Down-Skript oder Firewall-Reeg: wat stoppt de Leck?

Zwou Konstruktiounen verspriechen dat selwecht: wann den Tunnel fält, geet näischt am Kloertext eraus. Déi eng leeft en Skript beim Ofbau an schneit Interfacen of. Déi aner léisst eng Firewall-Reeg a Kraaft a freet de VPN-Client no näischt. Si ënnerscheede sech doran, wien d’Recht huet ze handelen, wat wärend der Lück geschitt an wéi de Rechner duerno erëm online kënnt. Si op dësen dräi Punkten ze vergläichen ass nëtzlecher wéi ze streiden, wéi eng strenger ass.

Déiselwecht Aarbecht iwwer zwéin Mechanismen

De Client kann Hooks lafe loossen, wann den Tunnel opkënnt an wann en ofgebaut gëtt, wann d’Profil d’Skriptausféierung erlaabt. Dee Hook leeft bannent dem Liewenszyklus vum Client, am Moment wou d’Verbindung zougeet. Eng Firewall-Reeg dogéint gehéiert dem System a këmmert sech net dorëm, ob de Client leeft, ofgestierzt oder ëmbruecht gouf.

Dës Tabell ass dat ganzt Argument. En Skript, deen nëmmen beim ordentlechen Ofschloss leeft, deckt de Fall, iwwer deen Dir Iech am mannsten Suergen gemaach hutt; dee Fall, deen zielt, ass den Ofstuerz oder den Netzwierk, deen verschwënnt, an keen vun deenen zwee gëtt en propperen Ofbau.

Wat den Ofbau-Hook kann an wat net

Déi dokumentéiert Manéier geet d’Netzwierkinterfacen duerch a setzt alles erof ausser loopback. Wann dat physescht Gerät erof ass, kann näischt aus dem Tunnel erauskommen, an dat ass genee d’Absicht.

#!/bin/sh
for dev in /sys/class/net/*; do
  name=$(basename "$dev")
  [ "$name" = lo ] || ip link set dev "$name" down
done

Et setzt och dat lokal Netzwierk erof, all Service, deen de Rechner hostet, an de Wee, deen Dir benotze géift fir de Problem ze fixen. Op engem Laptop muss dat Drahtlosgerät duerno heiansdo vu Hand ëmgeschalt ginn, sou datt eng kuerz Stéierung eng Reparaturssitzung gëtt. Schlimmer nach, et kann sinn, datt den Hook däerf näischt vun deem maachen: wann de Client seng Rechter opgëtt, leeft den Ofbau-Skript mam net-privilegéierten Kont, an all Interface-Ännerung feelt mat engem Berechtegungsfehler, deen an deem Moment geschriwwe gëtt, wou keen de Log liest.

Kuckt no, wéi de Client gestart gëtt, ier Dir dem Hook vertraut. En Skript, deen funktionéiert, wann Dir en vu Hand als root lafe looss, beweist näischt iwwer den Service, deen beim Opstart ufänkt.

Wat d’Firewall-Reeg anescht mécht

Eng Reeg, déi nëmmen Tunnel-Verkehr erlaabt, schafft weider, wann de Clientprozess fort ass, well de Kernel net vun deem Prozess ofhänkt. D’Reeg ass och méi schmuel: si blockéiert genee déi Stréim, op déi si passt, a léisst loopback, dat lokal Subnetz an de Reparaturwee an der Rou, dofir léisst si de Rechner net sëtzen.

De Präis ass, datt d’Reeg vun deemjenegen, dee seng Firewall um Host huet, geschriwwen a gepflegt muss ginn, an si muss d’Tunnelgerät nennen, dat de Client tatsächlech uleet. Dat heescht, d’Reeg an d’Profil mussen zesumme gepflegt ginn; en ëmbenannt Interface hannerléisst eng Firewall, déi alles blockéiert an näischt erkläert.

Kee vun deenen zwéi Mechanismen mécht deen aneren iwwerflësseg. Eng Firewall-Reeg, déi no enger Ännerung ni méi nei gelueden gëtt, ass esou fiktiv wéi en Skript, deen ni leeft.

persist-tun entscheet, ob et eng Lück gëtt

Wann d’Tunnelgerät eng Trennung iwwersteet, iwwerstoen d’Routen, déi dohinner weisen, och. Den Trafic gëtt dann verworf amplaz ëmgeleet, sou datt d’Standardroute net op de physesche Gateway zréckfält. Dëst Verhalen mécht e Leck onwahrscheinlech, nach ier iergendeng Firewall-Reeg am Spill ass.

Ouni dës Astellung gëtt d’Gerät ewechgeholl an d’Routen domat, an d’Standardroute kann erëm op de physesche Gateway weisen. Ob si et mécht, hänkt vun der Plattform an dem Client of, an genau dofir muss den Zoustand observéiert an net ugeholl ginn. Betruecht d’Astellung als Deel vum kill switch, net als Leeschtungsoptioun.

Haalt de Wee fir d’Neiverbannen lieweg, da test véier Zoustanden

Eng streng Blockéierung kann de Client och um Neiverbannen hënneren, well de Client weiderhin eng Route bei de Server iwwer de physesche Gateway brauch, wärend alles anescht verworf gëtt. Installéiert eng Host-Route fir déi eng Adress, ier den Tunnel opkënnt, a léist den Numm fir d’éischt op, well DNS zu deem Zäitpunkt, wou Dir et braucht, blockéiert ka sinn.

ip route add 198.51.100.20/32 via 192.168.0.1 dev wlan0

Da verifizéiert d’Zoustänn an net d’Etikett. Maacht bewosst véier Momenter duerch: e kale Start ouni Tunnel, eng gesond Sitzung, en Abroch, deen keen ugefrot huet, an d’Sitzung nodeems se sech erholl huet. Liest an all Moment d’Standardroute a maacht eng Ufro, där hir Ausgangsadress sichtbar ass. Eng Applikatioun, déi opgëtt, wärend den Tunnel erof ass, seet näischt iwwer e Mailclient oder en Updater, dofir widderhëlt déi lescht Kontroll mat enger Hannergrondapplikatioun. Schreift d’Reeg, d’Interface-Nimm an d’Erhuelungsschrëtt op, well e kill switch, deen keen iwwerpréiwe kann, ass e Gerücht.