Oerlibbet in VPN-noodskakelder in werstart? Hoe’t jo it ferifiearje

Werstarten is de meast foarkommende manier wêrop minsken in noodskakelder teste, en it is de test dy’t it meast lichtet. It oanfinkfakje yn ’e klant is in foarkar; wat telt is oft iets in blokkade ôftwingt tusken it momint dat de netwurkstapel omheech giet en it momint dat de tunnel wier oanlein is. Op Windows is dat iets meastentiids in filter yn Windows Filtering Platform, op Linux in regelset laden troch in ienheid, op macOS in pf-anker, op Android de eigen flaggen fan it systeem foar altyd-oan en beskoattelje. Dizze regelingen gedrage har tige ferskillend oer in werstart, en allinnich dy op platfoarmnivo binne op har plak foardat immen oanmelde kin.

Werstarten stelt trije aparte fragen

Diel de fraach. Earst, bestiet it belied op skiif yn in foarm dy’t iets by it opstarten lêst? Twad, rint dy lêzer foardat hokker ferkear dan ek fuortgean kin? Tred, dekt it belied it ferkear dêr’t jo om jouwe, dat is elk proses, beide adresfamyljes en DNS. In ja op it earste en in nee op it twadde leverje krekt de fout op dy’t minsken rapportearje as in noodskakelder dy’t in werstart net oerlibbet: ferkear ûntsnapt by it opstarten in pear sekonden, en nimmen merkt it oant immen gean sykjen giet.

Hâld de lagen apart. In bewarre brânmuorre-regelset, in tsjinst dy’t by it opstarten begjint en in klantfoarkar binne trije ferskillende objekten mei trije ferskillende libbensdieren. It foarkar oerlibbet werstarts om’t it in wearde yn in konfiguraasjebestân is. De regels binne it iennige dat pakketten blokkearret, en se ferdwine mei de kearn dy’t se hie.

Fyn it objekt dat de blokkade werombringt

Op Linux libje netfilter-regels yn ’e kearn. Neat skriuwt se by it opstarten werom, útsein as jo dat regele hawwe: iptables-save plus netfilter-persistent, nftables.service laadt /etc/nftables.conf, of in systemd-ienheid dy’t jo eigen skript rint. Kontrolearje wat oan stiet, ynstee fan wat jo jo herinnerje konfigurearre te hawwen.

systemctl is-enabled nftables netfilter-persistent 2>/dev/null
sudo nft list ruleset
sudo iptables -S OUTPUT

In leech regelset in pear sekonden nei it opstarten is it antwurd op ’e fraach yn ’e titel. Op Windows freegje jo de klantsjinst hoe’t dy begjint, en dan dumpe jo de status fan it platfoarmfilter wylst de tunnel del is.

Get-Service | Where-Object { $_.Name -match 'vpn' } | Select-Object Name, Status, StartType
netsh wfp show state

It twadde kommando skriuwt wfpstate.xml nei de hjoeddeiske map. Sykje nei filters mei in blokkade-aksje dy’t al besteane foardat de klant ferbynt. Base Filtering Engine begjint betiid by it opstarten en set filters werom dy’t tafoege binne mei de permaninte flagge, dêrom blokkearje guon noodskakelders ferkear foardat der ea in klantfinster is en oaren net. Op macOS, sudo pfctl -s info rapportearret oft pf oan is, sudo pfctl -s rules lit sjen wat laden is, en VPN-klanten heakje har regels meastentiids oan in anker ynstee fan oan ’e haadregelset. In regel dy’t utun3 neamt kin nei de folgjende opstart nei in oare interface wize, om’t dat nûmer by it rinnen tawiisd wurdt.

Hâld it gat yn ’e gaten tusken netwurk-op en tunnel-op

It gefaarlike ynterval is net de hiele werstart, it is it gat. De interface krijt op in stuit in hier en in standertrûte, de VPN-tsjinst begjint op in oar, en de tunnel autentisearret noch letter, soms pas neidat in brûker oanmeld is en in bewiisagint rûn hat. As de blokkade as lêste tapast wurdt, giet alles yn it gat iepen nei bûten.

Op systemd-hosts lêze jo de folchoarder ynstee fan te rieden. Rin systemctl cat op ’e VPN- en brânmuorre-ienheden en sykje nei After= of Before= tsjin network-pre.target en network-online.target. In brânmuorre-ienheid dy’t nei network-online.target oardere is ferliest fan ’e interface; ien dy’t troch network-pre.target frege en dêrfoar oardere is wint. Op Windows binne de lykweardige fragen it starttype fan ’e tsjinst en har ôfhinklikens, om’t in tsjinst op Manual gjin proses by it opstarten blokkearje kin. As jo eask ferkear foar oanmelding omfettet, foldocht allinnich in regeling op apparaatnivo dêroan: in Always On VPN-apparaattunnel autentisearret mei in masinebewiis en ferbynt foardat de brûker oanmeldt, en Microsoft dokumintearret de konfiguraasje fan de apparaattunnel apart fan ’e brûkerstunnel. Android nimt de oare wei, twingt altyd-oan-VPN ôf en blokkearret ferbiningen sûnder dy út it systeem, net út in applikaasjeproses.

Rin de test, fergelykje dan twa tiidlinen

Werstart mei in bestimming dy’t neat kostet as it lekket, en fêstlizze de status yn it gat ynstee fan dêrnei. De skjinste metoade is in opstartsonde: in oneshot-ienheid of in plande taak dy’t sa betiid begjint as it platfoarm tastean, de standertrûte en de brânmuorrestatus fêstleit, ien fersyk mei in koarte tiidlimit besiket en in rigel oan in lokaal bestân taheakket. Fergelykje dat ferslach mei de starttiid fan ’e VPN-tsjinst út journalctl -b -u of it systeemlog.

Rin dan de gewoane test: tunnel omheech, ferbrek de ferbining, sjoch oft direkt ferkear blokkearre wurdt, set werom. It twadde slagje en it earste misse is it normale resultaat, en it betsjut dat de hanthaving oan ’e klantkant is, tapast as de klant ferbynt en net by it opstarten. Op ’e lêste masine dy’t ik audite, kaam de blokkade fan in NetworkManager-ferstjoerderskript: oanwêzich en korrekt en nutteleas foar de sekonden foardat de interface omheech gie. Skriuw beide resultaten op, om’t it oerlibjen fan in werstart pas wat betsjut as jo sizze hokker laach oerlibbe en fan hokker momint ôf.

Slút it gat sûnder jo weromwei te brekken

As de blokkade by it opstarten mist, ferpleatse jo de hanthaving in laach nei ûnderen ynstee fan in twadde klantregel ta te foegjen. Bewarje it regelset en laad it út in ienheid oardere foardat it netwurk brûkber is, en soargje derfoar dat dy ienheid gjin DNS-syktocht of in netwurkmount nedich hat dy’t it beskermje moat. Omfang telt likefolle as tiidstip: regels dy’t op in brûkers-ID of in cgroup passe litte elke systeemdaemon bûten de blokkade, en in regelset dat allinnich IPv4 behannelet lit IPv6 en DNS berikber.

Lit josels in weromwei. In masine dy’t by it opstarten alles blokkearret en dan net autentisearje kin hat hielendal gjin netwurk, en de oplossing is net de blokkade wiskje mar it bewiis of de folchoarder reparearje. Hâld in dokumintearre proseduere foar de lokale konsole en in smelle, bewuste útsûndering foar wat de tunnel wier nedich hat, lykas it serveradres en de resolver dy’t brûkt wurdt foardat de tunnel bestiet.

Foardat jo de opstelling fertrouwe, befêstigje fjouwer dingen yn folchoarder. It belied is earne bewarre dêr’t it opstarten lêst. Dy lêzer rint foardat de interface brûkber is. De blokkade dekt beide adresfamyljes en DNS. De VPN kin noch autentisearje wylst de blokkade aktyf is. As alle fjouwer jilde, feroaret in werstart neat.