Kill switch lokar VPN-þjóninum áður en nokkur umferð fer af stað
Hvaða stigi kill switch lokar: uppfletting endapunkts, ytri leið, afturleið og úreltar jafningjaundanþágur — með teljurum í stað ágiskana.
Kill switch mistakast í átt sem fólk á ekki von á: þau eru byggð til að loka umferð meðan göngin eru niðri, og pakkarnir sem byggja göngin eru sjálfir umferð. Það er alla villuna. Reglusett sem hendir öllu sem fer ekki út um göngin hendir líka handabandinu sem ætti að reisa þau, svo biðlarinn reynir aftur í lykkju og villan er rakin til þess stigs sem er athugað fyrst. Áður en þú víkkar eldvegg, finndu út hvaða þriggja stiga er hafnað: nafnaleitin, ytri pakkinn til jafningjans eða svarið sem kemur til baka.
Hvernig göngin og eigin flutningur þeirra eru háð hvort öðru
Lestu VPN-biðlara sem tvö netstöð sem deila einni sokkaleið. Áður en göngin eru til opnar biðlarinn sokka á líkamlega millistykkið og sendir dulkóðuð ramma á vistfang og port jafningjans. Aðeins eftir að þessi skipti heppnast býr hann til göngutækið og setur upp leiðir. Kill switch er stefna um annað ástandið, skrifuð svo breitt að hún gildir um bæði.
Reglur byggðar á viðmóti eru venjulega formið: samþykktu það sem fer út um tun0 eða wg0, hentu restinni af útleiðinni. Sú orðalag getur ekki undanþegið eigin tengingu biðlarans við þjóninn, svo rétt útfærsla bætir þeirri undanþágu við berum orðum, og þú líka þegar þú skrifar reglur fyrir höndina. Reglur fyrir hvert forrit í Windows og macOS komast hjá hluta af þessu með því að stemma ferli í stað viðmóts, en ferlið verður samt að komast út áður en göngin eru til.
Þrjú stig, í þeirri röð sem þau gerast
Fyrsta stigið er uppfletting. Þegar sniðið geymir hýsilnafn í stað bókstaflegs vistfangs þarf biðlarinn DNS-svar áður en hann getur sent nokkuð. Snið sem beinir DNS að leysi göngunnar skapar blindgötu: leysirinn er aðeins aðgengilegur um göngin sem leitin á að gera möguleg. Uppfletting utan ganganna, eða að festa endapunktinn við vistfang, fjarlægir óskýrleikann.
Annað stigið er ytri pakkinn, sem verður fyrst að standast leiðarval og þá eldvegginn, í þeirri röð. wireguard-tools sér um leiðarvalshelminginn af þessu fyrir WireGuard með því að merkja eigin pakka og bæta við stefnureglu svo þeir sleppi sjálfgefnu leiðinni sem hann setti upp rétt í þessu; handbókarsíða wg-quick lýsir þeirri reglu og töflunni sem hún notar. Endurbyggðu það leiðarval fyrir höndina, eða leyfðu öðru tóli að endurskrifa reglurnar, og merktu pakkarnir geta verið sendir aftur inn í göngin sem þeir eiga að byggja.
Þriðja stigið er afturleiðin. Handaband án svars er ekki sönnun um að hent sé á útleið; það passar jafn vel við inntaksreglu þjónsins eða NAT-tæki sem gleymdi vörpuninni. Aðskildu þetta áður en þú snertir biðlarann.
| What you see | Stage | Where to look |
|---|---|---|
| The client log repeats a resolve step and no packets appear on the wire | 1, name lookup | Resolver path while the tunnel is down |
| The send counter on the physical adapter stays flat | 2, routing | Peer route and policy rules |
| The send counter rises and a firewall drop counter rises | 2, firewall | Rule order, mark, and interface match |
| Packets leave and nothing comes back | 3, return path | Server input rules, NAT, listening port |
Biðlarar skrá einkennið sem þeir greina, ekki stigið sem mistókst, svo taflan er venjulega fljótari en annállinn.
Teljarar ákveða fljótar en annálar
Á Linux, nft list ruleset eða iptables -vnL OUTPUT prentar pakkateljara fyrir hverja reglu. Tengstu einu sinni, láttu mistakast og lestu teljarana svo aftur. Regla sem teljarinn hreyfðist á er regla sem handabandið lenti á; ef ekkert hreyfðist hvergi náði pakkinn aldrei eldveggnum. Ég hef séð reglusett henda eigin handabandi, og aðeins teljararnir sögðu það.
Til að aðgreina aldrei náði eldveggnum frá aldrei fór af hýsilnum, fylgstu með viðmótinu sjálfu. ip -s link show dev wlan0 tilkynnir senda pakka, og tcpdump -ni wlan0 udp port 51820 sýnir rammana. Ef það stendur flatt á meðan biðlarinn reynir aftur, er bilunin ofan við netfilter: vantar jafningjaleið, stefnuregla sem bendir á tæki sem er ekki til enn, eða sokkavilla sem biðlarinn gleypir.
Prófaðu undanþágur á skjölunarvistföngum eins og 203.0.113.10, svo mistök geti ekki kannað hýsil annars.
Úrelt endapunktsundanþága les eins og þjónn niðri
Villandi útgáfan birtist eftir að vistfang jafningjans breytist: þjónusta fyrir kraftstýrð vistföng flutti það, hýsilinn var endurbyggður, eða útvístfang netkerfisins er annað. Undanþágan nefnir enn gamla vistfangið, svo pakkar á það nýja rekast á hentingarregluna. Sama stillingin virkaði í gær, og þess vegna byrja menn á að leita bilunar í þjóninum.
Hýsilnafn inni í eldveggreglu bjargar þér ekki. Í nftables er nafnið leyst þegar reglusettið er hlaðið, svo það festir það vistfang sem var til á þeirri stundu og verður úrelt eins og bókstaflegt. Varanleg lausn er að uppfæra undanþáguna þegar endapunkturinn breytist og halda henni þröngri: eitt jafningjavistfang, eitt flutningsport. Svið sem er nógu breitt til að lifa vistfangsbreytingu er líka nógu breitt til að hleypa óskyldri umferð út.
Þegar kill switch keyrir á hýsli þjónsins
Sama háð er til á hinum endanum, og þar er auðveldara að missa hana. Ef vélin sem þjónar sem VPN-þjónninn þinn keyrir líka skjáborðsbiðlara með kill switch, eða eldveggssnið afritað af fartölvu, gilda hentingarreglur hans um þjónustuna sem lýkur göngunum. Svörum við handabandi biðlara er hent, svo hver biðlari kemst ekki í samband á meðan þjónninn virðist heilbrigður og gönguviðmót hans stendur ónotað.
Sá hýsill þarf þrjú þröng samþykki fyrir hentinguna: hlustunarport á líkamlega viðmótinu, gönguviðmót fyrir afdulkóðaða umferð og framsendingu frá göngunum í átt að því sem biðlararnir eiga að ná. Lestu uppsetta settið með nft list ruleset, iptables -S, eða pfctl -sr áður en þú breytir nokkru, og mundu að vistað reglusett lifir endurræsingu, svo mistök þar lifa lengur en ferlið sem gerði þau.
Endurheimtaröð sem heldur vélinni lokaðri
Vinnu út frá sniðinu. Lestu vistfang og port jafningjans sem biðlarinn notar, staðfestu að hýsilnafnið leysist án ganganna, bættu svo við einni undanþágu fyrir það vistfang og port aðeins á líkamlega millistykkinu. Tengstu aftur og fylgstu með sendingarteljaranum; lokið handaband er merkið um að annað stigið sé lagað.
Láttu restina af hentingarstefnunni vera á sínum stað meðan þú prófar. Skaðlaust próf er að reyna tengingu við óskyld skjölunarvistfang og staðfesta að hún renni enn út á tíma, sem sýnir að kill switch virki frekar en sé slökkt. Herðu undanþáguna þegar göngin eru stöðug, og skildu ekki eftir varanlegt leyfi fyrir öllu fyrir biðlaraforritið bara af því að það er þægilegt.
Ef göngin koma upp og forritið mistekst samt, þá eru eftir stigin ekki þetta: skipt DNS, MTU og leiðarval fyrir hvert forrit framleiða hvert tengd göng með brotna umferð, og hvert hefur annað fyrsta próf.