Programėlės kill switch prieš ugniasienės kill switch: ką blokuoja kiekvienas

Funkcijų sąraše esantis kill switch beveik nieko nepasako apie tai, kas nutinka, kai tunelis nukrenta. Viena realizacija uždaro pasirinktus procesus, kita įdiegia paketų filtrus operacinės sistemos riboje, o trečioji tiesiog bando prisijungti iš naujo. Skirtumas matomas sekundėmis po gedimo, o ne nustatymų ekrane. Pereikite šiuos patikrinimus iš eilės ir sustokite ties pirmuoju, į kurį negalite atsakyti sąžiningai, nes ten baigiasi jūsų tikroji aprėptis.

Pirmiausia įvardykite vykdymo mechanizmą

Procesų nutraukimas yra programos gyvavimo ciklo funkcija. Ji suranda pasirinktas programas po aptikto tunelio gedimo ir jas uždaro. Viskas, kas nėra pagrindinis procesas, išlieka: pagalbinės paslaugos, foninė sinchronizacija ir bet kuri programa, paleista sekunde vėliau, turi savo gyvavimo ciklą ir savo laiką.

Paketų filtravimas yra operacinės sistemos funkcija. Jis atmeta srautą, kuris neseka leistinu keliu, o tai stipresnis pažadas, bet tik tiek, kiek taisyklė iš tikrųjų atitinka. Adresų šeima, sąsaja, neįtrauktos programos ir išimtys tai sprendžia, o ne etiketė kliente.

Ar blokavimas pergyvena klientą?

Užduokite keturis klausimus šia tvarka: kas nutinka per avariją, rankiniu išjungimu, atsijungiant ir paleidžiant iš naujo. Taisyklė, kurią prižiūri pats klientas, paprastai pašalinama tvarkingai išjungiant ir dažnai lieka po avarijos. Į platformos saugyklą įdiegta taisyklė gali elgtis priešingai: išgyventi ir klientą, ir kartais pašalinimą.

Uždarykite klientą ilgo atsisiuntimo viduryje ir stebėkite, ar perdavimas sustoja, ar tęsiasi.

Ieškokite įprastų skylių

IPv6 yra pirmoji. Taisyklė, parašyta IPv4 adresams, palieka IPv6 srautą nepaliestą, o daugelis klientų rašo tik v4 pusę. Antroji yra sąsaja: USB tethering, antras Wi-Fi adapteris ir mobilusis modemas gali būti neįtraukti į taisyklę, apribotą pagrindiniu ryšiu. Neįtrauktos programos ir vietinio tinklo išimtys yra trečioji.

Windows galite skaityti įdiegtas taisykles, o ne pasitikėti jungikliu: Get-NetFirewallRule -DisplayName '*VPN*' ir netsh wfp show filters abu rodo, kas egzistuoja. Linux iptables -S, ip6tables -S ir nft list ruleset apima įprastus atvejus, o visų trijų palyginimas ir yra esmė.

DNS yra įprasta nuotėkis

Blokuojant TCP, kai UDP 53 lieka atidarytas, gaunate labai įtikinamą kill switch, kuris vis tiek atsako į kiekvieną pagrindinio kompiuterio vardo užklausą. Tas pats galioja, kai DNS perduodamas kitos sąsajos sprendėjui arba kai klientas blokuoja tik v4, o sprendėjas pasiekiamas per v6.

Kai tunelis nuleistas, išspręskite vieną žinomą vardą ir pažiūrėkite, ar grįžta atsakymas. Jei grįžta, srautas nėra visiškai blokuotas, ką bebūtų sakoma statuso piktogramoje.

Tikrinkite perėjimą, o ne jungiklį

VPN išjungimas iš jo paties meniu yra tvarkingas išjungimas, o tvarkingą atvejį kiekviena realizacija tvarko gerai. Svarbus perėjimas yra grubusis: užmuškite tunelio procesą, ištraukite tinklą, leiskite serveriui nustoti atsakyti. Tada pradėkite užklausą ir stebėkite, ar ji nepavyksta, ar tyliai naudoja fizinę jungtį.

Vieno nešiojamojo kompiuterio rezultatas nepersikelia į telefoną ar maršrutizatorių. Skirtingos platformos API, skirtingos numatytosios reikšmės, o Android skirtumas ryškus: always-on su blokavimu įgyvendina sistema, o ne klientas, todėl jis veikia toliau, kai klientas neveikia. Android VPN gairės aprašo šį atskyrimą.

Pasilikite kelią atgal

Sistemos lygmens blokavimas turi priešingą gedimo režimą. Filtrai, kurie pergyvena klientą, po pašalinimo gali palikti kompiuterį visiškai be tinklo, o tai palaikymo skambutis be akivaizdžios priežasties. Prieš įjungdami bet kurį kill switch, kuris rašo platformos taisykles, užsirašykite, kaip jis pašalinamas, ir laikykite tiekėjo taisymo kelią ten, kur galite jį rasti.

Jei negalite atsakyti į savo kliento avarijos, IPv6, DNS ir perėjimo patikrinimus, traktuokite jį kaip programos lygio jungiklį su žinomomis spragomis ir planuokite atitinkamai.