De app mei net rinne wylst de VPN oan is: wat dat ôftwingt

Kill switches en regels tsjin oerlaapje wize yn tsjinoerstelde rjochtingen, wat ferklearret wêrom’t gewoane VPN-ynstellingen de twadde nea útdrukke. De kill switch reagearret op in tunnel dy’t sakke is, wylst dizze eask reagearret op in tunnel dy’t omheech is en in app bûten byld hâldt. Ien ûntwerpbeslút makket it measte klear: of de app stoppet wurdt, hindere wurdt te starten, of gewoan fan netwurk tagong berôve wurdt. Kies dy laach foardat jo nei in firewallregel of in proses-deadzjen-lus grype, want in regel dy’t troch observaasje ôftwongen wurdt, lekket by elke start in finster.

De myte: in kill switch hâldt programma’s tsjin om te starten

Kill switches binne ferkearskontrôles, en se binne dêr earlik oer: se tastean of wegerje pakketten neffens de tunnelsteat. Gjinien fan harren wegeret in programma te starten, en gjinien ûndersiket hokker útfierber bestân in socket iepene hat. In buroblêd-snelkoppeling, in plande taak en in eftergrûnhelp bereikke allegear it netwurk sûnder iets te passearjen dat de namme fan de app ken. De ôfstân tusken dy beide meganismen is it plak dêr’t it measte betizing wennet.

De regeling dy’t echt beslút oft in programma starte mei, is applikaasjekontrôle. Op Windows betsjut dat AppLocker of WDAC, en op beheard macOS betsjut it in list fan tastiene applikaasjes dy’t troch it apparaatprofyl ôftwongen wurdt. Beide binne ûnôfhinklik fan de tunnel, dêrom wurde de twa easken yn itselde ticket gearfoege en dêrnei troch gjinien foldien.

Nammje de modus foardat jo it ark nammje

Skriuw de regel as in steatmasine mei trije steaten: gewoan gebrûk, VPN-werksesje en fuortgean. De ferbeane oerlaap heart by de middelste steat, net by de kliïntsoftware.

Wa’t de steat feroaret, hat trije aksjes yn folchoarder: it wurk fan de app ôfmeitsje, syn normale ôfslute freegje en befêstigje dat it eksimplaar fuort is foardat de tunnel omheech komt. Oarder is ek oan de oare kant wichtich, want in VPN dy’t earst ferbynt en it programma dêrnei stopet, hat de oerlaap al tastien. As de eask it meitsjen fan ferbining omfettet, is wachtsje op in ferbûn-yndikator te let.

Wat in twarjochtingskonflikt echt docht

Foar twa tsjinsten dy’t echt troch systemd beheard wurde, is Conflicts= symmetrysk: it starten fan de iene stopet de oare. De unit-referinsje dokumintearret dat gedrach en easket apart in eksplisite oarder as de iene it stopjen ôfmeitsje moat foardat de oare start. Sûnder dy oardere-ynfieringen race stop en start, en it resultaat hinget fan timing ôf.

Dat is gjin ferbeane list. Keppel de ôfhinklikheid ferkeard om en it starten fan de app stopet ynstee de VPN, wat de flater is om te fertinken as in tunnel himsels op in foarsisber momint ôfbrekt. In buroblêdapp is gjin systemd-unit, en in NetworkManager-ferbining is ek gjin unit, dus dit patroan wurket allinnich foar tsjinsten dy’t jo sels omhulse.

Test de oergongen, net allinnich de earste start

Fjouwer oergongen beslisse oft de eask hâldt: de sesje yngean mei de app oan de gong, him op ’e nij starte midden yn de sesje, in mislearre VPN-start en in bewuste ôfbrekking. Test elk en hâld it resultaat njonken de unit-bestannen. De opdrachten hjirûnder lêze de hjoeddeistige relaasje en oefenje dan de oergong dy’t it measte telt.

systemctl show work-vpn.service -p Conflicts -p After
systemctl start work-vpn.service
systemctl is-active office-sync.service
nmcli connection show --active

It tredde opdracht moat de app ynaktyf litte, en it fjirde moat allinnich de tunnelferbining listje wylst in sesje rint. In oar resultaat betsjut dat de oergong hielendal net ôftwongen wurdt.

De werstart yn de sesje is it gefal dat in ûntwerp op basis fan in omhulsel bleatleit, want in snelkoppeling dy’t fan it buroblêd start wurdt, rieplachtet nea in startskript. As dy omgong telt, heart ôftwinging by applikaasjekontrôle en net by de VPN-kliïnt. Dokumintearje ek it ein fan de sesje, en ferkies in bewuste fuortsetting boppe it weriepenjen fan elk proses dat by it ynkommen stoppe is. Skriuw it resultaat fan elke oergong yn deselde nota dêr’t de unit-bestannen yn sitte.