VPN-tappokytkin: mitä liikennettä se estää ja milloin

Kahta ominaisuutta kuvataan samalla sanalla, ja ne tekevät eri työtä. Automaattinen uudelleenyhdistäminen yrittää tuoda tunnelin takaisin, ja se voi onnistua sekunnissa, kun taas pyynnöt epäonnistuvat sinä aikana. Tappokytkin päättää, mitä liikenteelle tapahtuu tuona aikana. Asiakasohjelman lukeminen ikään kuin nämä kaksi olisivat yksi asetus johtaa siihen, että ihmiset luottavat kuvakkeeseen käytännön sijaan.

Estäminen ja uudelleenyhdistäminen ovat erillisiä päätöksiä

Yksi asiakasohjelma estää vain silloin, kun katkos on odottamaton, ja yhdistää sitten uudelleen ja poistaa eston. Toinen pitää järjestelmätason estoa, kunnes joku muuttaa asetusta käsin, ja kolmas pitää tahallista katkaisua lupana palauttaa tavallinen pääsy. Nämä ovat kolme erilaista käyttäytymistä, ja toimittajan dokumentaatio kertoo, minkä versionsi toteuttaa.

Profiilin tuonti ei ratkaise tätä kysymystä. Sama palvelinprofiili latautuu kahteen asiakasohjelmaan, joilla on vastakkainen estokäyttäytyminen, koska profiili kuljettaa asetuksia eikä lupausta. Siksi myös työpöydän valintaruutu ja samanniminen mobiilikytkin voivat toteuttaa eri sääntöjä. Lue alustasi säätimen vieressä oleva kuvaus ja testaa sitten, mitä se tekee.

Sama profiili käyttäytyy eri tavoin kahdessa asiakasohjelmassa

OpenVPN Connect -sovelluksen asetukset kuvaavat tunnelitilan, joka pitää tavallisen liikenteen vain silloin, kun asiakasohjelma ilmoittaa keskeytetystä tai uudelleenyhdistävästä tilasta, mikä on kapeampi kuin yleinen lupaus jokaisesta tapahtumasta jokaisella alustalla. Lue luetellut tilat, älä tuotteen nimeä. Yhdelle asiakasohjelman versiolle kirjoitettu kuvaus ei siirry toisen toimittajan asiakasohjelmaan.

Android näyttää saman sanan kahdessa säätimessä, koska aina päällä oleva VPN ja yhteyksien estäminen ilman VPN:ää dokumentoidaan erikseen. Työpöytäasiakasohjelma, jossa on samanniminen valintaruutu, voi toteuttaa jotain kapeampaa tai laajempaa kuin kumpikaan niistä. Pidä kahdessa valikossa toistuvaa merkintää sattumana, kunnes molemmat kuvaukset on luettu. Hallitut laitteet lisäävät kolmannen kerroksen, koska laiteprofiili voi pakottaa asetuksen, jota käyttäjä ei näe eikä voi kumota.

Samannäköiset alusta-asetukset eivät ole samanarvoisia

Vertaa näkemääsi säädintä käytäntöön, joka todella pätee. Hallitulla laitteella näkyvä kytkin voi olla harmaa tai päällä, kun taas ylemmän tason profiili pakottaa päinvastaisen. Kysy tehokasta käytäntöä paikallisen sijaan ja pyydä vastaus kirjallisena.

Kirjaa ylös, mitä kukin kerros väittää, ennen kuin testaat mitään, koska ne ovat usein eri mieltä ja erimielisyys on helppo menettää, kun testit alkavat. Laite, joka estää testin aikana oikein, saattaa estää syystä, jota kukaan ei dokumentoinut.

Suorita yksi tapahtuma kerrallaan ja kirjaa koodi

Testaa yksi tapahtuma kerrallaan vaarattomalla pyynnöllä ja tee jokaisesta yrityksestä uusi pyyntö eikä sivua, joka saattaa olla jo välimuistissa. Alla olevat komennot laskevat tunnelin alas, pyytävät sivun ja näyttävät, tuliko liitäntä takaisin.

ip link set tun0 down
curl -s -o /dev/null -w "%{http_code}\n" --max-time 5 https://example.com
ip -brief address show tun0

Taulukko yhdistää jokaisen toiminnon olennaiseen havaintoon ja säilyttämisen arvoiseen todisteeseen. Pyyntö, joka epäonnistuu aikarajan sisällä, kertoo eston astuneen voimaan; pyyntö, joka menee läpi, kertoo liikenteen löytäneen toisen reitin, joka voi olla pois jätetty reitti eikä poistettu esto. Toista koko sarja merkittävän ohjelmistopäivityksen tai reitityskäytännön muutoksen jälkeen, koska kumpi tahansa voi muuttaa haaran ilman, että yksikään näkyvä asetus liikkuu. Lopuksi haluat ennustettavaa epäonnistumiskäyttäytymistä, et rauhoittavaa kuvaketta.

Poikkeukset, vierasportaalit ja mitä esto ei voi tehdä

Pääsy paikallisverkkoon on tavallinen poikkeus, ja se muuttaa lupauksen laajuutta. Asiakasohjelma voi tavoittaa samassa aliverkossa olevan tulostimen estäessään kaiken muun, mikä on kotona järkevää ja vierasverkossa kyseenalaista. Päätä, haluatko tämän poikkeuksen, ennen kuin tapaus löytää sen puolestasi.

Tiukka esto tekee myös vierasverkon portaaliin kirjautumisesta hankalaa, koska portaali on juuri se suora liikenne, jonka pysäyttämiseksi esto on olemassa. Opi tuettu tapa valtuuttaa verkko ja palauta sitten käytäntö tietoisesti sen sijaan, että kytkisit säätimiä pois, kunnes sivu latautuu. Pidä nimipalvelimen vastaus ja reititystaulukko samassa muistiinpanossa, kuten alla. Mitä tappokytkin ei voi tehdä, on tehdä palvelusta anonyymia, koska tunnelin ulkopuolisen liikenteen estäminen ei kerro mitään siitä, mitä sen sisällä tapahtuu.

resolvectl query example.com
ss -tunp | grep -v tun0