Alkalmazás kill switch kontra tűzfal kill switch: mit blokkol melyik

Egy kill switch a funkciólistán szinte semmit sem mond arról, mi történik, amikor a tunnel leesik. Az egyik megvalósítás kiválasztott folyamatokat zár be, a másik csomagszűrőket telepít az operációs rendszer határára, a harmadik pedig egyszerűen megpróbál újracsatlakozni. A különbség a hiba utáni másodpercekben látszik, nem a beállítások képernyőn. Menjen végig ezeken az ellenőrzéseken sorrendben, és álljon meg az elsőnél, amelyre nem tud őszintén válaszolni, mert ott ér véget a valódi lefedettsége.

Először nevezze meg a kikényszerítési mechanizmust

A folyamatok leállítása az alkalmazás életciklusának funkciója. Észlelt tunnelhiba után megkeresi a kiválasztott programokat, és bezárja őket. Minden, ami nem a fő folyamat, túlél: a segédszolgáltatások, a háttérszinkronizálás és minden egy másodperccel később indított alkalmazás saját életciklussal és saját időzítéssel rendelkezik.

A csomagszűrés az operációs rendszer funkciója. Elutasítja az engedélyezett útvonalat nem követő forgalmat, ami erősebb ígéret, de csak addig, ameddig a szabály valóban illeszkedik. A címcsalád, az interfész, a kizárt alkalmazások és a kivételek döntenek erről, nem a kliensben lévő címke.

Túléli a blokkolás a klienst?

Tegyen fel négy kérdést ebben a sorrendben: mi történik összeomláskor, kézi kilépéskor, kijelentkezéskor és újraindításkor. A kliens által maga karbantartott szabály általában eltávolítódik a rendezett leállítás során, és gyakran ott marad összeomlás után. A platformtárba telepített szabály fordítva viselkedhet: túléli mind a klienst, és néha az eltávolítást is.

Zárja be a klienst egy hosszú letöltés közepén, és figyelje, hogy megáll-e az átvitel vagy folytatódik.

Keresse a szokásos lyukakat

Az IPv6 az első. Az IPv4-címekhez írt szabály érintetlenül hagyja az IPv6-forgalmat, és sok kliens csak a v4 felét írja. A második az interfész: a USB-tethering, egy második Wi-Fi-adapter és egy mobilmodem nem biztos, hogy benne van az elsődleges kapcsolatra korlátozott szabályban. Kizárt alkalmazások és a helyi hálózati kivételek a harmadik.

Windows alatt elolvashatja a telepített szabályokat ahelyett, hogy a kapcsolóban bízna: Get-NetFirewallRule -DisplayName '*VPN*' és netsh wfp show filters is megmutatják, mi létezik. Linux alatt a iptables -S, ip6tables -S és nft list ruleset fedi a szokásos eseteket, és mindhárom összehasonlítása a lényeg.

A DNS a szokásos szivárgás

A TCP blokkolása úgy, hogy az UDP 53 nyitva marad, nagyon meggyőző kill switch-et ad, amely továbbra is válaszol minden hosztnév-lekérdezésre. Ugyanez igaz, amikor a DNS-t egy másik interfészen lévő feloldóhoz adják, vagy amikor a kliens csak a v4-et blokkolja, és a feloldó v6-on keresztül elérhető.

Leesett tunnellel oldjon fel egy ismert nevet, és nézze meg, jön-e válasz. Ha jön, a forgalom nincs teljesen blokkolva, bármit is mond az állapotikon.

A váltást tesztelje, ne a kapcsolót

A VPN kikapcsolása a saját menüjéből rendezett leállítás, és a rendezett esetet minden megvalósítás jól kezeli. A számító váltás a durva: ölje meg a tunnel folyamatát, húzza ki a hálózatot, hagyja, hogy a szerver abbahagyja a válaszolást. Aztán indítson egy kérést, és figyelje, hogy meghiúsul-e vagy csendben a fizikai kapcsolatot használja.

Egy laptop eredménye nem vihető át telefonra vagy routerre. Eltérő platform API-k, eltérő alapértelmezések, és Androidon a különbség éles: a blokkolással járó always-on módot a rendszer kényszeríti ki, nem a kliens, így akkor is működik, amikor a kliens nem. A Android VPN-útmutató írja le ezt a felosztást.

Tartson visszautat

A rendszerszintű blokkolásnak ellentétes hibaállapota van. A klienst túlélő szűrők eltávolítás után teljesen hálózat nélkül hagyhatják a gépet, ami nyilvánvaló ok nélküli támogatási hívás. Mielőtt bármilyen platformszabályokat író kill switch-et engedélyezne, jegyezze fel, hogyan távolítják el, és tartsa a szállító javítási útvonalát ott, ahol megtalálja.

Ha nem tud válaszolni a kliensére vonatkozó összeomlás-, IPv6-, DNS- és váltásellenőrzésekre, tekintse azt alkalmazásszintű kapcsolónak ismert lyukakkal, és ennek megfelelően tervezzen.