Ar jūsų apsaugos jungiklis blokuos programą, kurią pašalinote iš tunelio?

Apsaugos jungiklis įjungtas, programa sąmoningai pašalinta iš tunelio, ir abu reikalavimai dabar prieštarauja vienas kitam. Vienas sako, kad niekas negali išeiti kitaip nei per tunelį, kitas sako, kad ši programa turi eiti tiesiogiai. Kiekvienas klientas tą konfliktą sprendžia kitaip, o nustatymų puslapis retai paaiškina, kuri taisyklė laimi. Parašykite politiką kiekvienai programai, prieš pasitikėdami bet kuria etikete.

Dvi politikos, viena mašina

Apsaugos jungiklis yra pažadas dėl gedimo: kai tunelis neapsaugo srauto, srautas sustoja. Padalintas tunelis yra pažadas dėl pasirinkimo: šios programos ar paskirties vietos naudoja tunelį, o tos ne. Antrasis pažadas sukuria srautą, dėl kurio turi nuspręsti pirmasis. Nė vienas pažadas nėra klaidingas; juos tiesiog rašė skirtingi žmonės skirtingoms grėsmėms.

Galimi trys rezultatai, ir tik vienas jų yra tas, kurį numatė diegimas. Pašalinta programa gali likti tiesioginė per sutrikimą, o tai gerbia padalijimą ir sulaužo jungiklį. Ji gali būti blokuojama kartu su viskuo kitu, o tai gerbia jungiklį ir sulaužo padalijimą. Arba ji gali būti blokuojama tik kartais, priklausomai nuo to, kaip platforma vertina taisyklę po to, kai sąsaja išnyksta. Būtent pastarasis atvejis ir kuria bilietus.

Pirmiausia programų sąrašas, paskui taisyklė

Išvardykite programas, kurios turi naudoti tunelį, tas, kurios turi eiti tiesiogiai, ir pavadinimus ar paskirties vietas, kurios niekada neturi atsirasti nė viename sąraše. Atskirai nurodykite sprendiklio elgseną ir IPv6 pusę, nes abi gali laikytis kitokios politikos nei puslapių srautas.

Taisyklės atskirai programai paprastai atitinka vykdomąjį failą arba paketą, o ne profilį jame. Naršyklės profilis, privatus langas ir plėtinys neturi savo tinklo tapatybės, todėl paveldi tai, ką gavo procesas. Toje naršyklėje paleistas pagalbinis procesas gali visai nepaveldėti tos pačios taisyklės.

Reikia dviejų sąrašų, ne vieno: ką tunelis turi nešti ir kas jokiu būdu neturi keliauti už jo ribų. Programa, esanti abiejuose, yra reikalavimų konfliktas, o ne įgyvendinimo detalė, ir jį reikia išspręsti prieš konfigūruojant klientą.

Ką klientas daro per sutrikimą

Kai kurie įgyvendinimai per sutrikimą blokuoja pašalintas programas ir atkuria jų prieigą vėl prisijungus. Kiti visą laiką išlaiko tiesioginį kelią, o tai atitinka padalijimą ir yra silpniau kaip saugumo savybė. Platformos lygio užrakinimas gali visiškai panaikinti kliento pasirinkimą pagal programą. Šis skirtumas nėra kosmetinis, nes jis nusprendžia, ar pašalinta programa yra politikos išimtis, ar skylė.

Android visada įjungtas VPN su parinktimi blokuoti ryšius be VPN yra aiškiausias atvejis, nes užrakinimą vykdo platforma, o ne klientas, ir pašalintas paketas blokuojamas kartu su viskuo kitu, kol tunelis yra išjungtas. Darbalaukio klientas, kuris taiko išimtis pagal programą savo tvarkyklėje, paprastai palieka pašalintą procesą fizinėje sąsajoje, nes niekada nevaldė to proceso srauto. Abi elgsenos yra apginamos, ir tik viena atitinka reikalavimą, kad pašalinta programa turi likti naudojama. Paklauskite, kuris komponentas vykdo taisyklę, prieš aiškindami rezultatą.

Skaitykite elgseną tos operacinės sistemos, kuri priešais jus, o ne to paties pavadinimo nustatymą kitur. Vykdymo API skiriasi, ir vienas žymės langelis darbalaukyje ir telefone gali reikšti visiškai skirtingus dalykus. Versija taip pat svarbi, nes užrakinimo valdymas tarp Android leidimų keliavo tarp ekranų, o kliento pusės išimčių sąrašas nėra tas pats valdymas kaip platformos užrakinimas.

Trys akimirkos: tunelis veikia, tunelis neveikia, prisijungta iš naujo

Naudokite nekenksmingus užklausimus trimis akimirkomis: kol tunelis veikia, per jus dominančią gedimą ir po prisijungimo iš naujo. Vienas naršyklės rezultatas negali nustatyti pašalintos programos elgsenos.

curl -sS --max-time 8 https://api.ipify.org
curl -sS --max-time 8 --interface tun0 https://api.ipify.org
dig +short example.com

Išėjimo adresas rodo, kuriuo keliu buvo eita, o aiškus sąsajos testas rodo, kas atsitinka, kai tunelis yra vienintelė prieinama išėjimo vieta. Prieš paleisdami bet kurią eilutę, šalia jos užrašykite tikėtiną rezultatą, kitaip išvestis bus aiškinama po fakto.

Jei pašalinta programa lieka be tinklo, prieš pridėdami platų ugniasienės leidimą patikrinkite politikos prioritetą, nes toks pataisymas sunaikina skirtumą, kurį tikrinote. Jei ji lieka tiesioginė, patvirtinkite, kad tai buvo dokumentuota išimtis, o ne atsitiktinis atsitraukimas. Jei reikalavimas griežtas visam įrenginiui, sutrumpinkite išimčių sąrašą, kol jį bus galima patikrinti rankomis.