Script íslithe nó riail balla dóiteáin: cé acu a stopann an sceitheadh?
Tá sé gairbhéalach comhéadain a ísliú ag an dícheangal agus is minic a ritheann sé gan pribhléidí. Cuir é i gcomparáid le riail balla dóiteáin a mhaireann an titim agus a dhúnann an bhearna.
Geallann dhá dhearadh an rud céanna: nuair a thiteann an tollán, ní théann aon rud amach go soiléir. Ritheann ceann acu script ag an íslithe agus gearrann sé comhéadain. Fágann an ceann eile riail balla dóiteáin i bhfeidhm agus ní iarrann sé aon rud ar an gcliant VPN. Tá siad difriúil ó thaobh cé a bhfuil an phribhléid aige gníomhú, cad a tharlaíonn le linn na bearna agus conas a fhágann an meaisín ar líne arís ina dhiaidh. Is úsáidí iad a chur i gcomparáid ar na trí phointe sin ná a bheith ag argóint faoi cé acu is déine.
An post céanna trí dhá mheicníocht
Is féidir leis an gcliant crúcaí a rith nuair a éiríonn an tollán agus nuair a íslítear é, ar choinníoll go gceadaíonn an phróifíl scripteanna a fhorghníomhú. Ritheann an crúca sin laistigh de shaolré an chliaint, tráth a dhúnann an nasc. Riail balla dóiteáin, os a choinne sin, is leis an gcóras í agus ní cás léi an bhfuil an cliant ag rith, tar éis titim nó tar éis a mharaithe.
| Property | Teardown script | Firewall unit |
|---|---|---|
| Runs when the client is killed | No | Yes |
| Needs privilege at teardown time | Usually yes | Configured once, at boot |
| Acts on the whole machine | Often, including recovery paths | Only on the flows it matches |
Is í an tábla sin an argóint ar fad. Clúdaíonn script nach ritheann ach ag dúnadh réidh an cás ba lú a bhí ag déanamh imní duit; is é an cás atá tábhachtach an timpiste nó an líonra ag imeacht, agus ní thugann ceachtar acu íslithe glan.
Cad is féidir leis an gcrúca íslithe a dhéanamh agus nach féidir
Siúlann an patrún doiciméadaithe na comhéadain líonra agus íslíonn sé gach rud seachas loopback. Agus an gléas fisiceach síos, ní féidir le haon rud éalú lasmuigh den tollán, agus is é sin go díreach an rún.
#!/bin/sh
for dev in /sys/class/net/*; do
name=$(basename "$dev")
[ "$name" = lo ] || ip link set dev "$name" down
doneÍslíonn sé an líonra áitiúil freisin, aon tseirbhís a óstálann an meaisín, agus an cosán a d’úsáidfeá chun an fhadhb a shocrú. Ar ríomhaire glúine bíonn gá ag an ngléas gan sreang le scor de láimh ina dhiaidh uaireanta, mar sin is seisiún deisiúcháin a bhíonn i gciorradh gairid. Níos measa fós, b’fhéidir nach bhfuil cead ag an gcrúca aon rud díobh sin a dhéanamh: nuair a ghéilleann an cliant a phribhléidí, ritheann an script íslithe faoin gcuntas neamhphribhléideach, agus teipeann ar gach athrú comhéadain le hearráid cheada a scríobhtar an nóiméad nach léann aon duine an loga.
Seiceáil conas a thosaítear an cliant sula gcuireann tú muinín sa chrúca. Ní chruthaíonn script a oibríonn nuair a ritheann tú de láimh é mar root aon rud faoin tseirbhís a thosaíonn ag an am tosaithe.
Cad a dhéanann an riail balla dóiteáin go difriúil
Leanann riail nach gceadaíonn ach trácht an tolláin ag obair nuair atá próiseas an chliaint imithe, mar ní bhíonn an t-eithne ag brath ar an bpróiseas sin. Tá an riail níos cúinge freisin: blocálann sí go díreach na sreafaí a mbíonn sí ag freagairt dóibh agus fágann sí loopback, an tsubhreise áitiúil agus an cosán téarnaimh ina suí, agus is é sin an fáth nach bhfágann sí an meaisín ina stad.
Is é an costas ná go gcaithfidh an té a bhfuil balla dóiteáin an óstaigh aige an riail a scríobh agus a choinneáil, agus caithfidh sí an gléas tolláin a ainmniú a chruthaíonn an cliant i ndáiríre. Ciallaíonn sé sin go gcaithfear an riail agus an phróifíl a chothabháil le chéile; fágann comhéadan athainmnithe balla dóiteáin a bhíonn ag blocáil gach rud agus nach mínionn aon rud.
Ní dhéanann ceachtar meicníocht an ceann eile a dhíchur. Tá riail balla dóiteáin nach n-athlódáiltear riamh tar éis eagarthóireachta chomh ficseanúil le script nach ritheann riamh.
Cinneann persist-tun an bhfuil bearna ann
Nuair a mhaireann an gléas tolláin dícheangal, maireann na bealaí a dhíríonn isteach ann freisin. Caitear an trácht ansin seachas é a atreorú, mar sin ní thiteann an bealach réamhshocraithe ar ais chuig an ngeata fisiceach. Is é an t-iompar sin a dhéanann sceitheadh neamhdhóchúil fiú sula mbíonn aon riail balla dóiteáin i gceist.
Gan an socrú sin, baintear an gléas agus na bealaí leis, agus is féidir leis an mbealach réamhshocraithe réiteach ar ais chuig an ngeata fisiceach. Braitheann sé ar an ardán agus ar an gcliant an ndéanfaidh sé sin, agus is ar an gcúis sin go díreach a chaithfear breathnú ar an riocht seachas glacadh leis. Caith leis an socrú mar chuid den kill switch, ní mar rogha feidhmíochta.
Coinnigh an cosán athcheangail beo, ansin tástáil ceithre riocht
Is féidir le bac daingean cosc a chur ar an gcliant athcheangal freisin, mar tá bealach chuig an bhfreastalaí ag teastáil ón gcliant fós tríd an ngeata fisiceach agus gach rud eile á dhiúltú. Suiteáil bealach óstaigh don aon seoladh sin sula n-éiríonn an tollán, agus réitigh an t-ainm ar dtús, mar d’fhéadfadh DNS a bheith blocáilte faoin am a mbeidh sé uait.
ip route add 198.51.100.20/32 via 192.168.0.1 dev wlan0Ansin fíoraigh na riochtaí seachas an lipéad. Cleacht ceithre nóiméad go toiliúil: fuar-thosú gan tollán, seisiún sláintiúil, titim nár iarr aon duine, agus an seisiún tar éis dó teacht slán. Ag gach nóiméad léigh an bealach réamhshocraithe agus déan iarratas amháin a bhfuil a sheoladh amach le feiceáil. Ní deir feidhmchlár a thugann suas agus an tollán síos aon rud faoi chliant poist nó faoi nuashonróir, mar sin déan an tseiceáil dheireanach arís le haon fheidhmchlár cúlra. Scríobh an riail, ainmneacha na gcomhéadan agus na céimeanna téarnaimh síos, mar is ráfla kill switch nach féidir le haon duine a fhíorú.