کلید قطع اضطراری VPN: کدام ترافیک را و چه زمانی مسدود می‌کند
اتصال دوباره تونل را بازمی‌گرداند؛ کلید قطع اضطراری تصمیم می‌گیرد در این فاصله چه رخ دهد. قطع اتصال، جدا شدن دستی، خروج از برنامه و تغییر شبکه را جداگانه آزمایش کنید.
دو ویژگی با یک واژه توصیف می‌شوند و کارهای متفاوتی انجام می‌دهند. اتصال دوبارهٔ خودکار تلاش می‌کند تونل را برگرداند و ممکن است در عرض یک ثانیه موفق شود، در حالی که درخواست‌ها در همان فاصله شکست می‌خورند. کلید قطع اضطراری تصمیم می‌گیرد در آن فاصله با ترافیک چه شود. خواندن یک برنامهٔ کارخواه به‌گونه‌ای که این دو یک تنظیم باشند، همان چیزی است که مردم را به اعتماد به یک نماد به جای یک سیاست می‌رساند.
مسدود کردن و اتصال دوباره دو تصمیم جدا هستند
یک کارخواه تنها وقتی مسدود می‌کند که قطع اتصال غیرمنتظره باشد، سپس دوباره وصل می‌شود و مسدودی را برمی‌دارد. دیگری مسدودی در سطح سیستم را نگه می‌دارد تا کسی تنظیمی را دستی تغییر دهد، و سومی قطع عمدی را اجازهٔ بازگرداندن دسترسی معمول می‌داند. این‌ها سه رفتار متفاوت‌اند و مستندات فروشنده می‌گوید نسخهٔ شما کدام را پیاده می‌کند.
وارد کردن یک پروفایل هیچ چیزی را در این پرسش روشن نمی‌کند. همان پروفایل سرور در دو کارخواه با رفتار مسدودسازی متضاد بارگذاری می‌شود، چون پروفایل تنظیمات را حمل می‌کند نه یک وعده. به همین دلیل هم یک کادر انتخاب روی رایانه و یک کلید روی گوشی با برچسب‌های مشابه می‌توانند قواعد متفاوتی را پیاده کنند. توضیح کنار کنترل روی سامانهٔ خود را بخوانید و سپس آزمایش کنید که چه می‌کند.
همان پروفایل در دو کارخواه رفتار متفاوت دارد
تنظیمات برنامهٔ OpenVPN Connect حالت تونلی را توصیف می‌کند که ترافیک معمول را فقط تا زمانی نگه می‌دارد که کارخواه وضعیت مکث یا اتصال دوباره را گزارش کند، که از یک وعدهٔ کلی دربارهٔ هر رویداد روی هر سامانه محدودتر است. وضعیت‌های فهرست‌شده را بخوانید، نه نام محصول را. توضیحی که برای یک نسخهٔ کارخواه نوشته شده به کارخواه فروشندهٔ دیگری منتقل نمی‌شود.
اندروید همان واژه را برای دو کنترل به کار می‌برد، چون VPN همیشه‌فعال و مسدود کردن اتصال‌ها بدون VPN جداگانه مستند شده‌اند. یک کارخواه رومیزی با کادر انتخابی به همان نام می‌تواند چیزی محدودتر یا گسترده‌تر از هر یک از آن دو پیاده کند. برچسب مشترک در دو منو را تا خواندن هر دو توضیح یک تصادف بدانید. دستگاه‌های مدیریت‌شده لایهٔ سومی می‌افزایند، چون پروفایل دستگاه می‌تواند تنظیمی را تحمیل کند که کاربر آن را نمی‌بیند یا نمی‌تواند لغو کند.
تنظیمات سامانه‌های شبیه به هم هم‌ارز نیستند
کنترلی را که می‌بینید با سیاستی که واقعاً اعمال می‌شود مقایسه کنید. روی دستگاه مدیریت‌شده ممکن است کلید نمایان خاکستری باشد، یا روشن باشد در حالی که پروفایلی در سطح بالاتر عکس آن را تحمیل می‌کند. سیاست مؤثر را بخواهید نه سیاست محلی را، و پاسخ را کتبی بگیرید.
پیش از آزمایش هر چیزی ثبت کنید هر لایه چه ادعایی دارد، چون این دو اغلب ناهمخوان‌اند و پس از آغاز آزمون‌ها این ناهمخوانی به‌آسانی گم می‌شود. دستگاهی که در آزمون درست مسدود می‌کند شاید به دلیلی مسدود کند که کسی مستندش نکرده است.
هر بار یک رویداد را اجرا کنید و کد را ثبت کنید
در هر اجرا یک رویداد را آزمایش کنید، با درخواستی بی‌خطر، و هر تلاش را درخواستی تازه کنید نه صفحه‌ای که شاید از پیش در حافظهٔ پنهان باشد. فرمان‌های زیر تونل را پایین می‌آورند، صفحه‌ای می‌خواهند و نشان می‌دهند که آیا واسط برگشته است.
ip link set tun0 down
curl -s -o /dev/null -w "%{http_code}\n" --max-time 5 https://example.com
ip -brief address show tun0جدول هر کنش را به مشاهده‌ای که اهمیت دارد و به شاهدی که ارزش نگه‌داشتن دارد پیوند می‌دهد. درخواستی که درون مهلت شکست می‌خورد می‌گوید مسدودی عمل کرده؛ درخواستی که موفق می‌شود می‌گوید ترافیک مسیر دیگری یافته که می‌تواند مسیر استثناشده باشد نه مسدودی غیرفعال. پس از یک به‌روزرسانی معنادار نرم‌افزار یا تغییر سیاست مسیریابی کل مجموعه را تکرار کنید، چون هر یک می‌تواند شاخه را عوض کند بی‌آنکه تنظیم نمایانی جابه‌جا شود. آنچه در پایان می‌خواهید رفتار خطای قابل پیش‌بینی است، نه یک نماد دلگرم‌کننده.
| What I do | What I watch | Evidence to keep |
|---|---|---|
| Bring the tunnel down by hand | Whether a fresh request fails at once | The HTTP code and the client state at that second |
| Choose Disconnect in the client | Whether ordinary access returns on purpose | The same request succeeding with no tunnel up |
| Quit the app, then reboot | Whether the block outlives the client | A request made from a clean boot |
| Move from Wi-Fi to cellular | Whether DNS and IPv6 follow the policy | The resolver answer, the route table and the code again |
استثناها، دروازه‌های مهمان و آنچه یک مسدودی نمی‌تواند
دسترسی به شبکهٔ محلی استثنای رایج است و دامنهٔ وعده را تغییر می‌دهد. کارخواه می‌تواند به چاپگری در همان زیرشبکه برسد در حالی که هر چیز دیگر را مسدود می‌کند، که در خانه معقول و در شبکهٔ مهمان محل پرسش است. پیش از آنکه یک رخداد آن را به‌جای شما کشف کند تصمیم بگیرید این استثنا را می‌خواهید یا نه.
مسدودی سخت ورود به دروازهٔ شبکهٔ مهمان را هم دشوار می‌کند، چون دروازه دقیقاً همان ترافیک مستقیمی است که مسدودی برای توقف آن وجود دارد. راه پشتیبانی‌شدهٔ مجاز کردن شبکه را بیاموزید، سپس سیاست را آگاهانه بازگردانید به جای آنکه کنترل‌ها را خاموش کنید تا صفحه‌ای بارگذاری شود. پاسخ تحلیلگر نام و جدول مسیر را در همان یادداشت نگه دارید، مانند زیر. آنچه کلید قطع اضطراری نمی‌تواند بکند ناشناس کردن سرویس است، چون مسدود کردن ترافیک بیرون تونل چیزی دربارهٔ آنچه درونش می‌گذرد نمی‌گوید.
resolvectl query example.com
ss -tunp | grep -v tun0