Iwwerlieft e VPN-Kill-Switch e Neistart? Wéi een dat verifiéiert

Neistarten ass dee verbreetste Wee, wéi d’Leit e Kill-Switch testen, an et ass deen Test, deen am dackste lügt. D’Këscht am Client ass eng Virléift; wat zielt ass, ob eppes e Block tëschent dem Moment, wou de Netzwierkstack eropkënnt, an dem Moment, wou den Tunnel tatsächlech opgebaut ass, duerchsetzt. Op Windows ass dat eppes meeschtens e Filter an der Windows Filtering Platform, op Linux e Reegelset, dat vun enger Eenheet gelueden gëtt, op macOS en Anker vu pf, op Android d’Flaggen vum System selwer fir ëmmer-un a Spär. Dës Ariichtunge behuele sech ganz ënnerschiddlech iwwer en Neistart, a nëmmen déi op Plattformniveau sinn um Platz, ier iergendeen sech kann umellen.

En Neistart stellt dräi getrennte Froe

Deelt d’Fro. Éischtens, existéiert d’Politik op der Plack a sou enger Form, datt eppes se beim Start liest? Zweetens, leet dee Lieser virun all Traffic, dee kann erausgoen? Drëttens, deckt d’Politik den Traffic of, deen Iech wichteg ass, also all Prozess, béid Adressfamilljen an DNS. Jo op déi éischt an nee op déi zweet produzéiere genee dee Feeler, vun deem d’Leit als Kill-Switch schwätzen, dee keen Neistart iwwerlieft: den Traffic entkënnt beim Start fir e puer Sekonnen, an et mierkt een näischt, bis een nofroen geet.

Halt d’Schichte getrennt. E gespaart Reegelset vun der Firewall, en Service, deen beim Start ufänkt, an eng Virléift am Client sinn dräi verschidde Géigestänn mat dräi verschiddene Liewensdaueren. D’Virléift iwwerlieft Neistarts, well se e Wäert an enger Konfiguratiounsdatei ass. D’Reegele sinn déi eenzeg Saach, déi Paketen blockéiert, an si verschwanne mam Kernel, deen se gehal huet.

Fannt den Objet, deen de Block erëm hierstellt

Op Linux liewen d’netfilter-Reegelen am Kernel. Näischt schreift se beim Start zréck, ausser Dir hutt dat agericht: iptables-save plus netfilter-persistent, nftables.service lued /etc/nftables.conf, oder eng systemd-Eenheet, déi Ären eegene Skript ausféiert. Kuckt, wat ageschalt ass, anstatt wat Dir Iech erënnert, ageriicht ze hunn.

systemctl is-enabled nftables netfilter-persistent 2>/dev/null
sudo nft list ruleset
sudo iptables -S OUTPUT

E läächt Reegelset e puer Sekonnen nom Start ass d’Äntwert op d’Fro am Titel. Op Windows freet de Client-Service, wéi en ufänkt, an da gitt de Filterzoustand vun der Plattform aus, iwwerdeems den Tunnel erof ass.

Get-Service | Where-Object { $_.Name -match 'vpn' } | Select-Object Name, Status, StartType
netsh wfp show state

Déi zweet Kommando schreift wfpstate.xml an den aktuellen Verzeechnes. Sicht no Filtere mat enger Blockéieraktioun, déi scho bestinn, ier de Client sech verbënnt. Base Filtering Engine fänkt fréi beim Start un a stellt Filter erëm hier, déi mam permanente Fändel derbäi koumen, dofir blockéieren e puer Kill-Switchen den Traffic, ier iergendeen Client-Fënster existéiert, an anerer net. Op macOS mellt sudo pfctl -s info, ob pf ageschalt ass, sudo pfctl -s rules weist, wat gelueden ass, a VPN-Cliente hänken hir Reegele meeschtens un en Anker anstatt un d’Haaptreegelset. Eng Reegele, déi utun3 nennt, kann nom nächsten Neistart op eng aner Schnëttstell weisen, well déi Zuel zur Lafzäit vergi gëtt.

Passt op d’Spalt tëschent Netzwierk-op an Tunnel-op

Den geféierlechen Intervall ass net de ganzen Neistart, et ass d’Spalt. D’Schnëttstell kritt zu engem Moment eng Leasing an eng Standardstreck, de VPN-Service fänkt zu engem aneren un, an den Tunnel authentifizéiert sech nach méi spéit, heiansdo eréischt nodeems e Benotzer sech ugemellt huet an en Authentifikatiounsagent gelaf ass. Wann de Block als Lescht ugewannt gëtt, geet alles an der Spalt oppen eraus.

Op systemd-Hosten liest Dir d’Uerdnung, anstatt se ze roden. Féiert systemctl cat op den VPN- an Firewall-Eenheeten aus a sicht no After= oder Before= vis-à-vis vun network-pre.target an network-online.target. Eng Firewall-Eenheet, déi no network-online.target geuerdent ass, verléiert géint d’Schnëttstell; déi, déi vun network-pre.target gefrot a virdrun geuerdent ass, gewënnt. Op Windows sinn déi gläichwäerteg Froe vum Service säin Starttyp an seng Ofhängegkeeten, well e Service op Manual keen Startprozess blockéiere kann. Wann Är Ufuerderung Traffic virum Umelle enthält, erfëllt nëmmen eng Ariichtung op Geréitniveau se: en Always On VPN-Geréitstunnel authentifizéiert sech mat engem Maschinnenzertifikat a verbënnt sech, ier de Benotzer sech umellt, an Microsoft dokumentéiert d’Konfiguratioun vum Geréitstunnel getrennt vum Benotzertunnel. Android geet den anere Wee, forcéiert ëmmer-un VPN a blockéiert Verbindungen ouni si vum System an net vun engem Applikatiounsprozess.

Féiert den Test aus, vergläicht dann zwou Zäitlinnen

Startt nei mat engem Zil, dat näischt kascht, wann et leckt, an erfaasst den Zoustand wärend der Spalt an net duerno. Déi propperst Method ass eng Sonde beim Start: eng oneshot-Eenheet oder eng geplangte Aufgab, déi sou fréi ufänkt, wéi d’Plattform et erlaabt, d’Standardstreck an de Firewall-Zoustand opschreift, eng Ufro mat kuerzem Timeout versicht an eng Zeil un eng lokal Datei bäifüügt. Vergläicht dee Rekord mat der Startzäit vum VPN-Service aus journalctl -b -u oder dem Systemlog.

Féiert dann den normale Test aus: Tunnel uewen, brécht d’Verbindung of, kuckt, ob direkten Traffic blockéiert gëtt, stellt se erëm hier. Den zweeten ze bestoen an den éischten ze verfeelen ass dat normal Resultat, an et heescht, datt d’Duerchsetzung op der Client-Säit ass, ugewannt wann de Client sech verbënnt an net beim Start. Op der leschter Maschinn, déi ech audit hu, koum de Block vun engem Dispatcher-Skript vum NetworkManager: präsent a richteg a nëtzlos fir d’Sekonnen, ier d’Schnëttstell eropkënnt. Schreift béid Resultater op, well en Neistart z’iwwerliewe bedeit just eppes, wann Dir sot, wéi eng Schicht iwwerlieft huet a vun wéi engem Moment un.

Maacht d’Spalt zou, ouni Äre Wee zréck ze briechen

Wann de Block beim Start feelt, réckelt d’Duerchsetzung eng Schicht erof, anstatt eng zweet Client-Reegel derbäizesetzen. Späichert de Reegelset a lued en aus enger Eenheet, déi geuerdent ass, ier den Netzwierk benotzbar ass, a vergewëssert Iech, datt déi Eenheet keng DNS-Ufro an keen Netzwierkmount brauch, deen se soll schützen. Den Ëmfang zielt esou vill wéi den Timing: Reegele mat engem Benotzer-ID oder enger cgroup loossen all Systemdämon baussent dem Block, an e Reegelset, deen nëmmen IPv4 behandelt, léisst IPv6 an DNS erreechbar.

Loosst Iech e Wee zréck. Eng Maschinn, déi beim Start alles blockéiert a sech dann net authentifizéiere kann, huet guer keen Netzwierk, an d’Reparatur ass net de Block ze läschen, mä den Authentifikatiounsdaten oder d’Uerdnung ze flécken. Halt eng dokumentéiert Prozedur fir déi lokal Konsole bereet an eng schmuel, bewosst Ausnam fir dat, wat den Tunnel wierklech brauch, wéi d’Serveradress an de Resolver, dee virum Tunnel benotzt gëtt.

Ier Dir der Ariichtung vertraut, bestätegt véier Saachen an der Rei. D’Politik ass do gespäichert, wou de Start liest. Dee Lieser leeft, ier d’Schnëttstell benotzbar ass. De Block deckt béid Adressfamilljen an DNS of. De VPN kann sech nach authentifizéieren, wärend de Block aktiv ass. Wann all véier stëmmen, ännert en Neistart näischt.