Bloqueará o teu interruptor de seguridade a aplicación que excluíches do túnel?

Interruptor de seguridade activado, unha aplicación excluída deliberadamente do túnel e os dous requisitos agora contradinse. Un di que nada pode saír agás polo túnel, o outro di que este programa debe ir directo. Cada cliente resolve ese conflito de xeito distinto, e a páxina de axustes raramente explica que regra gaña. Escribe a política por aplicación antes de confiar en calquera etiqueta.

Dúas políticas, unha máquina

Un interruptor de seguridade é unha promesa sobre o fallo: cando o túnel non protexe o tráfico, o tráfico detense. O túnel dividido é unha promesa sobre a selección: estes programas ou destinos usan o túnel, e aqueles non. A segunda promesa crea tráfico sobre o que a primeira debe decidir. Ningunha promesa é errónea; simplemente escribiunas persoas distintas para ameazas distintas.

Hai tres resultados posibles e só un é o que pretendía o despregue. A aplicación excluída pode quedar directa durante unha caída, o que respecta a división e rompe o interruptor. Pode quedar bloqueada con todo o demais, o que respecta o interruptor e rompe a división. Ou pode bloquearse só ás veces, segundo como avalíe a plataforma a regra despois de que desapareza unha interface. Ese último caso é o que xera incidencias.

Escribe a lista de aplicacións antes da regra

Enumera os programas que deben usar o túnel, os que deben ir directos e os nomes ou destinos que nunca deben aparecer en ningunha das dúas listas. Inclúe por separado o comportamento do resolutor e o lado IPv6, porque ambos poden seguir unha política distinta da do tráfico de páxinas.

As regras por aplicación adoitan coincidir cun executable ou un paquete, non cun perfil dentro del. Un perfil de navegador, unha ventá privada e unha extensión non levan identidade de rede propia, así que herdan o que recibiu o proceso. Un proceso auxiliar lanzado por ese navegador pode non herdar a mesma regra en absoluto.

Fan falta dúas listas, non unha: o que o túnel debe transportar e o que nunca debe viaxar fóra del por ningún motivo. Unha aplicación que aparece en ambas é un conflito de requisitos e non un detalle de implementación, e hai que resolvelo antes de configurar o cliente.

Que fai o cliente durante unha caída

Algunhas implementacións bloquean as aplicacións excluídas durante unha caída e devólvenlles o acceso ao reconectar. Outras conservan a ruta directa en todo momento, o que concorda coa división e é máis feble como propiedade de seguridade. O bloqueo a nivel de plataforma pode anular por completo a selección por aplicación do cliente. Esa diferenza non é cosmética, porque decide se a aplicación excluída é unha excepción de política ou un burato.

A VPN sempre activa de Android coa opción de bloquear as conexións sen VPN é o caso máis claro, porque a plataforma impón o bloqueo e non o cliente, e o paquete excluído queda bloqueado con todo o demais mentres o túnel está caído. Un cliente de escritorio que aplica exclusións por aplicación dentro do seu propio controlador adoita deixar o proceso excluído na interface física, porque nunca foi dono do tráfico dese proceso. Ambos comportamentos son defendibles e só un encaixa cun requisito que diga que a aplicación excluída debe seguir sendo utilizábel. Pregunta que compoñente impón a regra antes de interpretar o resultado.

Le o comportamento do sistema operativo que tes diante e non o axuste co mesmo nome noutro sitio. As API de aplicación difiren, e unha caixa pode significar cousas estritamente distintas nun escritorio e nun teléfono. A versión tamén importa, porque o control de bloqueo cambiou de pantalla entre versións de Android, e unha lista de exclusións do lado do cliente non é o mesmo control que un bloqueo de plataforma.

Tres momentos: túnel activo, túnel caído, reconexión

Usa peticións inocuas en tres momentos: mentres o túnel funciona, durante o fallo que che importa e despois de reconectar. Un só resultado do navegador non pode establecer o comportamento da aplicación excluída.

curl -sS --max-time 8 https://api.ipify.org
curl -sS --max-time 8 --interface tun0 https://api.ipify.org
dig +short example.com

O enderezo de saída mostra que camiño se tomou, e a proba explícita de interface mostra que ocorre cando o túnel é a única saída dispoñíbel. Anota o resultado esperado xunto a cada liña antes de executar calquera delas, ou a saída interpretarase a posteriori.

Se unha aplicación excluída queda fóra de liña, revisa a precedencia de políticas antes de engadir un permiso amplo no cortalumes, porque esa corrección destrúe a distinción que estabas probando. Se segue directa, confirma que era a excepción documentada e non un retroceso accidental. Para un requisito estrito de todo o dispositivo, acurta a lista de excepcións ata que se poida probar á man.