Blokkolja a védőkapcsoló azt az alkalmazást, amelyet kizártál az alagútból?

Védőkapcsoló be, egy alkalmazás szándékosan kizárva az alagútból, és a két követelmény most ellentmond egymásnak. Az egyik azt mondja, semmi nem léphet ki az alagúton kívül, a másik azt mondja, ennek a programnak közvetlenül kell mennie. Minden kliens másképp oldja fel ezt az ellentmondást, és a beállítások oldala ritkán magyarázza el, melyik szabály győz. Írd le az alkalmazásonkénti szabályt, mielőtt bármelyik címkében megbízol.

Két szabály, egy gép

A védőkapcsoló a hiba ígérete: amikor az alagút nem védi a forgalmat, a forgalom leáll. Az osztott alagút a kiválasztás ígérete: ezek a programok vagy célok használják az alagutat, azok pedig nem. A második ígéret olyan forgalmat hoz létre, amelyről az elsőnek döntenie kell. Egyik ígéret sem hibás; csak különböző emberek írták őket különböző fenyegetésekre.

Három kimenet lehetséges, és csak az egyik az, amit a bevezetés szánt. A kizárt alkalmazás kiesés alatt közvetlen maradhat, ami tiszteli az osztást és megtöri a védőkapcsolót. Lehet minden mással együtt blokkolni, ami tiszteli a védőkapcsolót és megtöri az osztást. Vagy csak néha lehet blokkolni, attól függően, hogyan értékeli a platform a szabályt egy interfész eltűnése után. Ez utóbbi eset termeli a jegyeket.

Előbb az alkalmazáslista, aztán a szabály

Sorolja fel azokat a programokat, amelyeknek az alagutat kell használniuk, azokat, amelyeknek közvetlenül kell menniük, és azokat a neveket vagy célokat, amelyek soha nem jelenhetnek meg egyik listán sem. Külön vegye fel a feloldó viselkedését és az IPv6 oldalt, mert mindkettő követhet az oldalforgalomtól eltérő szabályt.

Az alkalmazásonkénti szabályok általában egy végrehajtható fájlra vagy csomagra illeszkednek, nem a benne lévő profilra. A böngészőprofil, a privát ablak és a bővítmény nem hordoz saját hálózati identitást, ezért azt öröklik, amit a folyamat kapott. Lehet, hogy az a böngésző által indított segédfolyamat egyáltalán nem örökli ugyanazt a szabályt.

Két lista kell, nem egy: mit kell az alagútnak szállítania, és minek nem szabad semmilyen okból kifelé utaznia. Az az alkalmazás, amely mindkettőn szerepel, követelményütközés és nem megvalósítási részlet, és a kliens beállítása előtt el kell dönteni.

Mit tesz a kliens kiesés közben

Egyes megvalósítások kiesés közben blokkolják a kizárt alkalmazásokat, és újracsatlakozáskor visszaadják a hozzáférésüket. Mások végig megtartják a közvetlen utat, ami összhangban van az osztással és biztonsági tulajdonságként gyengébb. A platformszintű lezárás teljesen felülírhatja a kliens saját alkalmazásonkénti választását. Ez a különbség nem kozmetikai, mert eldönti, hogy a kizárt alkalmazás szabálykivétel-e vagy lyuk.

Az Android mindig bekapcsolt VPN-je a VPN nélküli kapcsolatok blokkolásának lehetőségével a legvilágosabb eset, mert a lezárást a platform kényszeríti ki, nem a kliens, és a kizárt csomag minden mással együtt blokkolódik, amíg az alagút áll. Az asztali kliens, amely saját illesztőprogramjában alkalmazza az alkalmazásonkénti kizárásokat, általában a fizikai interfészen hagyja a kizárt folyamatot, mert soha nem birtokolta annak a folyamatnak a forgalmát. Mindkét viselkedés védhető, és csak az egyik felel meg egy olyan követelménynek, amely szerint a kizárt alkalmazásnak használhatónak kell maradnia. Kérdezze meg, melyik összetevő kényszeríti ki a szabályt, mielőtt értelmezi az eredményt.

Az előtted lévő operációs rendszer viselkedését olvasd, ne a máshol azonos nevű beállítást. Az érvényesítő API-k különböznek, és egy jelölőnégyzet szigorúan mást jelenthet asztali gépen és telefonon. A verzió is számít, mert a lezárás vezérlése az Android kiadásai között képernyők között vándorolt, és az ügyféloldali kizárási lista nem ugyanaz a vezérlés, mint a platform lezárása.

Három pillanat: alagút fel, alagút le, újracsatlakozás

Használjon ártalmatlan kéréseket három pillanatban: amíg az alagút működik, a téged érdeklő hiba alatt és újracsatlakozás után. Egyetlen böngészőeredmény nem tudja megállapítani a kizárt alkalmazás viselkedését.

curl -sS --max-time 8 https://api.ipify.org
curl -sS --max-time 8 --interface tun0 https://api.ipify.org
dig +short example.com

A kimenő cím megmutatja, melyik utat választották, az explicit interfészteszt pedig megmutatja, mi történik, ha az alagút az egyetlen elérhető kijárat. Írja fel a várható eredményt minden sor mellé, mielőtt bármelyiket futtatja, különben a kimenetet utólag értelmezik.

Ha egy kizárt alkalmazás offline lesz, vizsgálja meg a szabályok elsőbbségét, mielőtt széles tűzfalengedélyt ad hozzá, mert az a javítás megsemmisíti a tesztelt különbséget. Ha közvetlen marad, erősítse meg, hogy a dokumentált kivétel volt, és nem véletlen visszaesés. Ha szigorú követelmény vonatkozik az egész eszközre, rövidítse a kivétellistát, amíg kézzel tesztelhető nem lesz.