Յուրաքանչյուր հավելվածի կիլ-անջատիչը ընդդեմ ամբողջ սարքի կողպման. ինչ է փոխվում
Որոշեք ըստ պաշտպանվող բազմության, ոչ ըստ պիտակի. ինչ է կանգնում բացառված հավելվածների, ֆոնային օգնականների և նոր միացումների համար, և ինչպես ստուգել յուրաքանչյուր դեպքը։
Յուրաքանչյուր հավելվածի կիլ-անջատիչը հնչում է որպես զգույշ ընտրություն՝ թունելը ընկնելիս ցանցը կորցնում է միայն աշխատանքային հաճախորդը, իսկ մնացած ամեն ինչ շարունակում է աշխատել։ Հետո ինչ-որ մեկը նկատում է, որ անձնական դիտարկիչը միևնույն է էջ է բեռնել, նույն փաթեթի հետ եկած համաժամեցման օգնականը շարունակել է փորձել, և պահված անունը դեռ լուծվում էր հասցեի, որը երբեք չի հպվել թունելին։ Ֆունկցիայի պիտակը և այն միացումների բազմությունը, որը նա իրականում պաշտպանում է, երկու տարբեր բաներ են։ Նախ որոշեք պաշտպանվող բազմությունը, որովհետև այն է որոշում՝ յուրաքանչյուր հավելվածի համար կիրառումը, թե ամբողջ սարքի կողպումը ազնիվ նկարագրություն է։
Սկսեք բազմությունից, ոչ պիտակից
Յուրաքանչյուր հավելվածի քաղաքականությունը պաշտպանում է ընտրված հավելվածները։ Սարքի կողպումը նպատակ ունի ավելի լայն ցանցային սահմանի, սովորաբար տեղական տպագրության, կառավարման երթևեկության կամ գրավիչ պորտալների համար փաստաթղթավորված բացառություններով։ Պիտակներից ոչ մեկը ամբողջական չէ, քանի դեռ չեք կարող պատասխանել երեք հարցի՝ ինչ է պատահում բացառված հավելվածներին, ինչ է պատահում այն օգնականներին, որոնք այդ հավելվածները գործարկում են, և ինչ է պատահում այն միացումներին, որոնք բացվում են, երբ պաշտպանությունը հասանելի չէ։
Գրեք այդ պատասխանները նախքան հաճախորդի որևէ կարգավորման դիպչելը։ Եթե պահանջն այն է, որ «այս աշխատավարձային հաճախորդը երբեք չխոսի ինտերնետի հետ թունելից դուրս, իսկ իմ դիտարկիչը կարող է», բազմությունը փոքր է և յուրաքանչյուր հավելվածի կիրառումը հարմար է։ Եթե պահանջն այն է, որ «այս սարքում ոչինչ չհասնի ինտերնետին առանց պաշտպանության, բացի թարմացման ծառայությունից», ոչ մի յուրաքանչյուր հավելվածի քաղաքականություն դա չի տա, որովհետև խնդիրը հենց այն հավելվածներն են, որոնք չեք նշել։
Յուրաքանչյուր հավելվածի կիրառումը համընկնում է նույնացուցիչների, ոչ ծրագրերի անունների հետ
Android-ը տրամադրում է յուրաքանչյուր հավելվածի VPN փաթեթների միջոցով, և նրա VpnService փաստաթուղթը նկարագրում է, թե ինչպես է դա փոխազդում մշտապես միացված ռեժիմի և արգելափակման հետ։ iOS-ը կարգավորում է յուրաքանչյուր հավելվածի VPN-ը կառավարման պրոֆիլի միջոցով և համընկնում է ըստ հավելվածի կամ ըստ տիրույթի։ Windows-ը և Linux-ը ընդհանրապես գործընթացային երթուղի չունեն, ուստի նույն միտքը մոտարկվում է ծրագրով սահմանափակված հրամուրային կանոնով կամ սեփականատեր օգտատիրոջը համընկնող կանոնով։
Սահմանը նույնացուցիչն է, և նույնացուցիչները հեշտ է շրջանցել։ Այն հավելվածը, որը URL-ը հանձնում է համակարգի դիտարկիչին կամ փաստաթուղթ է բացում դիտիչում, անցնում է մի գործընթացի, որը ձեր քաղաքականությունը երբեք չի անվանել։ Ընկնելիս ավարտելու տարբերակը նույնպես փաթեթային զտիչ չէ՝ այն սպանում է ձեր կարգավորած հավելվածը, մինչդեռ զավակ գործընթացը, հերթի աշխատողը կամ դիտարկիչի ներդիրը կարող են կենդանի պահել գոյություն ունեցող սոքեթը։
Կողպումը ծածկում է այն, ինչ յուրաքանչյուր հավելվածի քաղաքականությունը չի կարող տեսնել
Ամբողջ սարքի կողպումը վերացնում է ընտրությունը։ Թունելին չպատկանող յուրաքանչյուր ելքային փաթեթ դեն է նետվում, ներառյալ այն գործընթացների երթևեկությունը, որոնց մասին ձեր հավելվածային քաղաքականությունը երբեք չի իմացել։ Android-ում դա մշտապես միացված VPN-ն է՝ զուգակցված միացումների արգելափակման կարգավորման հետ, և կիրառումը տեղի է ունենում համակարգում, ոչ հաճախորդի պատուհանում։ Սեղանադիր համակարգչում դա մշտական հրամուրային կանոն է կամ անհասանելի դարպասին ուղղված լռելյայն երթուղի։
Գինը այն է, որ մնացած ամեն ինչ կանգ է առնում, ուստի բացառությունները դառնում են ձևավորման մաս, այլ ոչ հետագա միտք։ Տեղական տպիչները, ծառայությունների հայտնաբերումը, գրավիչ պորտալներ մուտքը, կառավարման գործակալները և OS-ի թարմացումները յուրաքանչյուրը պահանջում է փաստաթղթավորված անցք, որովհետև յուրաքանչյուրը ճանապարհ է, որը բաց է մնում, երբ թունելը կանգնած է։ Կողպումը ուժեղ է միայն այնքան, որքան այդ ցանկի ամենակարճ գրառումը։
DNS-ը, IPv6-ը և ֆոնային օգնականները թաքցնում են արտահոսքերը
Այն, որ պաշտպանված հավելվածը չի կարողանում լուծել անունը, չի ապացուցում, որ պահված պատասխանները կամ ուղիղ IP երթևեկությունը արգելափակված են։ Եթե լուծիչը դեռ հասանելի է թունելից դուրս, անունը լուծվում է, և միացումը ձախողվում է, ինչը նման է աշխատող կիլ-անջատիչի և այդպիսին չէ։ Ավելի վատ, պահված գրառումը կարող է ցույց տալ հասցե, որը թունելը չի կրում, ուստի միացումը դուրս է գալիս ուղիղ, մինչ հավելվածը հաղորդում է VPN սխալի մասին։
IPv6-ը պահանջում է իր սեփական կանոնը յուրաքանչյուր հարթակում, որն այն աշխատեցնում է, որովհետև v4-ի համար նետելու կանոնը չի ծածկում v6 երթուղին։ Բջջայինում մասնավոր DNS կարգավորումը կարող է լուծումը տեղափոխել գաղտնագրված ալիք, որը սարքի քաղաքականությունը չի զննում։ Իսկ ֆոնային օգնականները սեղանադիրում սովորական մեղավորն են. թարմացման կամ համաժամեցման գործընթացը սկսվում է VPN հաճախորդից առաջ և պահում է իր սեփական միացումը, ուստի այն երբեք չի տեսնում փոփոխված երթուղին։
Փորձարկեք երեք հավելված և երկու անցում
| Test | What it proves |
|---|---|
| Included app, by name and by direct IP | the policy is applied, not just the resolver |
| Excluded app, same checks | the exclusion is intentional and documented |
| Helper or updater process | nothing inherited an older route |
| Tunnel drop, then Wi-Fi to cellular | the block survives the transition |
Գործարկեք յուրաքանչյուր տողը երկու անգամ՝ մեկը հոսթի անունով, մեկը բառացի հասցեով, և ևս մեկը IPv6-ով, եթե ցանցը դա առաջարկում է։ Անցումը նշանակում է, որ ներառված հավելվածը կանգ է առել, բացառվածը վարվել է այնպես, ինչպես գրել եք, և օգնականը դուրս չի սայթաքել։ Գրանցեք այն ուղիղ վարքը, որը համարել եք ընդունելի, որպեսզի հաջորդ ադմինիստրատորը տարբերի դիտավորյալ բացառությունը խափանումից։
Ապա նկարագրեք արդյունքը մեկ նախադասությամբ, որը նշում է հավելվածները և պայմանները, օրինակ. աշխատավարձային հաճախորդը թունելից դուրս երթուղի չունի, դիտարկիչը ուղիղ է ըստ ձևավորման, և մնացած ամեն ինչ կանգ է առնում, երբ թունելը կանգնած է։ Եթե այդ նախադասությունը դժվար է գրել, քաղաքականությունը դեռ երկու քաղաքականություն է, որոնք պայքարում են միմյանց դեմ։