VPN apsaugos jungiklis: kokį srautą ir kada blokuoja

Dvi funkcijos aprašomos tuo pačiu žodžiu ir atlieka skirtingą darbą. Automatinis pakartotinis prisijungimas bando grąžinti tunelį, ir tai gali pavykti per sekundę, kol toje spragoje užklausos nepavyksta. Apsaugos jungiklis nusprendžia, kas nutiks srautui toje spragoje. Kliento skaitymas taip, tarsi abu būtų vienas nustatymas, lemia tai, kad žmonės ima pasitikėti piktograma, o ne politika.

Blokavimas ir pakartotinis prisijungimas yra atskiri sprendimai

Vienas klientas blokuoja tik tada, kai nutrūkimas netikėtas, tada vėl prisijungia ir nuima blokavimą. Kitas laiko sistemos lygio blokavimą, kol kas nors nepakeis nustatymo rankiniu būdu, o trečiasis tyčinį atsijungimą laiko leidimu atkurti įprastą prieigą. Tai trys skirtingos elgsenos, o tiekėjo dokumentacija nurodo, kurią įgyvendina jūsų versija.

Profilio importavimas nieko nelemia šiuo klausimu. Tas pats serverio profilis įkeliamas į du klientus su priešinga blokavimo elgsena, nes profilis neša nustatymus, o ne pažadą. Todėl ir darbalaukio žymės langelis bei panašiai pavadintas mobilusis jungiklis gali įgyvendinti skirtingas taisykles. Perskaitykite aprašymą prie valdiklio savo platformoje ir tada išbandykite, ką jis daro.

Tas pats profilis dviejuose klientuose elgiasi skirtingai

OpenVPN Connect programos nustatymai aprašo tunelio režimą, kuris įprastą srautą sulaiko tik tada, kai klientas praneša apie pristabdytą arba prisijungiančią būseną, o tai siauriau nei bendras pažadas dėl kiekvieno įvykio kiekvienoje platformoje. Skaitykite išvardytas būsenas, o ne produkto pavadinimą. Vienai kliento versijai parašytas aprašymas nepersikelia į kito tiekėjo klientą.

Android rodo tą patį žodį dviem valdikliams, nes nuolat įjungtas VPN ir ryšių be VPN blokavimas dokumentuojami atskirai. Darbalaukio klientas su panašiai pavadintu žymės langeliu gali įgyvendinti ką nors siauriau arba plačiau nei bet kuris iš jų. Laikykite bendrą etiketę dviejuose meniu atsitiktinumu, kol neperskaityti abu aprašymai. Valdomi įrenginiai prideda trečią sluoksnį, nes įrenginio profilis gali primesti nustatymą, kurio naudotojas nemato ir negali atšaukti.

Panašūs platformos nustatymai nėra lygiaverčiai

Palyginkite matomą valdiklį su politika, kuri iš tikrųjų galioja. Valdomame įrenginyje matomas jungiklis gali būti pilkas arba įjungtas, kol aukštesnio lygio profilis primeta priešingą. Prašykite veiksmingos, o ne vietinės politikos, ir gaukite atsakymą raštu.

Užsirašykite, ką teigia kiekvienas sluoksnis, prieš ką nors bandydami, nes abu dažnai nesutampa, o šį nesutapimą lengva pamesti prasidėjus bandymams. Įrenginys, kuris bandymo metu blokuoja teisingai, galbūt blokuoja dėl priežasties, kurios niekas nedokumentavo.

Vykdykite po vieną įvykį ir užrašykite kodą

Bandykite po vieną įvykį kiekvieną kartą, su nekenksminga užklausa, ir kiekvieną bandymą padarykite nauja užklausa, o ne puslapiu, kuris galbūt jau podėlyje. Toliau pateiktos komandos nuleidžia tunelį, paprašo puslapio ir parodo, ar sąsaja grįžo.

ip link set tun0 down
curl -s -o /dev/null -w "%{http_code}\n" --max-time 5 https://example.com
ip -brief address show tun0

Lentelė susieja kiekvieną veiksmą su svarbiu stebėjimu ir su įrodymu, kurį verta išsaugoti. Užklausa, kuri nepavyksta per laiko limitą, pasako, kad blokavimas suveikė; užklausa, kuri praeina, pasako, kad srautas rado kitą kelią, o tai gali būti neįtrauktas maršrutas, o ne išjungtas blokavimas. Pakartokite visą rinkinį po reikšmingo programinės įrangos atnaujinimo ar maršrutizavimo politikos pakeitimo, nes bet kuris iš jų gali pakeisti šaką, nepajudinus nė vieno matomo nustatymo. Galiausiai norite nuspėjamos gedimo elgsenos, o ne raminančios piktogramos.

Išimtys, svečių portalai ir ko blokavimas negali

Prieiga prie vietinio tinklo yra įprasta išimtis, ir ji keičia pažado apimtį. Klientas gali pasiekti to paties potinklio spausdintuvą blokuodamas visa kita, o tai namuose pagrįsta, o svečių tinkle abejotina. Nuspręskite, ar norite šios išimties, prieš incidentui ją atrandant už jus.

Griežtas blokavimas taip pat apsunkina prisijungimą prie svečių tinklo portalo, nes portalas yra būtent tas tiesioginis srautas, kurį blokavimas skirtas sustabdyti. Išmokite palaikomą tinklo autorizavimo būdą, tada sąmoningai atkurkite politiką, o ne išjunkite valdiklius, kol įsikels puslapis. Laikykite resolverio atsakymą ir maršrutų lentelę toje pačioje pastaboje, kaip žemiau. Ko apsaugos jungiklis negali padaryti, tai padaryti paslaugą anoniminę, nes srauto už tunelio blokavimas nieko nesako apie tai, kas vyksta jo viduje.

resolvectl query example.com
ss -tunp | grep -v tun0