Always-on VPN as kill switch: hokker hawwe jo echt ynskeakele?

Always-on en kill switch steane twa rigels fan elkoar op itselde ynstellingsskerm, dêrom lêze minsken se as twa nammen foar ien funksje. Dat binne se net. Always-on is in werferbiningbelied: start de tunnel by it opstarten, hellet him werom nei in crash of in netwurkferoaring en bliuwt besykjen wylst it mislearret. In kill switch is in ferkearsbelied: hy neamt de pakketten dy’t noch fan de masine ôf meie wylst de tunnel del is. Jo kinne it earste sûnder it twadde ynskeakelje, en op de measte platfoarms lit it standertresultaat yn de gat noch ferkear út.

Kontrôle 1: is de blokkade in eigen skeakel?

Op Android 10 en letter iepenet in bewarre VPN-profil efter it toskrêd-ikoan twa ûnôfhinklike skeakels: Always-on VPN en Ferbinings sûnder VPN blokkearje. Allinnich de twadde is de kill switch. Mei allinnich always-on komt de tunnel nei in fal werom, mar elke app midden yn in fersyk berikt it netwurk oer Wi-Fi of mobyl data oant dat bart.

Behearderde apparaten hâlde deselde splitsing yn de belieds-API. setAlwaysOnVpnPackage() nimt de pakketnamme en in flagge lockdownEnabled; wa’t pakket set en de flagge falsk lit, hat in bliuwende tunnel boud, gjin sletten apparaat. De formulearring yn’e konsole makket dat ferskil selden sichtber.

Lês de tastân fan it apparaat, net fan de konsole: adb shell settings get global always_on_vpn_app en adb shell settings get global always_on_vpn_lockdown. Jout de earste null werom, dan is op platfoarmnivo gjin pakket twongen; jout de twadde 0 werom, dan blokkearret it platfoarm neat. De Android-VPN-gids beskriuwt dizze as aparte mooglikheden, net as ien modus.

Kontrôle 2: hokker laach hat de blokkade?

Labels libje yn’e klient en blokkades meast yn’e firewall, dêrom betsjut itselde wurd op elk platfoarm wat oars. De rigels hjirûnder binne it befêstigjen wurdich foar’t jo ien fertrouwe.

Windows is it dúdlikste foarbyld fan in label dat net blokkearret. Always On beskriuwt dêr it trochgean fan de tunnel: in apparaattunnel foar masine-autentikaasje, in brûkerstunnel foar it oanmelde akkount, ynsteld fia profyl-XML of Add-VpnConnection. Neat yn dat profyl hâldt in útgeand pakket tsjin as de tunnel mist, en útgeande filtering stiet net standert oan, dus in laptop op Wi-Fi bliuwt wurkjen wylst de VPN del is.

WireGuard splitset itselde, mar per klient. WireGuard foar Windows hat in opsje per tunnel, Net-tunnele ferkear blokkearje, dy’t filterregels ynstallearret; de Linux-ark hawwe gjin sa’n skeakel. wg-quick foeget in rûte ta foar elk AllowedIPs-item plus in fwmark-regel, en wg-quick down hellet beide fuort, sadat de fysike standertrûte wer oernimt sûnder ferlern pakket der tusken.

Op Apple-platfoarms komt always-on as in behearprofylfunksje foar tafersjoch-apparaten en wurdt útdrukt as regels op oanfreegje, net as in oanfinkfakje. De fraach út’e lading is oft in mislearre tunnel ferkear wegeret of allinnich in oare ferbining freget. De menutitel sil it jo net sizze.

Kontrôle 3: mjit de gat, net it ikoan

Fjouwer oergongen telle, en se mislearje ferskillend: opstarten foar’t immen oanmeldt, sliep en wekker wurden, in feroaring fan Wi-Fi nei mobyl data, en in klientcrash dy’t de tunnelinterface heal ynsteld efterlit. In skjinne werferbining op ien fan harren bewiist neat oer de oare trije.

De goedkeapste test stopet de tunnel mei opsetsin en besiket dan nei bûten te gean. Mei de tunnel del betsjut curl -m 5 -sS -o /dev/null -w '%{http_code}' https://example.com dat 200 weromjout dat it belied fail-open is; in timeout of in wegere ferbining betsjut dat der noch wat blokkearret. ip route get 1.1.1.1 neamt de interface dy’t it pakket drage soe, wat meast mear seit as it tray-ikoan, en systemctl status wg-quick@wg0 lit sjen oft de interface skjin fuorthelle is.

Run deselde test yn in twadde finster wylst it netwurk feroaret, net allinnich dêrnei. It skoft tusken de fal en de nije poging is it wichtichste part, en in namnesyk is de fluchste manier om te merken dat ferkear ûntkommen is: antwurdet de lokale resolver wylst de tunnel del is, dan is de blokkade net folslein.

Kontrôle 4: beslút de útsûnderingen foar’t jo ôfslute

Twa útsûnderingen binne struktureel. De klient moat de VPN-tsjinner sels berikke, dus in regelset dy’t alles fuortsmyt foarkomt ek de werferbining dy’t de beskerming werombringe soe. In captive portal is ek net berikber troch in tunnel dy’t net stiet, dus in ôfsletten apparaat op hotel-Wi-Fi hat in dokumintearre manier nedich om it portal te iepenjen, gjin betocht ien.

In minimale foarm, einpunt tastien en al it oare fuortsmiten:

table inet vpnlock {
  chain output {
    type filter hook output priority 0; policy drop;
    oifname "lo" accept
    ip daddr 203.0.113.10 udp dport 51820 accept
    oifname "wg0" accept
  }
}

Behannelje dy einpunt-rigel as in fariabele, net as in konstante. Providers draaie adressen, en in ferâldere útsûndering is de gewoane reden wêrom’t in wurkjende kill switch in apparaat wurdt dat net werferbine kin. Lokale printers, NAS-dielingen en ûntwikkeltsjinsten hearre yn deselde skreaune list, oars wurde se ien supportticket tagelyk ûntdutsen.

Kontrôle 5: skriuw op wat jo echt bewiisd hawwe

Hâld in tabel mei fjouwer kolommen en folje dy troch te testen: tastân, ferwachte gedrach, waarnommen gedrach, bewiis. De rigels binne de oergongen út kontrôle 3 plus ien opsetlike mislearring. In rigel dy’t jo net mei komando-útfier folje kinne, is in rigel dy’t jo net test hawwe, en in apparaat dat de werferbiningsrigel hellet en op’e opstartrigel mist, is gewoan genôch om de ekstra tsien minuten wurdich te wêzen.

Foar’t jo it klear neame:

• Befêstigje dat de blokkade-ynstelling apart is fan de werferbining-ynstelling, en lês har wearde op it apparaat.
• Wit hokker laach de blokkade útfiert - klientopsje, apparaatbelied of firewall - en wêr’t dy laach ynsteld wurdt.
• Hâld ien testkommando dat de blokkade bewiist, en run it by in oergong, net dêrnei.
• Skriuw de útsûnderingslist op, einpunt ynbegrepen, en notearje wa’t fernijt.
• Op beheardere hardware lit it twongen belied gewurde; de blokkade fuorthelje feroaret de eask yn plak fan de tunnel te reparearjen.