प्रति-ऐप किल स्विच बनाम पूरे डिवाइस का लॉकडाउन: क्या बदलता है
लेबल नहीं, सुरक्षित समुच्चय के आधार पर तय करें: बाहर रखे गए ऐप, बैकग्राउंड सहायक और नए कनेक्शन के लिए क्या रुकता है, और हर स्थिति को कैसे जाँचें।
प्रति-ऐप किल स्विच सतर्क विकल्प जैसा लगता है: टनल गिरने पर केवल काम का क्लाइंट अपना नेटवर्क खोता है, और बाकी सब चलता रहता है। फिर किसी को ध्यान आता है कि निजी ब्राउज़र ने फिर भी पेज लोड किया, उसी सूट के साथ आया सिंक सहायक बार-बार कोशिश करता रहा, और कैश में रखा नाम अब भी ऐसे पते पर हल होता रहा जिसने कभी टनल को नहीं छुआ। सुविधा पर लगा लेबल और वह कनेक्शन-समुच्चय जिसकी वह वास्तव में रक्षा करती है, दो अलग चीज़ें हैं। पहले सुरक्षित समुच्चय तय करें, क्योंकि वही समुच्चय तय करता है कि प्रति-ऐप प्रवर्तन या पूरे डिवाइस का लॉकडाउन ईमानदार वर्णन है।
लेबल से नहीं, समुच्चय से शुरू करें
प्रति-ऐप नीति चुने हुए ऐप की रक्षा करती है। डिवाइस लॉकडाउन व्यापक नेटवर्क सीमा पर लक्ष्य रखता है, आमतौर पर स्थानीय प्रिंटिंग, प्रबंधन ट्रैफ़िक या कैप्टिव पोर्टल के लिए दस्तावेज़ी अपवादों के साथ। दोनों में से कोई लेबल तब तक पूरा नहीं है जब तक आप तीन प्रश्नों के उत्तर न दे सकें: बाहर रखे गए ऐप के साथ क्या होता है, उन ऐप के शुरू किए सहायकों के साथ क्या होता है, और सुरक्षा उपलब्ध न होने पर खुले कनेक्शन के साथ क्या होता है।
क्लाइंट की किसी सेटिंग को छूने से पहले ये उत्तर लिख लें। अगर आवश्यकता है "यह पेरोल क्लाइंट टनल के बाहर इंटरनेट से कभी बात न करे, और मेरा ब्राउज़र कर सके", तो समुच्चय छोटा है और प्रति-ऐप प्रवर्तन उपयुक्त है। अगर आवश्यकता है "इस डिवाइस पर कुछ भी बिना सुरक्षा के इंटरनेट तक न पहुँचे, अपडेट सेवा को छोड़कर", तो कोई भी प्रति-ऐप नीति यह नहीं देगी, क्योंकि जिन ऐप के नाम आपने नहीं लिए वही समस्या हैं।
प्रति-ऐप प्रवर्तन पहचानकर्ताओं से मेल खाता है, प्रोग्राम नामों से नहीं
Android पैकेजों के ज़रिए प्रति-ऐप VPN देता है, और उसका VpnService दस्तावेज़ बताता है कि यह हमेशा-चालू संचालन और ब्लॉकिंग के साथ कैसे काम करता है। iOS प्रबंधन प्रोफ़ाइल के ज़रिए प्रति-ऐप VPN सेट करता है और ऐप या डोमेन से मेल खाता है। Windows और Linux में प्रति-प्रोसेस कोई मार्ग ही नहीं है, इसलिए वही विचार किसी प्रोग्राम तक सीमित फ़ायरवॉल नियम या स्वामी उपयोगकर्ता से मेल खाने वाले नियम से अनुमानित किया जाता है।
सीमा पहचानकर्ता है, और पहचानकर्ताओं को दरकिनार करना आसान है। जो ऐप सिस्टम ब्राउज़र को URL सौंपता है, या किसी व्यूअर में दस्तावेज़ खोलता है, वह ऐसी प्रोसेस में जाता है जिसका नाम आपकी नीति ने कभी नहीं लिया। गिरने पर समाप्त करने का विकल्प भी पैकेट फ़िल्टर नहीं है: यह आपके द्वारा कॉन्फ़िगर किए ऐप को मारता है, जबकि चाइल्ड प्रोसेस, क्यू वर्कर या ब्राउज़र टैब मौजूदा सॉकेट को जीवित रख सकते हैं।
लॉकडाउन वह कवर करता है जो प्रति-ऐप नीति देख नहीं सकती
पूरे डिवाइस का लॉकडाउन पसंद हटा देता है। टनल का न होने वाला हर बाहर जाता पैकेट गिरा दिया जाता है, उन प्रोसेस का ट्रैफ़िक भी जिनके बारे में आपकी ऐप नीति कभी नहीं जानती थी। Android पर यह हमेशा-चालू VPN के साथ कनेक्शन ब्लॉक करने की सेटिंग का संयोजन है, और प्रवर्तन सिस्टम में होता है, क्लाइंट विंडो में नहीं। डेस्कटॉप पर यह स्थायी फ़ायरवॉल नियम या अगम्य गेटवे की ओर इंगित डिफ़ॉल्ट मार्ग है।
कीमत यह है कि बाकी सब रुक जाता है, इसलिए अपवाद बाद की सोच नहीं, डिज़ाइन का हिस्सा बन जाते हैं। स्थानीय प्रिंटर, सेवा खोज, कैप्टिव पोर्टल लॉगिन, प्रबंधन एजेंट और OS अपडेट को अलग-अलग दस्तावेज़ी छेद चाहिए, क्योंकि हर एक ऐसा रास्ता है जो टनल बंद होने पर खुला रहता है। लॉकडाउन उस सूची की सबसे छोटी प्रविष्टि जितना ही मज़बूत है।
DNS, IPv6 और बैकग्राउंड सहायक लीक छिपाते हैं
संरक्षित ऐप का नाम हल न कर पाना यह सिद्ध नहीं करता कि कैश किए उत्तर या सीधा IP ट्रैफ़िक ब्लॉक है। अगर रिज़ॉल्वर टनल के बाहर अब भी पहुँच में है, तो नाम हल होता है और कनेक्शन विफल होता है, जो चलता हुआ किल स्विच दिखता है और है नहीं। इससे बुरा, कैश किया रिकॉर्ड ऐसे पते की ओर संकेत कर सकता है जिसे टनल नहीं ढोती, इसलिए कनेक्शन सीधे बाहर जाता है जबकि ऐप VPN त्रुटि बताता है।
IPv6 को हर उस प्लेटफ़ॉर्म पर अपना नियम चाहिए जो उसे चलाता है, क्योंकि v4 के लिए गिराने का नियम v6 मार्ग को कवर नहीं करता। मोबाइल पर निजी DNS सेटिंग हल करने को ऐसे एन्क्रिप्टेड चैनल में ले जा सकती है जिसे डिवाइस नीति जाँचती नहीं। और बैकग्राउंड सहायक डेस्कटॉप पर आम दोषी हैं: अपडेटर या सिंक ट्रे प्रोसेस VPN क्लाइंट से पहले शुरू होता है और अपना कनेक्शन रखता है, इसलिए वह बदला मार्ग कभी नहीं देखता।
तीन ऐप और दो संक्रमण जाँचें
| Test | What it proves |
|---|---|
| Included app, by name and by direct IP | the policy is applied, not just the resolver |
| Excluded app, same checks | the exclusion is intentional and documented |
| Helper or updater process | nothing inherited an older route |
| Tunnel drop, then Wi-Fi to cellular | the block survives the transition |
हर पंक्ति दो बार चलाएँ, एक बार होस्टनेम के साथ और एक बार शाब्दिक पते के साथ, और नेटवर्क दे तो एक बार और IPv6 पर। पास का अर्थ है कि शामिल ऐप रुका, बाहर रखा ऐप वैसा ही बर्ताव करता रहा जैसा आपने लिखा, और सहायक बाहर नहीं फिसला। जिस सीधे बर्ताव को आपने स्वीकार्य ठहराया उसे दर्ज करें, ताकि अगला प्रशासक जानबूझकर दिए अपवाद और विफलता में फ़र्क कर सके।
फिर परिणाम एक वाक्य में बताएँ जो ऐप और शर्तों के नाम ले, उदाहरण: पेरोल क्लाइंट का टनल के बाहर कोई मार्ग नहीं है, ब्राउज़र डिज़ाइन से सीधा है, और टनल बंद होने पर बाकी सब रुक जाता है। अगर वह वाक्य लिखना कठिन लगे, तो नीति अब भी एक-दूसरे से लड़ती दो नीतियाँ हैं।