Always-on VPN oder Kill Switch: wat hutt Dir wierklech ageschalt?

Always-on a Kill Switch stinn zwou Zeilen auserneen um selwechte Astellungsbildschierm, dofir liesen d'Leit se als zwee Nimm fir eng Funktioun. Dat sinn se net. Always-on ass eng Politik vum Neiverbannen: den Tunnel beim Start uschalten, no engem Crash oder engem Netzwierkwiessel erëmbréngen an et weider probéieren, soulaang et feelt. De Kill Switch ass eng Politik vum Traffic: hie bezeechent, wéi eng Pakete bis dohinner nach d'Maschinn kënne verloossen, wa kee Tunnel steet. Dir kënnt déi éischt ouni déi zweet aschalten, a op de meeschte Plattformen lässt d'Standardresultat den Traffic während där Plaz nach eraus.

Kontroll 1: ass de Block een eegene Schalter?

Op Android 10 an duerno mécht e gespäicherte VPN-Profil zwou onofhängeg Ëmschalter hannert dem Zännrad op: Always-on VPN an Block connections without VPN. Nëmmen déi zweet ass de Kill Switch. Mat just always-on kënnt den Tunnel wierklech no engem Ofbroch erëm, an all App, déi mëttlerweil eng Ufro mécht, kann iwwer Wi-Fi oder mobil Donnéeën an d'Netzwierk, bis et sou wäit ass.

Gestiounste Geräter halen déiselwecht Deelung an der Politik-API. setAlwaysOnVpnPackage() hëlt den Numm vum Paket an e Flag lockdownEnabled; en Administrateur, deen de Paket setzt an de Flag op false léisst, huet en dauerhaften Tunnel gebaut, keen zouenen Apparat. D'Wiedergab am Konsol mécht deen Ënnerscheed bal ni siichtbar.

Liest den Zoustand um Apparat amplaz am Konsol: adb shell settings get global always_on_vpn_app an adb shell settings get global always_on_vpn_lockdown. Wann deen éischten null zréckgëtt, ass kee Paket op Plattformniveau erzwongen; wann den zweeten 0 zréckgëtt, blockéiert d'Plattform näischt. Den Android-VPN-Guide beschreift dat als getrennt Fäegkeeten an net als ee Modus.

Kontroll 2: wéi eng Schicht huet de Block?

D'Labelen sëtzen am Client an d'Blöck meeschtens an der Firewall, dofir heescht dat selwecht Wuert op all Plattform eppes Aneres. D'Reien hei drënner sinn déi, déi et wäert ass ze bestätegen, ier Dir engem vun hinnen vertraut.

Windows ass dat kloerst Beispill vun engem Label, deen net blockéiert. Do beschreift Always On d'Dauerhaftigkeit vum Tunnel: en Apparatstunnel fir d'Authentifikatioun vun der Maschinn, e Benotzertunnel fir de ageloggte Kont, konfiguréiert iwwer Profil-XML oder Add-VpnConnection. Näischt an deem Profil hält en erausgängleche Paket op, wa keen Tunnel do ass, an d'erausgänglech Filterung ass net standardméisseg un, dofir schafft e Laptop um Wi-Fi weider, während d'VPN ënnen ass.

WireGuard deelt sech déiselwecht Manéier, awer nom Client. WireGuard for Windows huet eng Optioun Block untunneled traffic pro Tunnel, déi Filterregelen installéiert; d'Linux-Werkzeuge hunn esou ee Schalter net. wg-quick setzt eng Route fir all AllowedIPs-Antrag dobäi plus eng fwmark-Regel, an wg-quick down hëlt béid erof, sou datt déi physesch Standardroute erëm iwwerhëlt, ouni datt ee Paket verluere geet.

Op Apple-Plattformen kënnt always-on als Funktioun vum Gestiounsprofil fir iwwerwaacht Apparater an dréckt sech als on-demand-Regele aus, net als Këschtche. D'Fro, déi een aus dem Payload beäntwere muss, ass ob en Tunnel, deen feelt, den Traffic verweigert oder just eng aner Verbindung freet. Den Titel vum Menü seet Iech dat net.

Kontroll 3: moosst d'Plaz, net d'Ikon

Véier Iwwergäng si wichteg, a si feelen op verschidde Manéieren: de Start, ier een sech aloggt, Schlof an Erwächen, de Wiessel vum Wi-Fi op mobil Donnéeën, an en Client-Crash, deen d'Tunnel-Schnittstell hallef konfiguréiert léisst. E propper Neiverbannen op engem vun hinnen beweist näischt iwwer déi aner dräi.

Den bëllegsten Test hält den Tunnel bewosst un a probéiert da fortzekommen. Wann den Tunnel ënnen ass, heescht curl -m 5 -sS -o /dev/null -w '%{http_code}' https://example.com dat 200 zréckgëtt, datt d'Politik fail-open ass; en Timeout oder eng refuséiert Verbindung heescht, datt nach eppes blockéiert. ip route get 1.1.1.1 nennt d'Schnittstell, déi de Paket géif droen, wat meeschtens méi informative ass wéi d'Ikon an der Taskbar, an systemctl status wg-quick@wg0 weist, ob d'Schnittstell propper ewechgeholl gouf.

Fuert déiselwecht Prüfung an engem zweeten Fenster, während d'Netzwierk sech ännert, an net nëmmen duerno. Den Intervall tëscht dem Ofbroch an dem neie Versuch ass deen, op deen et ukommt, an d'Nimmopfro ass de séierste Wee, ze bemierken, datt den Traffic erauskomm ass: wann den lokale Resolver äntwert, während den Tunnel ënnen ass, ass de Block net komplett.

Kontroll 4: decidéiert d'Ausnamen, ier Dir zoumaacht

Zwee Ausnamen si strukturell. De Client muss de VPN-Server selwer erreechen, dofir verhënnert e Reegelsatz, deen alles fale léisst, och d'Neiverbannen, dat de Schutz géif erëmbréngen. E Captive Portal ass och net duerch en Tunnel z'erreechen, deen net steet, dofir brauch e gespaarte Gerät um Hotel-Wi-Fi en dokumentéierte Wee, fir de Portal opzemaachen, an keen improviséierten.

Eng minimalistesch Form: den Endpoint erlaabt an alles anescht fale gelooss:

table inet vpnlock {
  chain output {
    type filter hook output priority 0; policy drop;
    oifname "lo" accept
    ip daddr 203.0.113.10 udp dport 51820 accept
    oifname "wg0" accept
  }
}

Behandelt déi Endpoint-Zeil als Variabel, net als Konstante. D'Provider wiesselen Adressen, an eng al Ausnam ass de gewéinleche Grond, firwat e funktionéierende Kill Switch zu engem Gerät gëtt, dat sech net méi ka verbannen. Lokal Drécker, NAS-Deelungen an Entwécklungsservicer gehéieren op déiselwecht schrëftlech Lëscht, soss ginn se een nom aneren an engem Support-Ticket entdeckt.

Kontroll 5: schreift op, wat Dir wierklech bewisen hutt

Halt eng Tabell mat véier Spaltenen a fëllt se duerch Tester: Zoustand, erwaart Verhalen, observéiert Verhalen, Beweis. D'Reie sinn d'Iwwergäng aus Kontroll 3 plus ee bewosste Feeler. Eng Rei, déi Dir net mat Kommandoausgab fëllen kënnt, ass eng Rei, déi Dir net getest hutt, an en Apparat, deen d'Rei vum Neiverbannen duerchkënnt an op der Rei vum Start feelt, ass heefeg genuch, fir déi zéng Extra-Minutten ze verdéngen.

Ier Dir et fäerdeg nennt:

• Bestätegt, datt d'Blockastellung getrennt vun der Astellung vum Neiverbannen ass, a liest hire Wäert um Apparat.
• Wësst, wéi eng Schicht de Block duerchsetzt - Clientoptioun, Apparatspolitik oder Firewall - a wou déi Schicht konfiguréiert ass.
• Behält ee Prüfkommando, dee de Block beweist, a fuert en während engem Iwwergang aus, net duerno.
• Schreift d'Lëscht vun den Ausnamen op, den Endpoint abegraff, a notéiert, wien se aktualiséiert.
• Op gestiounter Hardware loosst d'erzwongen Politik a Rou; de Block ewechhuelen ännert d'Ufuerderung, amplaz den Tunnel ze reparéieren.