Ар бир колдонмо үчүн kill switch же бүт түзмени кулпулоо: эмне өзгөрөт
Белгиге эмес, корголуучу топтомго карап чечиңиз: четтетилген колдонмолор, фондук жардамчылар жана жаңы байланыштар үчүн эмне токтойт, жана ар бир учурду кантип текшерүү керек.
Ар бир колдонмо үчүн kill switch этият тандоо сыяктуу угулат: туннель кулаганда тармагын жалгыз иш клиенти жоготот, калгандын баары иштей берет. Анан бирөө жеке браузердин баары бир барак жүктөгөнүн, ошол эле топтом менен келген синхрондоо жардамчысынын кайра-кайра аракет кылганын жана кэштеги ат туннелге эч качан жетпеген дарекке дагы эле чечилгенин байкайт. Функциядагы белги менен анын чындап коргогон байланыштар топтому эки башка нерсе. Адегенде корголуучу топтомду аныктаңыз, анткени ошол топтом ар бир колдонмо боюнча аткаруу же бүт түзмени кулпулоо чыныгы сүрөттөмө экенин чечет.
Белгиден эмес, топтомдон баштаңыз
Ар бир колдонмо боюнча саясат тандалган колдонмолорду коргойт. Түзмени кулпулоо кененирээк тармактык чекке багытталат, адатта жергиликтүү басып чыгаруу, башкаруу трафиги же captive порталдар үчүн документтелген өзгөчөлүктөр менен. Эки белгинин экөө тең үч суроого жооп бермейинче толук эмес: четтетилген колдонмолорго эмне болот, ошол колдонмолор иштеткен жардамчыларга эмне болот жана коргоо жеткиликсиз болгондо ачылган байланыштарга эмне болот.
Клиенттин параметрине тийишкенге чейин бул жоопторду жазып коюңуз. Эгер талап "бул эмгек акы клиенти туннелден тыш интернет менен эч качан сүйлөшпөшү керек, ал эми менин браузерим сүйлөшө алат" болсо, топтом кичине жана ар бир колдонмо боюнча аткаруу ылайыктуу. Эгер талап "бул түзмөктө эч нерсе коргоосуз интернетке жетпеши керек, жаңыртуу кызматынан башка" болсо, эч бир ар бир колдонмо саясаты муну бербейт, анткени сиз аттабаган колдонмолор — көйгөйдүн өзү.
Ар бир колдонмо боюнча аткаруу идентификаторлорго дал келет, программа аттарына эмес
Android ар бир колдонмо үчүн VPNди пакеттер аркылуу сунуштайт, жана анын VpnService документтери мунун дайыма күйүк режим жана блоктоо менен кантип аракеттешээрин сүрөттөйт. iOS башкаруу профили аркылуу ар бир колдонмо үчүн VPNди конфигурациялайт жана колдонмо же домен боюнча далдайт. Windows жана Linuxдо процесс боюнча маршрут такыр жок, ошондуктан ошол эле идея программага чектелген брандмауэр эрежеси же ээлик кылган колдонуучуга дал келген эреже менен болжолдонот.
Чек — идентификатор, ал эми идентификаторлорду айланып өтүү оңой. URLди системалык браузерге өткөргөн же документти көрүүчүдө ачкан колдонмо сиздин саясат эч качан аттабаган процесске өтөт. Кулаганда токтотуу опциясы да пакет фильтри эмес: ал сиз конфигурациялаган колдонмону өлтүрөт, ал эми балама процесс, кезек ишчиси же браузер өтмөгү бар сокетти тирүү кармай алат.
Кулпулоо ар бир колдонмо саясаты көрө албаганды жабат
Бүт түзмени кулпулоо тандоону алып салат. Туннелге таандык эмес ар бир чыгуучу пакет ыргытылат, анын ичинде колдонмо саясатыңыз билбеген процесстердин трафиги. Androidдо бул дайыма күйүк VPN менен байланыштарды блоктоо параметринин айкалышы, ал эми аткаруу системада болот, клиент терезесинде эмес. Демейдеги компьютерде бул туруктуу брандмауэр эрежеси же жетүүгө мүмкүн болбогон шлюзга багытталган демейки маршрут.
Баасы — калганынын баары токтойт, ошондуктан өзгөчөлүктөр кийинки ой эмес, дизайндын бөлүгү болуп калат. Жергиликтүү принтерлер, кызматтарды табуу, captive порталдарга кирүү, башкаруу агенттери жана ОС жаңыртууларынын ар бирине документтелген тешик керек, анткени ар бири туннель өчкөндө ачык калган жол. Кулпулоо ошол тизмедеги эң кыска жазуу канчалык гана күчтүү.
DNS, IPv6 жана фондук жардамчылар агымды жашырат
Корголгон колдонмонун атты чече албашы кэштеги жооптордун же түз IP трафигинин блоктолгонун далилдебейт. Эгер чечүүчү туннелден тыш дагы эле жеткиликтүү болсо, ат чечилет да, байланыш ишке ашпайт, бул иштеп жаткан kill switch сыяктуу көрүнөт, бирок андай эмес. Андан жаманы, кэштеги жазуу туннель ташыбаган дарекке көрсөтүшү мүмкүн, ошондуктан байланыш түз сыртка чыгат, ал эми колдонмо VPN катасын билдирет.
IPv6 аны иштеткен ар бир платформада өз эрежесин талап кылат, анткени v4 үчүн ыргытуу эрежеси v6 маршрутун жабалбайт. Мобилде жеке DNS параметри чечүүнү түзмөк саясаты текшербеген шифрленген каналга жылдырышы мүмкүн. Ал эми фондук жардамчылар демилгедеги адаттагы күнөөлүү: жаңырткыч же синхрондоо процесси VPN клиентинен мурун башталып, өз байланышын кармайт, ошондуктан өзгөргөн маршрутту эч качан көрбөйт.
Үч колдонмо менен эки өтүүнү текшериңиз
| Test | What it proves |
|---|---|
| Included app, by name and by direct IP | the policy is applied, not just the resolver |
| Excluded app, same checks | the exclusion is intentional and documented |
| Helper or updater process | nothing inherited an older route |
| Tunnel drop, then Wi-Fi to cellular | the block survives the transition |
Ар бир сапты эки жолу, бир жолу хост аты менен жана бир жолу так дарек менен, ал эми тармак сунуштаса дагы бир жолу IPv6 аркылуу иштетиңиз. Өтүү дегени киргизилген колдонмо токтоду, четтетилген колдонмо жазганыңыздай аракет кылды жана жардамчы сыртка чыгып кетпеди. Ылайыктуу деп чечкен түз жүрүм-турумду жазып коюңуз, кийинки администратор атайылап жасалган өзгөчөлүктү бузулуудан ажырата алат.
Анан натыйжаны колдонмолорду жана шарттарды аттаган бир сүйлөм менен сүрөттөңүз, мисалы: эмгек акы клиентинин туннелден тыш маршруту жок, браузер дизайн боюнча түз, ал эми туннель өчкөндө калганынын баары токтойт. Эгер бул сүйлөмдү жазуу кыйын болсо, саясат дагы эле бири-бири менен күрөшкөн эки саясат.