Kill Switch pro App géint Spär vum ganzen Apparat: wat sech ännert
Entscheet nom geschützten Ensembel, net nom Label: wat fir ausgeschloss Apps, Hannergrondhëllefer an nei Verbindungen ophält, an wéi Dir all Fall test.
E Kill Switch pro App kléngt wéi déi virsiichteg Wiel: nëmmen de Geschäftsklient verléiert säin Netz, wann den Tunnel fält, an alles anescht schafft weider. Duerno mierkt een, datt de perséinleche Browser trotzdeem eng Säit gelueden huet, datt den Synchronisatiounshëllef aus demselwechte Paket weider probéiert huet, an datt en en Cache gespäicherten Numm sech nach ëmmer op eng Adress opgeléist huet, déi den Tunnel ni beréiert huet. De Label op der Funktioun an de Set vu Verbindungen, déi se tatsächlech schützt, sinn zwee verschidde Saachen. Bestëmmt als éischt de geschützten Ensembel, well deen Ensembel entscheet, ob d'Duerchsetzung pro App oder eng Spär vum ganzen Apparat déi éierlech Beschreiwung ass.
Fänkt mam Ensembel un, net mam Label
Eng Politik pro App schützt ausgewielten Uwendungen. Eng Apparatespär zielt op eng méi breet Netzgrenz, normalerweis mat dokumentéierten Ausnamen fir lokal Drécken, Verwaltungsverkéier oder Captive Portalen. Keen vun den zwee Labels ass komplett, bis Dir dräi Froen beäntwerten kënnt: wat mat ausgeschlossenen Apps geschitt, wat mat den Hëllefer geschitt, déi déi Apps starten, a wat mat Verbindungen geschitt, déi opgemaach ginn, während de Schutz net verfügbar ass.
Schreift déi Äntwerten op, ier Dir eng Clientastellung beréiert. Wann d'Fuerderung ass "dëse Lounklient däerf ni baussen dem Tunnel mam Internet schwätzen, a mäi Browser däerf", ass den Ensembel kleng an d'Duerchsetzung pro App passt. Wann d'Fuerderung ass "näischt op dësem Apparat erreecht d'Internet ouni Schutz, ausser dem Update-Service", wäert keng Politik pro App dat produzéieren, well d'Apps, déi Dir net genannt hutt, de Problem sinn.
D'Duerchsetzung pro App entsprécht Identifizéierer, net Programmnimm
Android bitt VPN pro App iwwer Paketen un, an seng VpnService-Dokumentatioun beschreift, wéi dat mat ëmmer-awer Betrib an dem Blockéiere funktionéiert. iOS konfiguréiert VPN pro App iwwer e Verwaltungsprofil a passt no App oder no Domain. Windows a Linux hunn iwwerhaapt keng Route pro Prozess, dofir gëtt déi selwecht Iddi mat enger Firewall-Reeg, déi op e Programm limitéiert ass, oder enger Reeg, déi op den Eegentümer Benotzer passt, approximéiert.
D'Grenz ass den Identifizéierer, an d'Identifizéierer si liicht z'ëmgoen. Eng App, déi eng URL un de Systembrowser iwwergëtt oder en Dokument an engem Viewer opmécht, geet an e Prozess iwwer, deen Är Politik ni genannt huet. Eng Optioun fir beim Falen ofzeschléissen ass och keen Paketfilter: se killt d'App, déi Dir konfiguréiert hutt, während e Kandprozess, en Queue-Aarbechter oder en Browser-Tab eng existéierend Socket lieweg ka halen.
D'Spär deckt wat eng Politik pro App net ka gesinn
Eng Spär vum ganze Apparat hëlt d'Wiel ewech. All ausgehende Paket, dat net zum Tunnel gehéiert, gëtt verworf, och Verkéier vu Prozessen, vun deenen Är App-Politik ni wousst. Op Android ass dat ëmmer-awer VPN kombinéiert mat der Astellung fir Verbindungen ze blockéieren, an d'Duerchsetzung geschitt am System, net am Clientfenster. Op engem Desktop ass et eng permanent Firewall-Reeg oder eng Standardroute op en onereechbaren Gateway.
De Präis ass, datt alles anescht stoppt, dofir ginn d'Ausnamen Deel vum Design an net en Nodenken. Lokal Drécker, Service-Entdeckung, Login op Captive Portalen, Verwaltungsagenten an OS-Updates brauchen all en dokumentéiert Lach, well all een en Wee ass, deen oppe bleift, wann den Tunnel ënnen ass. D'Spär ass just sou staark wéi de kiersten Agang op där Lëscht.
DNS, IPv6 an Hannergrondhëllefer verstoppen d'Lächer
Datt eng geschützt App en Numm net opgeléist kritt, beweist net, datt en Cache gespäichert Äntwerten oder direkten IP-Verkéier blockéiert sinn. Wann den Opléiser nach baussen dem Tunnel erreechbar ass, léist sech den Numm op an d'Verbindung schléit feel, wat wéi e funktionéierende Kill Switch ausgesäit an et net ass. Schlëmmer: en en Cache gespäicherte Rekord kann op eng Adress weisen, déi den Tunnel net dréit, sou datt d'Verbindung direkt erausgeet, während d'App e VPN-Fehler mëldet.
IPv6 brauch seng eegen Reeg op all Plattform, déi en ausféiert, well eng Drop-Reeg fir v4 keng v6-Route deckt. Op mobil kann eng privat DNS-Astellung d'Opléisung an e verschlësselte Kanal verréckelen, deen d'Apparatspolitik net inspectéiert. An Hannergrondhëllefer sinn den üblechen Schëllegegen op Desktop: en Update- oder Synchronisatiounsprozess am Tray fänkt virum VPN-Client un a behält seng eegen Verbindung, sou datt en déi geännert Route ni gesäit.
Test dräi Apps an zwou Iwwergäng
| Test | What it proves |
|---|---|
| Included app, by name and by direct IP | the policy is applied, not just the resolver |
| Excluded app, same checks | the exclusion is intentional and documented |
| Helper or updater process | nothing inherited an older route |
| Tunnel drop, then Wi-Fi to cellular | the block survives the transition |
Fëllt all Zeil zweemol aus, eng Kéier mat engem Hostnumm an eng Kéier mat enger wörtlecher Adress, an eng Kéier méi iwwer IPv6, wann d'Netz et ubitt. Bestoe bedeit, datt déi abegraff App gestoppt huet, déi ausgeschloss huet sech beholl wéi Dir et opgeschriwwen hutt, an den Hëllef net ausgerutscht ass. Notéiert d'direkt Verhalen, dat Dir als akzeptabel decidéiert hutt, sou datt den nächsten Administrateur eng bewosst Ausnam vun engem Fehler ënnerscheede kann.
Beschreift dann d'Resultat an engem Saz, deen d'Appen an d'Konditiounen nennt, zum Beispill: de Lounklient huet keng Route baussen dem Tunnel, de Browser ass bewosst direkt, an alles anescht stoppt, wann den Tunnel ënnen ass. Wann dee Saz schwéier ze schreiwen ass, ass d'Politik nach ëmmer zwou Politiken, déi géintenee kämpfen.