An seasann lasc cosanta VPN athshlánú? Conas é a fhíorú

Is é athshlánú an bealach is coitianta a thástálann daoine lasc cosanta, agus is é an tástáil is mó a insíonn bréaga. Is rogha é an ticbhosca sa chliant; is é an rud atá tábhachtach ná an gcuireann rud éigin bloc i bhfeidhm idir an nóiméad a éiríonn an charn líonra agus an nóiméad a bhunaítear an tollán i ndáiríre. Ar Windows is gnách gur scagaire sa Windows Filtering Platform an rud sin, ar Linux sraith rialacha a luchtaíonn aonad, ar macOS ancaire pf, ar Android bratacha an chórais féin do always-on agus glasála. Iompraíonn na socruithe sin go han-difriúil thar athshlánú, agus ní bhíonn ach na cinn ag leibhéal an ardáin ina n-áit sula féidir le duine ar bith síniú isteach.

Cuireann athshlánú trí cheist ar leith

Roinn an cheist. Ar dtús, an bhfuil an polasaí ar an diosca i bhfoirm a léann rud éigin ag am tosaithe? Ar an dara dul síos, an ritheann an léitheoir sin sula féidir aon trácht a fhágáil? Ar an tríú dul síos, an gclúdaíonn an polasaí an trácht a bhfuil cúram ort faoi, is é sin gach próiseas, an dá theaghlach seoladh agus DNS. Tugann sea don chéad cheann agus ní hea don dara ceann go díreach an mhainneachtain a thuairiscíonn daoine mar lasc cosanta nach seasann athshlánú: éalaíonn trácht ar feadh cúpla soicind ag am tosaithe, agus ní thugann aon duine faoi deara go dtí go dtéann duine ag cuardach.

Coinnigh na cisil ar leithligh. Is trí rud éagsúla le trí shaol éagsúla iad sraith rialacha balla dóiteáin a shábháiltear, seirbhís a thosaíonn ag am tosaithe agus rogha cliaint. Seasann an rogha athshlánuithe mar gur luach i gcomhad cumraíochta é. Is iad na rialacha an t-aon rud a chuireann bac ar phaicéid, agus imíonn siad leis an eithne a bhí á gcoinneáil.

Aimsigh an rud a athshocraíonn an bloc

Ar Linux maireann rialacha netfilter san eithne. Ní scríobhann aon rud ar ais iad ag am tosaithe mura bhfuil sé socraithe agat: iptables-save móide netfilter-persistent, nftables.service luchtaíonn /etc/nftables.conf, nó aonad systemd a ritheann do script féin. Seiceáil cad atá cumasaithe in ionad an rud a mheabhraíonn tú a bheith cumraithe agat.

systemctl is-enabled nftables netfilter-persistent 2>/dev/null
sudo nft list ruleset
sudo iptables -S OUTPUT

Is é sraith rialacha folamh cúpla soicind tar éis tosaithe an freagra ar an gceist sa teideal. Ar Windows fiafraigh den tseirbhís chliaint conas a thosaíonn sé, ansin déan stát an scagaire ardáin a dhumpáil agus an tollán síos.

Get-Service | Where-Object { $_.Name -match 'vpn' } | Select-Object Name, Status, StartType
netsh wfp show state

Scríobhann an dara ordú wfpstate.xml chuig an eolaire reatha. Lorg scagairí le gníomh blocála atá ann cheana sula nascann an cliant. Tosaíonn Base Filtering Engine go luath agus athchóiríonn sé scagairí a cuireadh leis an mbratach mharthanach, agus sin an fáth a gcuireann roinnt lasca cosanta bac ar thrácht sula bhfuil aon fhuinneog chliaint ann agus nach gcuireann cinn eile. Ar macOS, sudo pfctl -s info tuairiscíonn sé an bhfuil pf cumasaithe, sudo pfctl -s rules taispeánann sé cad atá luchtaithe, agus is gnách go gceanglaíonn cliaint VPN a rialacha d’ancaire seachas don phríomhshraith rialacha. Is féidir le riail a ainmníonn utun3 pointeáil chuig comhéadan eile tar éis an chéad athshlánú eile, mar go ndáiltear an uimhir sin ag am rite.

Faire ar an mbearna idir líonra suas agus tollán suas

Ní hé an t-athshlánú iomlán an t-eatramh contúirteach, is í an bhearna é. Faigheann an comhéadan léas agus bealach réamhshocraithe ag pointe amháin, tosaíonn seirbhís VPN ag pointe eile, agus déanann an tollán fíordheimhniú níos déanaí fós, uaireanta ach tar éis d’úsáideoir síniú isteach agus gníomhaire dintiúirí a rith. Má chuirtear an bloc i bhfeidhm go deireanach, téann gach rud sa bhearna amach go soiléir.

Ar óstach systemd, léigh an t-ordú seachas é a thomhas. Rith systemctl cat ar na haonaid VPN agus balla dóiteáin agus lorg After= nó Before= i gcoinne network-pre.target agus network-online.target. Cailleann aonad balla dóiteáin atá ordaithe tar éis network-online.target don chomhéadan; bíonn an ceann a n-iarrann network-pre.target agus atá ordaithe roimhe sin i réim. Ar Windows is iad na ceisteanna comhionanna cineál tosaithe na seirbhíse agus a spleáchais, mar ní féidir le seirbhís atá socraithe ar Manual próiseas ag am tosaithe a bhlocáil. Má chuimsíonn do riachtanas trácht roimh shíniú isteach, ní shásaíonn ach socrú ar leibhéal feiste é: déanann tollán feiste Always On VPN fíordheimhniú le teastas meaisín agus nascann sé sula síníonn an t-úsáideoir isteach, agus Déanann Microsoft cumraíocht tollán na feiste a dhoiciméadú ar leithligh ó thollán an úsáideora. Tógann Android an bealach eile, ag forchur VPN always-on agus ag blocáil naisc gan é ón gcóras seachas ó phróiseas feidhmchláir.

Rith an tástáil, ansin cuir dhá amlíne i gcomparáid

Athshlánú le ceann scríbe nach gcailleann aon rud má sceitheann sé, agus gabh an stát le linn na bearna seachas ina dhiaidh. Is é an modh is glaine ná probe ag am tosaithe: aonad oneshot nó tasc sceidealaithe a thosaíonn chomh luath agus a cheadaíonn an t-ardán, a thaifeadann an bealach réamhshocraithe agus stát an bhall dóiteáin, a dhéanann iarracht ar aon iarratas amháin le teorainn ama ghearr agus a chuireann líne le comhad áitiúil. Cuir an taifead sin i gcomparáid le ham tosaithe na seirbhíse VPN ó journalctl -b -u nó ó log an Chórais.

Ansin rith an ghnáth-thástáil: tollán suas, bris an nasc, féach an bhfuil trácht díreach blocáilte, athchóirigh. Is é an gnáththoradh an dara ceann a rith agus an chéad cheann a mhainneachtain, agus ciallaíonn sé go bhfuil an forfheidhmiú ar thaobh an chliaint, curtha i bhfeidhm nuair a nascann an cliant seachas ag am tosaithe. Ar an meaisín deireanach a rinne mé iniúchadh air, tháinig an bloc ó script seoltóra NetworkManager: i láthair agus ceart agus gan úsáid do na soicindí sula n-éiríonn an comhéadan. Scríobh an dá thoradh síos, mar ní chiallaíonn maireachtáil trí athshlánú aon rud go dtí go ndeir tú cén ciseal a mhair agus ó cén nóiméad.

Dún an bhearna gan do bhealach ar ais a bhriseadh

Má tá an bloc ar iarraidh ag am tosaithe, bog an forfheidhmiú síos ciseal amháin seachas dara riail chliaint a chur leis. Sábháil an tsraith rialacha agus luchtaigh í ó aonad atá ordaithe sula bhfuil an líonra inúsáidte, agus déan cinnte nach dteastaíonn ón aonad sin fiosrúchán DNS ná feistíocht líonra atá le cosaint aige. Tá an raon chomh tábhachtach leis an am: fágann rialacha a mheaitseálann aitheantas úsáideora nó cgroup gach deamhan córais lasmuigh den bhloc, agus fágann sraith rialacha nach láimhseálann ach IPv4 IPv6 agus DNS inrochtana.

Fág bealach ar ais duit féin. Níl aon líonra ar chor ar bith ag meaisín a chuireann bac ar gach rud ag am tosaithe agus nach féidir leis fíordheimhniú ina dhiaidh sin, agus ní hé an leigheas an bloc a scriosadh ach an dintiúr nó an t-ordú a dheisiú. Coinnigh nós imeachta doiciméadaithe do chonsól áitiúil agus eisceacht chúng, d’aon ghnó, don rud a dteastaíonn ón tollán i ndáiríre, mar sheoladh an fhreastalaí agus an réiteoir a úsáidtear sula bhfuil an tollán ann.

Sula gcuireann tú muinín sa socrú, deimhnigh ceithre rud in ord. Tá an polasaí stóráilte in áit a léann an tosú. Ritheann an léitheoir sin sula bhfuil an comhéadan inúsáidte. Clúdaíonn an bloc an dá theaghlach seoladh agus DNS. Is féidir le VPN fós fíordheimhniú agus an bloc gníomhach. Nuair a sheasann na ceithre rud, ní athraíonn athshlánú aon rud.