Kill switch aplikasi vs kill switch firewall: apa yang diblokir masing-masing

Kill switch dalam daftar fitur hampir tidak memberi tahu apa yang terjadi saat terowongan putus. Satu implementasi menutup proses terpilih, yang lain memasang filter paket di batas sistem operasi, dan yang ketiga hanya mencoba menyambung ulang. Perbedaannya terlihat pada detik-detik setelah kegagalan, bukan di layar pengaturan. Jalankan pemeriksaan ini secara berurutan dan berhenti pada yang pertama yang tidak bisa Anda jawab dengan jujur, karena di situlah cakupan nyata Anda berakhir.

Sebutkan dulu mekanisme penegakannya

Penghentian proses adalah fitur siklus hidup aplikasi. Ia menemukan program terpilih setelah kegagalan terowongan terdeteksi dan menutupnya. Apa pun yang bukan proses utama tetap bertahan: layanan pembantu, sinkronisasi latar belakang, dan aplikasi apa pun yang dimulai satu detik kemudian, semuanya punya siklus hidup dan waktunya sendiri.

Penyaringan paket adalah fitur sistem operasi. Ia menolak lalu lintas yang tidak mengikuti jalur yang diizinkan, janji yang lebih kuat, tetapi hanya sejauh yang benar-benar dicakup aturan. Keluarga alamat, antarmuka, aplikasi yang dikecualikan, dan pengecualian yang menentukan itu, bukan label di klien.

Apakah blokirannya bertahan lebih lama dari klien?

Ajukan empat pertanyaan dalam urutan ini: apa yang terjadi saat crash, saat keluar manual, saat logout, dan saat reboot. Aturan yang dikelola klien sendiri biasanya dihapus saat penutupan yang rapi dan sering tertinggal setelah crash. Aturan yang dipasang di penyimpanan platform bisa berperilaku sebaliknya: bertahan dari klien dan, kadang-kadang, dari uninstalasi.

Tutup klien di tengah unduhan panjang dan lihat apakah transfernya berhenti atau berlanjut.

Cari celah standarnya

IPv6 yang pertama. Aturan yang ditulis untuk alamat IPv4 membiarkan lalu lintas IPv6 tidak terpengaruh, dan banyak klien hanya menulis separuh v4. Yang kedua adalah antarmuka: tethering USB, adaptor Wi-Fi kedua, dan modem seluler mungkin tidak tercakup dalam aturan yang dibatasi pada koneksi utama. Aplikasi yang dikecualikan dan pengecualian jaringan lokal adalah yang ketiga.

Di Windows Anda bisa membaca aturan yang terpasang alih-alih memercayai tombolnya: Get-NetFirewallRule -DisplayName '*VPN*' dan netsh wfp show filters keduanya menunjukkan apa yang ada. Di Linux, iptables -S, ip6tables -S, dan nft list ruleset mencakup kasus umum, dan membandingkan ketiganya adalah intinya.

DNS adalah kebocoran yang biasa

Memblokir TCP sementara UDP 53 dibiarkan terbuka memberi Anda kill switch yang sangat meyakinkan yang masih menjawab setiap kueri nama host. Hal yang sama berlaku ketika DNS diserahkan ke resolver di antarmuka lain, atau ketika klien hanya memblokir v4 dan resolver dapat dijangkau lewat v6.

Saat terowongan mati, selesaikan satu nama yang dikenal dan lihat apakah ada jawaban kembali. Jika ada, lalu lintas tidak sepenuhnya diblokir, apa pun kata ikon status.

Uji transisinya, bukan tombolnya

Mematikan VPN dari menunya sendiri adalah penutupan yang rapi, dan kasus rapi adalah kasus yang ditangani baik oleh setiap implementasi. Transisi yang penting adalah yang kasar: bunuh proses terowongan, cabut jaringan, biarkan server berhenti menjawab. Lalu mulai permintaan dan lihat apakah gagal atau diam-diam memakai tautan fisik.

Hasil dari satu laptop tidak berlaku untuk ponsel atau router. API platform berbeda, default berbeda, dan di Android perbedaannya mencolok: always-on dengan pemblokiran ditegakkan oleh sistem, bukan klien, jadi tetap bekerja ketika klien tidak. Panduan VPN Android menjelaskan pemisahan itu.

Pertahankan jalan kembali

Pemblokiran tingkat sistem punya mode kegagalan sebaliknya. Filter yang bertahan lebih lama dari klien bisa meninggalkan mesin tanpa jaringan sama sekali setelah uninstalasi, yang merupakan panggilan dukungan tanpa penyebab jelas. Sebelum mengaktifkan kill switch apa pun yang menulis aturan platform, catat bagaimana ia dihapus, dan simpan jalur perbaikan dari vendor di tempat yang bisa Anda temukan.

Jika Anda tidak bisa menjawab pemeriksaan crash, IPv6, DNS, dan transisi untuk klien Anda, perlakukan sebagai tombol tingkat aplikasi dengan celah yang diketahui dan rencanakan sesuai itu.