Uscire o disconnettersi: due esiti VPN diversi

Il menu offre Disconnetti, la finestra ha un pulsante di chiusura e il gestore attività offre Termina attività. Ognuno sembra un modo per fermare la VPN, e ognuno può lasciare la macchina in uno stato diverso. Uno può fermare il tunnel lasciando attivo un blocco, un altro può ripulire tutto come parte di un’uscita ordinata, e un terzo può solo nascondere l’interfaccia mentre il componente in background continua a funzionare. Trattarli come sinonimi è esattamente il modo in cui un test sulla privacy arriva a una conclusione sbagliata su ciò che è successo.

La documentazione del client è l’unico posto affidabile per sapere quale è quale.

Quattro comandi, forse quattro comportamenti

Disconnettersi di solito smonta il tunnel mentre il client resta residente, il che significa che un servizio, un componente nella barra delle applicazioni o una regola del kill switch possono sopravvivere al clic. Molti client continuano poi a bloccare il traffico perché la loro politica impone che il dispositivo non ricada sull’accesso diretto finché il client è presente. Questo comportamento sembra una rete rotta ed è una protezione deliberata.

Uscire serve a terminare l’applicazione, e un client ben progettato rimuove le sue regole in uscita. Alcuni progetti lasciano invece un helper separato che applica la politica, e questa è una scelta, non un difetto. Chiudere la finestra è un’azione dell’interfaccia senza effetti definiti sul tunnel, e la Pausa, dove disponibile, è un quarto comportamento con regole proprie.

Un guasto lato server è un quinto percorso del tutto diverso, ed è quello che gli utenti incontrano più spesso in pratica.

Leggi lo stato prima e dopo ogni azione

Registra l’elenco dei processi, lo stato del servizio e le regole del firewall prima dell’azione, poi ripeti la registrazione subito dopo. Confrontare i due elenchi mostra che cosa ha fatto davvero il comando, senza affidarsi alla descrizione dell’interfaccia stessa.

systemctl status wg-quick@wg0 --no-pager
pgrep -a -f 'openvpn|wireguard|vpnagent'
ip link show | grep -E 'tun|wg'
nft list ruleset | grep -E 'drop|reject' | head -20
scutil --nc list

Se le regole scompaiono insieme al processo, erano del client. Se le regole restano mentre il processo è sparito, qualcos’altro applica la politica, e trovare quel componente viene prima di qualsiasi modifica. Annota lo stato del servizio nello stesso momento, perché un’interfaccia ferma non dice nulla su un servizio di sistema.

Una disconnessione manuale non è un crash

Disconnettersi esegue il percorso di arresto previsto, e un crash lo salta. I risultati dell’uno quindi non si trasferiscono all’altro, perciò un test che ha usato una voce di menu non può sostenere un’affermazione sul comportamento quando il client muore.

Allo stesso modo, un crash non dice nulla su una pausa temporanea approvata. Tieni separate quelle tre domande nel piano di test e in tutto ciò che verrà scritto dopo. Il percorso di arresto spiega anche perché un’uscita pulita può rimuovere regole che un crash lascia dietro di sé. Stesso pulsante, codice diverso, prove diverse.

Scegli lo stato non disponibile che ti serve davvero

Se il traffico deve restare bloccato ogni volta che il tunnel è inattivo, verifica quel requisito durante l’azione specifica che ti interessa, con traffico innocuo verso una destinazione nota. Includi le esclusioni delle applicazioni e le eccezioni della rete locale, perché l’applicazione a livello di dispositivo è spesso più stretta di quanto il nome suggerisca. Poi conferma cosa succede dopo un riavvio, perché è allora che di solito compare lo stato obsoleto.

Se l’obiettivo è un accesso diretto normale, usa il comando documentato invece di uccidere processi o disattivare l’intero firewall. Le regole obsolete lasciate da un’uscita interrotta sono un problema diverso da un blocco intenzionale, e richiedono un recupero diverso.

Annota quale componente si è fermato: il tunnel, l’applicazione visibile o lo strato che applica la politica. Quella sola frase evita la maggior parte della confusione che questi comandi creano.