Niðurtöku forskrift eða eldveggjarregla: hvort stöðvar lekan?

Tvær hönnun lofa sama hlutnum: þegar göngin falla, ekkert fer út í ljósi. Önnur keyrir forskrift við niðurtöku og sker tengin. Hin lætur eldveggjarreglu gilda og biður VPN-biðlarann um ekkert. Þær eru ólíkar að því hver hefur réttindi til að bregðast við, hvað gerist í bilinu og hvernig vélin kemst aftur á netið eftir það. Að bera þær saman á þessum þremur punktum er nytsamlegra en að deila um hvor sé strangari.

Sama verk með tveimur aðferðum

Biðlarinn getur keyrt króka þegar göngin koma upp og þegar þau eru tekin niður, að því tilskildu að prófíllinn leyfi forskriftarkeyrslu. Sá krókur keyrir innan lífsferils biðlarans, á þeirri stundu sem tengingin lokast. Eldveggjarregla aftur á móti er í eigu kerfisins og er sama hvort biðlarinn keyrir, hrundi eða var drepinn.

Sú tafla er öll röksemdin. Forskrift sem keyrir aðeins við snyrtilega lokun nær yfir það tilvik sem þér var minnst annars; mikilvæga tilvikið er hrunið eða netið sem hverfur, og hvort tveggja gefur ekki hreina niðurtöku.

Hvað krókurinn við niðurtöku getur og getur ekki

Skjalfesta mynstrið gengur um netstengin og tekur allt niður nema loopback. Þegar hið líkamlega tæki er niðri getur ekkert sloppið út fyrir göngin, og það er einmitt ætlunin.

#!/bin/sh
for dev in /sys/class/net/*; do
  name=$(basename "$dev")
  [ "$name" = lo ] || ip link set dev "$name" down
done

Það tekur líka staðarnetið niður, hverja þjónustu sem vélin hýsir, og slóðina sem þú myndir nota til að laga vandann. Á fartölvu þarf þráðlausa tækið stundum handvirka skiptingu eftir það, svo stutt truflun verður viðgerðarlota. Verra er að krókurinn má kannski ekkert af þessu gera: þegar biðlarinn sleppir réttindum keyrir niðurtökuforskriftin sem óréttindaaðgangur, og sérhver tengisbreyting mistekst með réttindavillu sem skrifuð er á þeirri stundu sem enginn les annála.

Kannið hvernig biðlarinn er ræstur áður en þið treystið krókanum. Forskrift sem virkar þegar hún er keyrð í hönd sem root sannar ekkert um þjónustuna sem ræsist við ræsingu.

Hvað eldveggjarreglan gerir öðruvísi

Regla sem leyfir aðeins umferð ganganna heldur áfram að virka þegar ferli biðlarans er horfið, því kjarninn ræðst ekki af því ferli. Reglan er líka þrengri: hún lokar nákvæmlega þeim straumum sem hún passar og lætur loopback, staðarnet og endurheimtuslóðina í friði, og þess vegna skilur hún vélina ekki eftir strandaglópa.

Kostnaðurinn er að regluna verður að skrifa og viðhalda af þeim sem á eldvegg hýsilsins, og hún verður að nafngreina gangatækið sem biðlarinn býr í raun til. Það þýðir að reglan og prófíllinn verða að viðhaldast saman; endurnefnt tengi skilur eftir eldvegg sem lokar öllu og skýrir ekkert.

Hvor aðferðin gerir hina ekki óþarfa. Eldveggjarregla sem er aldrei endurhlaðin eftir breytingu er jafn skáldskapur og forskrift sem keyrir aldrei.

persist-tun ræður því hvort bil er til staðar

Þegar gangatækið lifir aftengingu af lifa leiðirnar inn í það líka. Umferðinni er þá hent í stað þess að vera beint á ný, svo sjálfgefin leið fellur ekki aftur á líkamlega gáttina. Þetta er hegðunin sem gerir leka ólíklegan jafnvel áður en nokkur eldveggjarregla kemur við sögu.

Án þessarar stillingar er tækið fjarlægt og leiðirnar með því, og sjálfgefna leiðin getur aftur vísað á líkamlegu gáttina. Hvort hún gerir það fer eftir pallinum og biðlaranum, og einmitt þess vegna verður að fylgjast með ástandinu í stað þess að gera ráð fyrir því. Lítið á stillinguna sem hluta af kill switch, ekki sem frammistöðuvalkost.

Haldið endurtengingarslóðinni lifandi og prófið svo fjögur ástand

Ströng lokun getur einnig komið í veg fyrir að biðlarinn tengist aftur, því biðlarinn þarf enn leið að netþjóninum um líkamlegu gáttina meðan öllu öðru er hafnað. Setjið hýsilleið fyrir þetta eina vistfang áður en göngin koma upp, og leysið nafnið fyrst, því DNS getur verið lokað á þeim tíma sem þið þurfið það.

ip route add 198.51.100.20/32 via 192.168.0.1 dev wlan0

Sannreynið svo ástandin frekar en merkimiðann. Æfið fjórar stundir viljandi: kalt ræsingar án ganga, heilbrigða lotu, fall sem enginn bað um, og lotuna eftir að hún nær sér. Á hverri stund skrifið sjálfgefnu leiðina og gerið eina beiðni þar sem útgangsvistfangið er sýnilegt. Forrit sem gefst upp meðan göngin eru niðri segir ekkert um póstbiðlara eða uppfærsluforrit, svo endurtakið síðustu athugun með einu bakgrunnsforriti. Skrifið niður regluna, nöfn tengjanna og endurheimtuskrefin, því kill switch sem enginn getur sannreynt er orðrómur.