Әр қолданба үшін kill switch немесе бүкіл құрылғыны құлыптау: не өзгереді
Белгіге емес, қорғалатын жиынға қарай шешіңіз: шығарылған қолданбалар, фондық көмекшілер және жаңа қосылымдар үшін не тоқтайды және әр жағдайды қалай тексеру керек.
Әр қолданба үшін kill switch ұқыпты таңдау сияқты естіледі: туннель құлағанда желісінен тек жұмыс клиенті айырылады, ал қалғаны жұмысын жалғастырады. Сосын біреу жеке браузердің бәрібір бетті жүктегенін, сол жинақпен келген синхрондау көмекшісінің қайта-қайта әрекеттенгенін және кэштегі атаудың туннельге ешқашан жетпеген мекенжайға әлі де шешілетінін байқайды. Функциядағы белгі мен оның шын мәнінде қорғайтын қосылымдар жиыны екі бөлек нәрсе. Алдымен қорғалатын жиынды анықтаңыз, өйткені сол жиын әр қолданба бойынша орындау немесе бүкіл құрылғыны құлыптау адал сипаттама екенін шешеді.
Белгіден емес, жиыннан бастаңыз
Әр қолданба бойынша саясат таңдалған қолданбаларды қорғайды. Құрылғыны құлыптау кеңірек желілік шекараға бағытталады, әдетте жергілікті басып шығару, басқару трафигі немесе captive порталдар үшін құжатталған ерекшеліктермен. Екі белгінің ешқайсысы үш сұраққа жауап бермейінше толық емес: шығарылған қолданбаларға не болады, сол қолданбалар іске қосатын көмекшілерге не болады және қорғаныс қолжетімсіз кезде ашылған қосылымдарға не болады.
Клиент параметріне қол тигізбес бұрын осы жауаптарды жазып қойыңыз. Егер талап "бұл еңбекақы клиенті туннельден тыс интернетпен ешқашан сөйлеспеуі керек, ал менің браузерім сөйлесе алады" болса, жиын шағын және әр қолданба бойынша орындау жарасады. Егер талап "бұл құрылғыда ештеңе қорғаныссыз интернетке жетпеуі керек, жаңарту қызметінен басқа" болса, ешбір әр қолданба саясаты мұны бермейді, өйткені атамаған қолданбаларыңыз — мәселенің өзі.
Әр қолданба бойынша орындау идентификаторлармен сәйкестенеді, бағдарлама атауларымен емес
Android әр қолданба бойынша VPN-ді пакеттер арқылы ұсынады, ал оның VpnService құжаттамасы мұның үнемі қосылып тұру режимімен және бұғаттаумен қалай әрекеттесетінін сипаттайды. iOS әр қолданба бойынша VPN-ді басқару профилі арқылы конфигурациялайды және қолданба немесе домен бойынша сәйкестендіреді. Windows пен Linux-да процесс бойынша маршрут мүлде жоқ, сондықтан сол идея бағдарламаға шектелген желіаралық қалқан ережесімен немесе иелік етуші пайдаланушыға сәйкес келетін ережемен жуықталады.
Шекара — идентификатор, ал идентификаторларды айналып өту оңай. URL-ді жүйелік браузерге беретін немесе құжатты қарауышта ашатын қолданба сіздің саясатыңыз ешқашан атамаған процеске өтеді. Құлағанда тоқтату опциясы да пакет сүзгісі емес: ол сіз конфигурациялаған қолданбаны өлтіреді, ал балама процесс, кезек жұмысшысы немесе браузер қойындысы бар сокетті тірі ұстай алады.
Құлыптау әр қолданба саясаты көре алмайтынды жабады
Бүкіл құрылғыны құлыптау таңдауды алып тастайды. Туннельге жатпайтын әрбір шығыс пакеті тасталады, соның ішінде қолданба саясатыңыз білмеген процестердің трафигі. Android-да бұл үнемі қосулы VPN мен қосылымдарды бұғаттау параметрінің үйлесімі, ал орындалу жүйеде болады, клиент терезесінде емес. Дербес компьютерде бұл тұрақты желіаралық қалқан ережесі немесе жетпейтін шлюзге бағытталған әдепкі маршрут.
Бағасы — қалғанының бәрі тоқтайды, сондықтан ерекшеліктер кейінгі ой емес, дизайнның бөлігіне айналады. Жергілікті принтерлер, қызметтерді табу, captive порталдарға кіру, басқару агенттері және ОЖ жаңартуларының әрқайсысына құжатталған тесік керек, өйткені әрқайсысы туннель өшкенде ашық қалатын жол. Құлыптау сол тізімдегі ең қысқа жазба қаншалықты ғана күшті.
DNS, IPv6 және фондық көмекшілер ағуды жасырады
Қорғалған қолданбаның атауды шеше алмауы кэштегі жауаптардың немесе тікелей IP трафигінің бұғатталғанын дәлелдемейді. Егер шешуші туннельден тыс әлі де қолжетімді болса, атау шешіледі де, қосылым сәтсіз аяқталады, бұл жұмыс істеп тұрған kill switch сияқты көрінеді, бірақ олай емес. Одан жаманы, кэштегі жазба туннель тасымалдамайтын мекенжайға сілтеуі мүмкін, сондықтан қосылым тікелей сыртқа шығады, ал қолданба VPN қатесін хабарлайды.
IPv6 қолданатын әр платформада өз ережесін қажет етеді, өйткені v4 үшін тастау ережесі v6 маршрутын жабалмайды. Мобильде жеке DNS параметрі шешуді құрылғы саясаты тексермейтін шифрланған арнаға жылжытуы мүмкін. Ал фондық көмекшілер дестедегі әдеттегі кінәлі: жаңартқыш немесе синхрондау процесі VPN клиентінен бұрын басталып, өз қосылымын ұстайды, сондықтан өзгерген маршрутты ешқашан көрмейді.
Үш қолданба мен екі ауысуды тексеріңіз
| Test | What it proves |
|---|---|
| Included app, by name and by direct IP | the policy is applied, not just the resolver |
| Excluded app, same checks | the exclusion is intentional and documented |
| Helper or updater process | nothing inherited an older route |
| Tunnel drop, then Wi-Fi to cellular | the block survives the transition |
Әр жолды екі рет, бір рет хост атауымен және бір рет тура мекенжаймен, ал желі ұсынса тағы бір рет IPv6 арқылы іске қосыңыз. Өту дегеніміз қосылған қолданба тоқтады, шығарылған қолданба жазғаныңыздай әрекет етті және көмекші сыртқа шығып кетпеді. Қолайлы деп шешкен тікелей мінез-құлықты жазып қойыңыз, келесі әкімші әдейі жасалған ерекшелікті ақаудан ажырата алады.
Сонан соң нәтижені қолданбалар мен шарттарды атайтын бір сөйлеммен сипаттаңыз, мысалы: еңбекақы клиентінің туннельден тыс маршруты жоқ, браузер дизайн бойынша тікелей, ал туннель өшкенде қалғанының бәрі тоқтайды. Егер бұл сөйлемді жазу қиын болса, саясат әлі де бір-бірімен күресетін екі саясат.