Cén fáth a scaoileann kill switch trácht nuair a athraíonn tú freastalaí
Cén fáth a gcuireann kill switch bac ar thrácht le linn athrú freastalaí, cad a dhéanann an cliant sa bhearna sin, agus conas sos normal a aithint ó bhloc atá sáinnithe.
Roghnaíonn tú freastalaí a bhféachann níos gaire, brúnn tú ar nasc, agus stopann an brabhsálaí ag lódáil sula bhfuil an tollán nua suas. Casann an deilbhín go staid nasctha agus fanann sé ann go dtí go dtagann gach cluaisín as. De ghnáth is é an sos sin an kill switch ag obair mar a dearadh é: tá an trácht bactha fad is nach bhfuil tollán ag an gcliant chun é a sheoladh. Braitheann cé acu atá an sos inghlactha ar a ndéanann an cliant sna soicindí sin, agus ar an bhfuil an bloc á ardú nuair a deir sé go bhfuil.
Cad a dhéanann an cliant idir dhá fhreastalaí
Is roinnt céimeanna é athrú críochphointe, ní lasc amháin. Tarraingíonn an cliant an tollán reatha anuas, nuashonraíonn sé a rialacha bactha, réitíonn sé an críochphointe nua agus sroicheann sé é lasmuigh den tollán, ansin suiteálann sé na róid nua agus ardaíonn sé an bloc. Tá an bhearna a mhothaíonn tú idir an chéad chéim agus an ceann deireanach.
Tá ord níos tábhachtaí ná luas anseo. Má théann na rialacha bactha isteach roimh an eisceacht don chríochphointe nua, ní féidir leis an gcliant an crannchur láimhe a chríochnú agus fanann sé ar nasc go dtí teacht an ama. Má tá an eisceacht ina cóip d'adréas an tseanfhreastalaí, féachann an crannchur láimhe nua cosúil le haon phaicéad eile amach agus caitear é. Féachann an dá chás mar an gcéanna ón mbrabhsálaí, agus is ar an ábhar sin is féidir le hathrú a théann i bhfeidhm i gceann sé shoicind agus ceann nach dtagann chuige féin choíche an chúis chéanna a roinnt.
Teastaíonn poll sa bhloc ón gcríochphointe nua
Chun an tollán a thógáil, caithfidh an cliant paicéid a sheoladh chuig adréas agus port an fhreastalaí nua ar an gcomhéadan fisiceach, mar shampla UDP 51820 do ghnáthphróifíl WireGuard nó 1194 agus 443 do OpenVPN, cibé rud a shonraíonn do phróifíl féin. Níl an trácht sin taobh istigh den tollán atá ar tí a chruthú, mar sin slogann bloc don ghléas iomlán é mura bhfuil riail cheadaithe chomhfhreagrach ann.
Cuireann próifílí bunaithe ar ainm óstaigh an dara riachtanas leis: an chuardach féin. Má réitíonn an cliant an críochphointe sula n-ardaítear an bloc, féadfaidh sé adréas i dtaisce a úsáid, ach nuair a rothlaíonn an phróifíl na hadréasaí nó nuair a éiríonn an iontráil thaisce as dáta, téann an crannchur láimhe chuig adréas nach gclúdaíonn an riail cheadaithe. Déanann IPv6 é seo infheicthe, mar is féidir le críochphointe déchruachta taifead A agus taifead AAAA araon a fhoilsiú, agus fágann riail cheadaithe nach gclúdaíonn ach an t-adréas v4 an cliant ag iarraidh arís in aghaidh adréas v6 atá bactha.
Athraíonn ainmneacha roghanna agus réamhluachanna de réir cliaint agus leagain, mar sin léigh an liosta doiciméadaithe do do cheann féin seachas buille faoi thuairim a thógáil ó scáileáin. Tá tagairt socruithe OpenVPN Connect ag openvpn.net/connect-docs/app-settings-windows ina shampla de conas a chuireann cliant síos ar a chuid roghanna bactha agus tolláin scoite.
Is meaisín stáit é fail-closed, ní lasc
Cuireann formhór na gcliaint an bloc in iúl mar pholasaí balla dóiteáin i dtrí staid: tollán suas, agus trácht ag dul tríd an tollán agus gan aon bhloc; tollán síos, agus an bloc gníomhach; agus idirthréimhse, agus an bloc gníomhach móide eisceachtaí sealadacha don chríochphointe. Is sa tríú staid a chónaíonn na fabhtanna, mar caithfidh sí athrú faoi dhó laistigh de chúpla soicind, agus féachann mainneachtain éalú aisti go beacht cosúil le bloc buan.
Athraíonn an mheicníocht de réir ardáin, agus an teip freisin. Tá meáchain ag scagairí Windows Filtering Platform, mar sin leanann scagaire bactha a sháraíonn do chead ag caitheamh paicéad cé go bhfuil an cead ann, agus scagairí a d'fhág próiseas cliaint marbh ina ndiaidh is féidir leo an meaisín a choinneáil as líne tar éis don aip imeacht. Is gnách le cliaint macOS rialacha pf a scríobh in ancaire, áit a gcinneann ord na rialacha agus cinntí tapa cé acu riail a bhaineann. Is gnách le cliaint Linux slabhra nftables nó iptables a bhainistiú le polasaí drop agus ceadanna sainráite don chríochphointe, don chomhéadan tolláin agus do loopback. Is é always-on VPN Android leis an rogha nasc gan VPN a bhlocáil an ceann is déine sa ghrúpa, mar cuireann an córas oibriúcháin an bloc i bhfeidhm ar an ngléas ar fad seachas de réir aipe.
Teastaíonn nóta dá chuid féin ó WireGuard, mar is roghnóir ród é AllowedIPs, ní blocálaithe. Cinneann sé cé na cinn scríbe a théann isteach sa tollán; ní dhéanann sé rud ar bith chun paicéad nach bhfuil tollán aige fós a stopadh ó imeacht thar Wi-Fi. I socrú WireGuard amháin gan riail balla dóiteáin, is é an kill switch i ndáiríre easpa róid, agus tar éis crannchur láimhe a caitheadh amach féadann paicéad fíor imeacht thar an gcomhéadan fisiceach.
Tomhais an bhearna seachas féachaint ar an deilbhín
Coinnigh súil ar phaicéid, ní ar an solas stádais. Ar Linux, cuir tús le ping mall chuig adréas poiblí i dteirminéal amháin agus gabh port iompair an tolláin ar an gcomhéadan fisiceach i gceann eile:
ping -i 0.2 -c 100 1.1.1.1 | tail -5
sudo tcpdump -ni eth0 'udp port 51820'
Athraigh freastalaí sa chliant agus an dá rud ag rith. Tá trí rud tábhachtach: cé chomh fada a stopann na pingí, an léiríonn an gabháil an crannchur láimhe ag sroicheadh an chríochphointe nua, agus an dtagann an trácht ar ais roimh nó tar éis do staid an chliaint athrú go nasctha. Má chríochnaíonn bearna na bpingí ar dtús, tá an bloc ardaithe go luath nó tá an tollán suas sula n-admhaíonn an táscaire é. Má chríochnaíonn an bhearna níos déanaí, tá an táscaire ródhóchasach.
Ar Windows, scríobhann netsh wfp show state léargas ar féidir leat cuardach a dhéanamh ann do scagairí bactha atá fós i láthair agus an cliant ag maíomh go bhfuil sé dícheangailte. Ar macOS, liostaíonn sudo pfctl -sr na rialacha luchtaithe agus a n-ord. Péireáil ceachtar léargas le log an chliaint féin; insíonn amlíne do phing duit ar chríochnaigh an bloc go déanach nó nár chríochnaigh riamh.
Múchadh normal versus bloc sáinnithe
Is é cuid den bhriseadh cuspóir na gné, mar sin déan triáiste roimh athrú ar bith a dhéanamh ar shocrú:
| What you see | Usually means | Next check |
|---|---|---|
| Two or three seconds of timeouts, then normal browsing | Expected fail-closed gap | Nothing to fix |
| State says connected, traffic stays dead | Block filter or route left behind | Firewall snapshot, client log |
| One app dead while others work | TCP session bound to the old exit address | Restart the app |
| LAN devices unreachable after the switch | LAN exception not reapplied | Allow-LAN or split-tunnel setting |
| New server hangs, the old one reconnects | Permit covers only the old address | Resolved address of the new host, including AAAA |
Má thagann tú i dtír sa dara nó sa chúigiú ró, ná díchumasaigh an kill switch le tástáil, mar casann sé sin fabht ródála ina sceitheadh. Atosaigh seirbhís an chliaint, nó atosaigh an meaisín san áit a maireann scagairí tar éis próiseas a mharú, agus féach an nglanann an bloc. Má ghlanann, is é an glanadh le linn an athraithe atá lochtach, ní an bloc féin.
Roimh do chéad athrú eile, deimhnigh ceithre rud: clúdaíonn cead an chríochphointe gach fine adréis a réitíonn do phróifíl, léiríonn log an chliaint an idirthréimhse críochnaithe, tomhaiseann do thástáil ping an bhearna seachas an deilbhín, agus cuireann scor den chliant an nascacht normal ar ais. Déanann kill switch a sheasann le linn an athraithe agus a scaoiltear ina dhiaidh a chuid oibre. Tá ceann a scaoiltear go luath, nó riamh, fiú a dhífhabhtú.