Wéi een de VPN-Killswitch ouni richteg Konten test
Maach en Killswitch-Test mat enger Lockpëll-Säit an engem Reservedprofil: deck all Zort Ënnerbriechung of, lies d'curl-Ausgangscodë a trenn eng richteg Blockade vun engem DNS-Fehler.
Du brauchs kee richtegt Konto fir erauszefannen, ob e Killswitch hält; just d'Konto ass et, wat den Test a Gefor bréngt. D'Kontroll schaaft eng kuerz Fënster, an där den Trafik kann oder net aus dem Tunnel erausgoen, dofir soll d'Laascht eppes sinn, wat s de verléiere kanns. Ech maachen dat elo mat enger Lockpëll-Säit an engem Reservedprofil am Browser, an dat gëtt eng méi kloer Äntwert wéi déi fréier Routine mam Browser an der Webmail. Hei drënner befollegen ech déiselwecht Reiefolleg, déi de Client weist: d'Astellung, den Zil, den Iwwergang an dann den Noweis.
Den Test beäntwert nëmmen eng schmuel Fro: kann dës Applikatioun während dësem Iwwergang d'Netzwierk baussen dem Tunnel erreechen? et seet näischt doriwwer, ob de Rescht vun der Politik sënnvoll ass. Halt de Beräich esou kleng, an d'Resultat ass et wäert opzeschreiwen.
Fann de Schalter a säi Beräich am Client
Maach de Client op a fann d'Blockéierungsastellung, ier s de en Netzwierkzoustand änderers. D'Fabrikante nennen se ënnerschiddlech: Killswitch, Spär-Modus, Netzwierkspär, Trafik baussen dem Tunnel blockéieren. D'Etikett seet manner wéi d'Optiounen dobannen. Et zielt, ob d'Blockade ëmmer gëllt oder nëmmen wann d'App mengt, den Tunnel ass just ausgefall, an ob se all Applikatiounen oder eng ausgewielte Lëscht deckt.
Dann ziel d'Iwwergäng op, déi däi Client wierklech kann ausféieren. Eng vum Benotzer ausgeléist Trennung, d'App verloossen an de Kontakt mam Server verléieren sinn an de meeschte Clienten dräi verschidde Codeweeër, an se deelen net eng eenzeg Blockadepolitik. E puer ginn d'Blockade fräi, wann d'App zoumaacht. Anerer loossen d'Filterregelen stoen, bis eppes se ewechhëlt. Lies d'Astellungsreferenz vum Fabrikant fir deng Versioun, amplaz et unzehuelen, an notéier dann, wéi eng vun den dräi s de testst.
Notéier och de Profil: Protokoll, Adressfamilljen a ob den opgedeilten Tunnel ugeschalt ass. D'Behaaptung vum ganze Gerät ass sënnlos, wann de Profil bewosst e puer Applikatiounen ausschléisst, an eng Ausnam, déi s de selwer ageriicht hues, ass keng Leck. D'Astellungsreferenz vum OpenVPN Connect ass esou eng Säit, déi nennt, wéi en Schalter wéi en Verhalen ännert, och wann d'Etiketten ëm Clienten ënnerschiddlech sinn.
Wiel en Lockpëll-Zil, dat och ouni Tunnel funktionéiert
D'Lockpëll brauch zwou Eegenschaften, a wann s de eng dovu weisst, gëtt d'Resultat onliesbar. Et muss direkt erreechbar sinn, wann den Tunnel ënnen an d'Blockade aus ass, soss kann dat, datt et opgehalen huet ze äntweren, just heeschen, datt den Host fort ass. An et däerf keng Umeldung, kee Cookie an keng Bezuelung froen, sou datt eng Leck eng Zeil am Log kascht an net eng Sessioun.
Eng statesch Säit op engem Host, de s de kontrolléiers, ass déi propperst Wiel. Eng Reserved-virtuell Maschinn mat engem gewéinlechen HTTP-Server ass bal esou gutt, an eng ëffentlech Konnektivitéitssäit geet, wann s de akzeptéiers, datt hir Disponibilitéit baussent denger Kontroll läit. Notéier d'Adress, de Port, d'Adressfamill an ob d'Ufro eng Namsich brauch, well jiddwer dovun eng Variabel gëtt, déi s de vläicht méi spéit muss isoléieren.
Setz d'Basislinn, ier s de de Schalter beréiers. Wann den Tunnel uewen ass, muss d'Lockpëll duerch den Tunnel äntweren, wat beweist, datt d'Politiksroute funktionéiert. Wann den Tunnel ënnen an d'Blockade aus ass, muss et direkt äntweren, wat beweist, datt den Zil lieft. Eréischt dann seet en Ausfall am blockéierten Zoustand dir eppes.
Féier d'Iwwergäng an enger fester Reiefolleg aus
Huel d'Iwwergäng een nom aneren a gitt jiddwerem e puer Sekonnen zum Berouegen, well d'Cliente oft just an deem Lach d'Regelen ofrëissen an nei opbauen. Déiselwecht kuerz Kontroll all Kéier mécht d'Observatiounen vergläichbar:
curl -sS -o /dev/null -w 'http=%{http_code}\n' --max-time 5 http://decoy.example/
echo "curl_exit=$?"
dig +short decoy.example
curl -6 -sS -o /dev/null -w 'v6_http=%{http_code}\n' --max-time 5 http://decoy.example/
echo "curl_v6_exit=$?"| Transition | Expected with the block on | Failure signature |
|---|---|---|
| Manual disconnect | Decoy stops answering within seconds | Decoy still returns 200 |
| Server or path failure | Blocked, with no exemption for the old endpoint | Direct access during the gap |
| Quit the app | Client-dependent; record what happens | Block disappears with the process |
| Wi-Fi to Ethernet | Block holds until the tunnel returns | Traffic flows mid-change |
D'Zeil mat der App verloossen verdéngt eng eege Ausféierung, och wann s de den Client am normale Gebrauch ni zoumaachs. Wann d'Blockade beim Verloossen fräigëtt, ginn en Ofstuerz oder eng forcéiert Aktualiséierung dir déiselwecht Expoitioun, an dat ass eng Tatsaach iwwer d'Deployment, net iwwer deng Gedold. Op Windows sinn déi gläichwäerteg Proben Resolve-DnsName decoy.example an curl.exe -s -o NUL -w "%{http_code}" http://decoy.example/.
Trenn eng Blockade vun engem futti Resolver
Eng Säit, déi net lued, huet méi Ursaachen, an nëmmen eng dovu ass de Schalter, dee funktionéiert. Wann den Numm net opgeléist gëtt, hues de geléiert, datt DNS blockéiert oder futti ass, net datt den Datewee blockéiert ass. Probéier och eng wiertlech Adress, sou datt d'Äntwert guer net vun der Opléisung ofhänkt.
D'Ausgangscodë vum curl trennen déi Fäll. 6 ass en Fehler bei der Namopléisung, 7 heescht, datt d'Verbindung verworf gouf, 28 ass en Timeout. Eng blockéiert Route weist sech meeschtens als Timeout oder Oflehnung géint eng wiertlech Adress, wärend eng Blockade just vum DNS d'6 loosse léisst an alles anescht verstoppt. Eng gecacht Säit oder en Captive Portal täuscht d'A, dofir ass den Ausgangscode den Noweis, net de Bildschierm.
Widderhuel d'Probe iwwer IPv6 mat enger wiertlecher Adress. Eng Blockade, déi IPv4 deckt an IPv6 ignoréiert, ass heefeg genuch, fir eng eege Zeil an denger Notizen ze verdéngen, an e Client, deen IPv6 baussen dem Tunnel ausschalt, sollt op béide Familljen propper feelen.
Notéier de Beräich, deen d'Resultat deckt
Wann den Tunnel zréck ass, bestäteg d'Erhuelung: d'Lockpëll äntwert duerch den Tunnel, de Resolver gëtt Äntwerten zréck, an d'Politik steet do, wou s de se verlooss hues. Dann huel d'Experimenter zréck. Eng temporär Firewallregel, eng Debugroute oder en Testprofil, déi stoe gelooss ginn, verwierren déi nächst Ausféierung a kënnen d'App iwwerliewe.
Eng Duerchgang deckt eng Clientversioun, ee Profil, een Iwwergang an eng Adressfamill. Schreib déi véier mam Resultat op:
- Clientversioun a Plattform, an ob d'Astellung pro Profil oder global ass.
- Profil, Protokoll an all Ausname vum opgedeilten Tunnel.
- Getesteten Iwwergang a wéi s de en ausgeléist hues.
- Adressfamilljen an DNS, mat den curl-Ausgangscodë fir de blockéierten an de net-blockéierten Zoustand.
Wann eng Zeil eidel ass, ass den Test net fäerdeg. Roaming heescht, d'Zeil mat der Netzwierkännerung ze widderhuelen. En onbewaachten Neistart heescht ze kontrolléieren, ob d'Regelen zréckkommen, an dat ass eng Fro iwwer d'Reiefolleg vun der Restauratioun, net iwwer de Schalter. Widderhuel d'Sequenz no enger Clientaktualiséierung, well d'Schalter seelen ännere, wärend d'Verhalen hannendrun sech ännert. Halt d'Lockpëll: et ass näischt ze rotéieren, an déi nächst Kontroll dauert fënnef Minutten.