יציאה או ניתוק: שתי תוצאות VPN שונות

התפריט מציע ניתוק, לחלון יש כפתור סגירה, ומנהל המשימות מציע סיום משימה. כל אחד מהם נראה כדרך לעצור את ה-VPN, וכל אחד מהם עשוי להשאיר את המחשב במצב אחר. אחד עשוי לעצור את המנהרה ולהשאיר חסימה במקומה, אחר עשוי לנקות הכול כחלק מיציאה מסודרת, ושלישי עשוי רק להסתיר את הממשק בזמן שרכיב הרקע ממשיך לפעול. התייחסות לכל אלה כאל מילים נרדפות היא בדיוק הדרך שבה בדיקת פרטיות מגיעה למסקנה שגויה לגבי מה שקרה.

תיעוד הלקוח הוא המקום האמין היחיד ללמוד בו מה הוא מה.

ארבעה אמצעי שליטה, אולי ארבעה התנהגויות

ניתוק בדרך כלל מפרק את המנהרה בזמן שהלקוח נשאר בזיכרון, כלומר שירות, רכיב במגש המערכת או כלל של kill switch עשויים לשרוד את הלחיצה. אחר כך רבים מהלקוחות ממשיכים לחסום תעבורה משום שהמדיניות שלהם קובעת שהמכשיר לא אמור ליפול לגישה ישירה כל עוד הלקוח נוכח. התנהגות זו נראית כמו רשת שבורה והיא הגנה מכוונת.

יציאה נועדה לסיים את היישום, ולקוח מתנהג היטב מסיר את כלליו בדרך החוצה. יש עיצובים שמשאירים במקום זאת עוזר נפרד שאוכף את המדיניות, וזו בחירה ולא פגם. סגירת החלון היא פעולה של הממשק בלי השפעה מוגדרת על המנהרה, והשהיה, היכן שהיא מוצעת, היא התנהגות רביעית עם כללים משלה.

הפסקה בצד השרת היא מסלול חמישי לגמרי, והוא זה שהמשתמשים פוגשים בו למעשה לרוב.

קראו את המצב לפני ואחרי כל פעולה

תעדו את רשימת התהליכים, את מצב השירות ואת כללי חומת האש לפני הפעולה, ואז חזרו על התיעוד מיד אחריה. השוואה בין שתי הרשימות מראה מה אמצעי השליטה באמת עשה, בלי להסתמך על התיאור של הממשק עצמו.

systemctl status wg-quick@wg0 --no-pager
pgrep -a -f 'openvpn|wireguard|vpnagent'
ip link show | grep -E 'tun|wg'
nft list ruleset | grep -E 'drop|reject' | head -20
scutil --nc list

אם הכללים נעלמים יחד עם התהליך, הלקוח היה הבעלים שלהם. אם הכללים נשארים כשהתהליך נעלם, משהו אחר אוכף את המדיניות, ומציאת הרכיב הזה באה לפני כל שינוי. תעדו את מצב השירות באותו רגע, כי ממשק עצור לא אומר דבר על שירות מערכת.

ניתוק ידני אינו קריסה

ניתוק מריץ את מסלול הכיבוי המיועד, וקריסה מדלגת עליו. לכן התוצאות של האחד לא עוברות לאחר, ובדיקה שהשתמשה בפריט תפריט לא יכולה לתמוך בטענה על התנהגות כשהלקוח מת.

באותה צורה, קריסה לא אומרת לכם דבר על השהיה זמנית מאושרת. שמרו את שלוש השאלות האלה בנפרד בתכנית הבדיקות ובכל מה שייכתב אחר כך. מסלול הכיבוי גם מסביר מדוע יציאה נקייה יכולה להסיר כללים שקריסה מותירה. אותו כפתור, קוד אחר, ראיות אחרות.

בחרו את המצב הלא זמין שבאמת דרוש לכם

אם התעבורה חייבת להישאר חסומה בכל פעם שהמנהרה מושבתת, אמתו את הדרישה הזו במהלך הפעולה המסוימת שחשובה לכם, באמצעות תעבורה לא מזיקה ליעד מוכר. כללו החרגות של יישומים וחריגים של הרשת המקומית, כי אכיפה ברמת המכשיר כולו היא לעתים קרובות צרה יותר משמה מרמז. אחר כך אשרו מה קורה לאחר אתחול, כי אז מופיע בדרך כלל המצב המיושן.

אם המטרה היא גישה ישירה רגילה, השתמשו באמצעי השליטה המתועד במקום להרוג תהליכים או לכבות את כל חומת האש. כללים מיושנים שמותירה יציאה שהופרעה הם בעיה אחרת מחסימה מכוונת, והם דורשים שחזור אחר.

רשמו איזה רכיב נעצר: המנהרה, היישום הנראה, או השכבה שאוכפת את המדיניות. המשפט האחד הזה מונע את רוב הבלבול שאמצעי השליטה האלה יוצרים.