Tvær VPN-appir í einu: hvert kill switch á eiginlega við?

Tveir VPN-klientar geta keyrt hlið við hlið, en kill switch þeirra renna ekki saman í eina stefnu. Hver klient setur upp reglur fyrir sinn eigin göng, og hvorugur veit að hinn er til. Ég lenti í þessu með vinnuklient tengdan fyrst: seinni appið gat ekki klárað handabandið, sat á „Connecting“ í tíu mínútur og fyrra gangið flutti allt í kyrrþey. Hvort seinna appið verður varið ræðst af þremur skilyrðum, ekki af því hvort bæði táknin segja Tengt.

Við hvað kill switch er í raun afmarkað

Ekkert í stýrikerfinu hefur eitt kill switch-fána. Klient sem auglýsir einn setur upp reglusett: sleppa öllu sem fer ekki út um gangið mitt, og oft fail closed þegar gangið hverfur. Á Linux er það venjulega nftables- eða iptables-keðja, á Windows sett af Windows Filtering Platform-síum, á Android og iOS eigin leiðsögn gangaþjónustunnar auk kerfisstillingarinnar sem lokar tengingum án VPN. Android VPN-leiðarvísirinn lýsir því þjónustulíkani ef þú vilt sjónarhorn vettvangsins.

Umfangið er sá hluti sem skiptir máli. Regla eins og „leyfa aðeins pakka á útgangsviðmóti wg0“ hirðir ekki um hvort annað gang sé til. Ef annar klient ræsir wg1 meðhöndla reglur fyrri klientsins þá pakka sem venjulegan umferð: oftast felldir, stundum leyfðir. Hvort sem er er það fyrri klientinn sem ræður, og hann hefur ekki hugmynd um að annað app bíður.

Þrjú skilyrði sem ráða því hver verður varinn

Þú þarft ekki að fara í gegnum hverja samsetningu. Þrjár spurningar leysa það á nokkrum mínútum.

1. Leyfir vettvangurinn yfirhöfuð annað gang? Flest Android-símar og iPhone taka aðeins við einni virkri VPN-þjónustu á hvert notandasnið, svo seinna appið hefur aldrei gang og framfylgir aldrei neinu. Þú fær einni stefnu, frá appinu sem vann sætið.
2. Hvaða ferli á sjálfgefnu leiðina? Windows, macOS og Linux bera fúslega tvö göng. Sjálfgefna leiðin tilheyrir þeim klient sem stillti hana síðast eða með betri mælikvarða, og hinn klientinn er tengdur en aðgerðalaus. Á Linux notar sjálfgefinn leiðarhættir wg-quick stefnuleiðsögn með einkatöflu og fwmark-reglu, svo annað wg-quick-gang bætir við samkeppnisreglu í stað þess að koma í stað hinnar fyrri.
3. Nær seinni klientinn eigin þjóni? Ef fyrsti kill switch er default-deny er ytra endapunktur seinni appsins bara enn einn felldur áfangastaður. Hann reynir aftur í kyrrþey og tilkynnir aldrei villu.

Stutta útgáfan, fyrir stuðningsþræði:

Tvær af þessum röðum líta eins út frá tákninu í bakkanum, og þess vegna er táknið versta sönnunin sem völ er á hér.

Hvað bregst fyrst, og hvernig það lítur út

Klient sem situr fastur á „Connecting“ meðan hinn er heilbrigður er næstum alltaf endapunktssultur: virki kill switchinn fellir handaband seinni klientsins við eigin þjón. Staðfestu það ódýrt með því að setja blokkarreglur fyrri klientsins í pásu í eina tilraun. Ef seinni tengist strax er spurningunni svarað.

DNS er önnur bilunin. Klientar stilla leysisstillingu fyrir eigið viðmót, og sumir skrifa einfaldlega yfir almenna leysingarlistann. Með bæði göng upp geta fyrirspurnir farið út um aðra hliðina meðan leysirinn tilheyrir hinni. Aftengdu annað appið og sá sem eftir lifir heldur óaðgengilegum nafnaþjóni: síður stíflast í eina mínútu og leysast svo aftur, meðan VPN sýnir enn tengt.

Þriðja er leiðarflökt. Endurtengingar endurraða sjálfgefnu leiðinni, og viðmótsbundinn kill switch fylgir henni ekki. Umferð sem var í ganginu í eitt augnablik passar nú við fellireglu, sem á notendahliðinni les eins og VPN sem hættir af handahófi að virka.

Staðfesta hvaða stefna er í raun í gildi

Gerðu þetta með skaðlausri umferð, ekki með einhverju sem þú myndir sakna.

Spurðu kjarnann á Linux hver vinnur og við hvað eldveggurinn bindur. ip -4 route show default nefnir gangið sem á útgönguna. ip rule show sýnir hvort stefnuleiðsögn sé í gangi. sudo nft list ruleset | grep -n oifname sýnir hvort fellingar séu bundnar við viðmótsheiti, merki eða alla útkeðjuna.

Á Windows býr sama saga í leiðarmælikvarðanum og síulistanum: Get-NetRoute -DestinationPrefix "0.0.0.0/0" | Sort-Object RouteMetric og Get-NetFirewallRule -Enabled True | Where-Object DisplayName -match "VPN". Á macOS netstat -rn -f inet | head -5 og scutil --dns | head -20.

Gerðu svo skrefið sem fólk sleppir: stöðvaðu gangið viljandi og staðfestu að umferðin sem þú býst við að bregðist bregst virkilega. Tengt tákn er UI-staða, ekki framfylgd.

Þegar tveir klientar er röng hönnun

Ef eina krafan bak við seinni appið er meiri vernd skaltu fjarlægja það. Tvær blokkarstefnur sem hafa áhrif á hvor aðra eru minna fyrirsjáanlegar en ein, og hver endurtenging er tækifæri til að lenda í stöðu sem enginn framleiðandi prófar.

Ef þú þarft virkilega keðjingu, til dæmis fyrirtækjahlið náð yfir auglýsingarhopp, veldu hönnun með einum framfylgdarpunkti. Það þýðir venjulega beini eða einn klient sem styður keðjuna, ekki tvö skrifborðsapp sem keppa um sömu sjálfgefnu leiðina. Á stýrðu tæki heldur þú leyfða klientnum og meðhöndlar allt annað sem utan umfangs, hvað sem það sýnir í bakkanum.

Gátlisti áður en þú heldur báðum

Farðu í gegnum listann í röð; fyrsti liðurinn sem bregst er sá sem þarf að laga.

• Staðfestu að nákvæmlega einn klient eigi sjálfgefnu leiðina og leysirinn.
• Ef þú vilt seinni klientinn upp skaltu leyfa endapunkt þjóns hans sérstaklega og athuga aftur eftir hverja klientuppfærslu.
• Skrifaðu niður vænta útkomu þegar annað ganganna fellur og prófaðu nákvæmlega það tilfelli.
• Athugaðu bilanaleiðina eftir endurræsingu, þegar röð ræsingar er önnur.
• Á stýrðu sniði: stansaðu og spurðu eigandann áður en þú bætir einhverju við.

Ef þriðja skref bregst er heiðarlegt svar að aðeins einn klient gefur þér stefnu. Ákveddu hverjum þú treystir og leyfðu hinum að fara.