Zwee VPN-Appen op eemol: wéi eng Kill-Switch gëllt wierklech?
En zweete VPN-Client ierft ni d’Kill-Switch vum éischten. Dräi Konditioune bestëmmen wéi eng Politik gëllt, a wéi Dir Är kontrolléiert.
Zwee VPN-Cliente kënne säit a säit lafen, awer hir Kill-Switchen verschmëlzen net an eng eenzeg Politik. All Client installéiert Reegelen fir säin eegene Tunnel, an keen weess, datt deen aneren existéiert. Ech sinn deem ugestouss mat engem Aarbechtsclient, deen als éischten verbonne war: déi zweet App konnt hir Handshak net ofschléissen, ass zéng Minutten um „Connecting“ hänke bliwwen, an den éischten Tunnel huet alles roueg transportéiert. Ob déi zweet App geschützt gëtt, hänkt vun dräi Konditioune of, net dovun, ob béid Ikonen Verbonne soen.
Op wat eng Kill-Switch wierklech begrenzt ass
Näischt am Betribssystem huet eng eenzeg Kill-Switch-Flag. En Client, deen eng annoncéiert, installéiert eng Rei Reegelen: werf alles ewech, wat net duerch mäin Tunnel erausgeet, a oft fail closed wann den Tunnel verschwënnt. Op Linux ass dat meeschtens eng nftables- oder iptables-Ketten, op Windows eng Rei Windows Filtering Platform-Filter, op Android an iOS d’Tunnel-Déngscht hir eege Routing plus d’Systemastellung, déi Verbindungen ouni VPN blockéiert. Den Android-VPN-Guide beschreift dee Déngschtmodell, wann Dir d’Siicht vun der Plattform wëllt.
Den Ëmfang ass deen Deel, deen zielt. Eng Reegel wéi „erlaab nëmme Paketen op der Ausgangsinterface wg0“ interesséiert sech net, ob en zweeten Tunnel existéiert. Wann en aneren Client wg1 eropbréngt, behandle d’Reegele vum éischte Client déi Paketen als gewéinlechen Trafik: meeschtens verwerfen, heiansdo erlaabt. Wéi och ëmmer, et entscheet den éischte Client, an hien huet keng Ahnung, datt eng zweet App waart.
Dräi Konditioune bestëmmen, wien ofgedeckt gëtt
Dir musst net all Kombinatioun opzielen. Dräi Froe klären et a wéinege Minutten.
- Erlaabt d’Plattform iwwerhaapt en zweeten Tunnel? Déi meescht Android-Telefonen an iPhones akzeptéieren nëmmen een aktive VPN-Déngscht pro Benotzerprofil, also huet déi zweet App ni en Tunnel an ëmsetzt ni eppes. Dir kritt eng eenzeg Politik, vun der App, déi de Platz gewonnen huet.
- Wéi engem Prozess gehéiert d’Standardroute? Windows, macOS a Linux droen zwee Tunnelen ouni Problemer. D’Standardroute gehéiert deen Client, deen se zulescht oder mat der besser Metrik agestallt huet, an deen aneren Client ass verbonnen awer idel. Op Linux benotzt den Standardroute-Modus vu wg-quick Policy-Routing mat enger privater Tabell an enger fwmark-Reegel, sou datt en zweeten wg-quick-Tunnel eng konkurréierend Reegel bäisetzt, amplaz déi éischt z’ersetzen.
- Kann deen zweeten Client säin eegene Server erreechen? Wann déi éischt Kill-Switch Standard-Verweigerung ass, ass den äusseren Endpunkt vun der zweeter App just nach en anert verworfene Zil. Et probéiert roueg nach eng Kéier a mellt ni e Fehler.
Déi kuerz Versioun, fir Support-Threads:
| Setup | What you actually get |
|---|---|
| Second client cannot hold a tunnel | One active policy; the other app only reports that it is waiting |
| Both tunnels up, second took the default route | The first kill switch blocks traffic it never meant to touch; the connection dies, or leaks if its rules are broad |
| First kill switch allows only its own endpoint and interface | Second client never connects; first tunnel unaffected |
| Both up, DNS written by whichever client ran last | Name resolution breaks for one side when either tunnel drops |
Zwee vun deene Reien gesinn aus dem Ikon an der Systemschall identesch aus, an dofir ass d’Ikon hei dee schlechteste Beweis, deen et gëtt.
Wat éischt feelt, an wéi et ausgesäit
En Client, deen um „Connecting“ hänkt, während deen aneren gesond ass, heescht bal ëmmer Endpunkt-Honger: déi aktiv Kill-Switch verwërft d’Handshak vum zweete Client zu sengem eegene Server. Bestätegt et bëlleg, andeems Dir d’Block-Reegele vum éischte Client fir een Versuch pauséiert. Wann deen zweeten direkt verbënnt, ass d’Fro beäntwert.
DNS ass deen zweete Fehler. Cliente setzen d’Resolver-Konfiguratioun fir hir eege Interface, an ettlech iwwerschreiwen einfach déi global Lëscht. Mat béiden Tunnelen erop kënnen Ufroe vun enger Säit erausgoen, während den Resolver zu der anerer gehéiert. Trennt eng vun den Appen of an déi iwwerlieft behält en onerreechbare Numm-Server: Säite hänke fir eng Minutt a léisen sech dann erëm, während d’VPN nach ëmmer verbonne weist.
Déi drëtt ass Route-Flapping. Reconnecten ëmordnen d’Standardroute, an eng interface-gebonnen Kill-Switch follegt hir net. Trafik, deen ee Moment virdrun am Tunnel war, passt elo op eng Verwerfungsreegel, wat op der Benotzersäit als eng VPN gelies gëtt, déi zoufälleg ophält ze funktionéieren.
Kontrolléiert wéi eng Politik wierklech a Kraaft ass
Maacht dat mat harmlosem Trafik, net mat eppes, wat Dir géift vermëssen.
Frot op Linux de Kär, wien gewënnt a wou d’Firewall sech bäint. ip -4 route show default nennt den Tunnel, deen den Ausgang besëtzt. ip rule show weist, ob Policy-Routing am Spill ass. sudo nft list ruleset | grep -n oifname weist, ob Verwerfunge un en Interface-Numm, eng Mark oder déi ganz Ausgangsketten gebonne sinn.
Op Windows wunnt déiselwecht Geschicht an der Route-Metrik an der Filterlëscht: Get-NetRoute -DestinationPrefix "0.0.0.0/0" | Sort-Object RouteMetric an Get-NetFirewallRule -Enabled True | Where-Object DisplayName -match "VPN". Op macOS netstat -rn -f inet | head -5 an scutil --dns | head -20.
Maacht dann de Schrëtt, deen d’Leit iwwersprangen: stoppt den Tunnel bewosst a bestätegt, datt den Trafik, deen Dir erwaart, datt en feelt, wierklech feelt. Eng verbonne Ikon ass en Interface-Zoustand, net Ëmsetzung.
Wéini zwee Cliente den falschen Design sinn
Wann déi eenzeg Ufuerderung hannert der zweeter App méi Schutz ass, huelt se ewech. Zwou interagéierend Block-Politiken sinn manner viraussobar wéi eng, a jiddwereen Reconnect ass eng Chance, an engem Zoustand ze landen, deen keen Hiersteller testt.
Wann Dir wierklech Kettung braucht, zum Beispill en Firmen-Gateway iwwer en kommerziellen Hop, wielt en Design mat engem eenzegen Ëmsetzungs-Punkt. Dat heescht normalerweis en Router oder een eenzegen Client, deen d’Kette ënnerstëtzt, net zwou Desktop-Apps, déi ëm déi selwecht Standardroute rennen. Op engem geréierten Apparat behält Dir dee guttgeheeschen Client a behandelt alles anescht als ausserhalb vum Ëmfang, wat et och an der Systemschall weist.
Checklëscht ier Dir béid behält
Schafft d’Lëscht an der Rei of; dat éischt Element, wat feelt, ass dat, wat misst reparéiert ginn.
- Bestätegt, datt genau een Client d’Standardroute an den Resolver besëtzt.
- Wann Dir den zweete Client wëllt, erlaabt säin Server-Endpunkt explizit a kontrolléiert no all Client-Update nach eng Kéier.
- Schreift d’erwaarten Resultat op, wann ee vun den Tunnelen fält, a testt genau dee Fall.
- Kontrolléiert de Feelerwee no engem Neistart, wann d’Startuerdnung anescht ass.
- Op engem geréierte Profil: stoppt a frot den Eegentemer, ier Dir eppes bäisetzt.
Wann deen drëtte Schrëtt feelt, ass déi éierlech Äntwert, datt nëmmen een Client Iech eng Politik gëtt. Entscheet, wien Dir traut, a loosst deen aneren goen.