl cat VPN eta suebaki unitateetan eta bilatu After= edo Before= honakoen aurrean: network-pre.target eta network-online.target. network-online.target ondoren ordenatuta dagoen suebaki unitate batek interfazearen aurka galtzen du; network-pre.target eskatzen duen eta haren aurretik ordenatuta dagoenak irabazten du. Windowsen baliokide diren galderak zerbitzuaren abio-mota eta haren dependentziak dira, Manualean jarritako zerbitzu batek ezin duelako abioko prozesu bat blokeatu. Zure baldintzak saioa hasi aurreko trafikoa barne hartzen badu, gailu-mailako konponketa batek bakarrik betetzen du: Always On VPN gailu-tunel batek makina-ziurtagiri batekin autentifikatzen du eta erabiltzailea saioa hasi aurretik konektatzen da, eta Microsoft-ek gailu-tunelaren konfigurazioa dokumentatzen du erabiltzaile-tunelaren aldean bereizita. Androidek beste bidea hartzen du, beti-piztuta VPN inposatuz eta hura gabe konexioak sistematik blokeatuz eta ez aplikazio-prozesu batetik.

Exekutatu proba eta gero konparatu bi kronologia

Berrabiarazi isuri eginez gero ezer kostatzen ez duen helmuga batekin, eta harrapatu egoera tartean zehar, haren ondoren beharrean. Metodo garbiena abio-proba bat da: oneshot unitate bat edo programatutako zeregin bat, plataformak uzten duen bezain goiz hasten dena, bide lehenetsia eta suebakiaren egoera erregistratzen dituena, denbora-muga laburreko eskaera bat saiatzen duena eta fitxategi lokal batean lerro bat gehitzen duena. Konparatu erregistro hori journalctl -b -u edo sistemaren erregistrotik datorren VPN zerbitzuaren hasiera-orduarekin.

Gero egin ohiko proba: tunela gora, moztu konexioa, begiratu trafiko zuzena blokeatzen den, leheneratu. Bigarrena gainditzea eta lehenengoan huts egitea da emaitza normala, eta esan nahi du betearazpena bezeroaren aldekoa dela, bezeroa konektatzen denean aplikatzen dela eta ez abioan. Auditatu nuen azken makinan, blokeoa NetworkManager-en bidaltzaile-script batetik zetorren: present eta zuzena eta alferrikakoa interfazea altxatu aurreko segundoetarako. Idatzi bi emaitzak, berrabiaraztea gainditzeak zerbait esan nahi duelako zuk zein geruzak iraun zuen eta zein momentutik esaten duzunean bakarrik.

Itxi tartea itzultzeko bidea hautsi gabe

Blokeoa abioan falta bada, jaitsi betearazpena geruza bat behera, bezeroaren bigarren arau bat gehitu beharrean. Gorde arau-multzoa eta kargatu sare erabilgarria izan aurretik ordenatuta dagoen unitate batetik, eta ziurtatu unitate horrek ez duela DNS kontsultarik edo babestu behar duen sare-muntatzerik behar. Esparruak denborak adina balio du: erabiltzaile-ID edo cgroup baten araberako arauek sistemako deabru guztiak blokeotik kanpo uzten dituzte, eta IPv4 soilik lantzen duen arau-multzo batek IPv6 eta DNS irisgarri uzten ditu.

Utzi zeure buruari itzultzeko bide bat. Abioan dena blokeatzen duen eta gero autentifikatu ezin den makina batek ez du sarerik, eta konponbidea ez da blokeoa ezabatzea, kredentziala edo ordena konpontzea baizik. Mantendu dokumentatutako tokiko kontsola-prozedura bat eta salbuespen estu eta deliberatu bat tunelak benetan behar duenarentzat, hala nola zerbitzariaren helbidea eta tunela existitu aurretik erabilitako ebazlea.

Konfigurazioan fidatu aurretik, berretsi lau gauza ordenan. Politika abioak irakurtzen duen leku batean gordeta dago. Irakurle hori interfazea erabilgarria izan aurretik exekutatzen da. Blokeoak bi helbide-familia eta DNS estaltzen ditu. VPNak oraindik autentifikatu dezake blokeoa aktibo dagoen bitartean. Lauak betetzen direnean, berrabiarazteak ez du ezer aldatzen.